개인정보 침해는 주말, 공휴일 또는 경영진의 가용 여부와 관계없이 멈추지 않는 규제 시계를 작동시킵니다. GDPR 제33조에 따라 감독기관에 통지하기까지 인지 시점으로부터 72시간이 주어집니다. DPDPA 규칙 7, PDPA 제26B조, LGPD 결의 15/2024도 유사한 기한을 설정합니다.

이 플레이북은 72시간을 다섯 개의 명명된 단계 — 탐지, 봉쇄, 평가, 문서화, 제출 — 로 나누고 각 관문마다 구체적인 산출물을 제시합니다. 런북으로 활용하십시오. 무언가에 불이 났을 때 절차를 작성하고 있어서는 안 됩니다. 그것을 실행하고 있어야 합니다.

제33조는 "그것을 인지한 후 72시간 이내"라고 규정합니다. 인지란 컨트롤러가 보안 사고가 발생했고 개인정보가 관련되어 있다는 데 대해 합리적 수준의 확실성을 가질 때를 말합니다. 이는 다음이 아닙니다:

• 사고가 실제로 발생한 순간.
• 자동 경보가 울린 순간.
• 첫 번째 분석가가 조사를 시작한 순간.
• 공급업체가 하위 처리자 사고를 보고한 순간 — 다만 시계는 일반적으로 컨트롤러의 데이터가 범위에 포함되는지 평가할 충분한 정보를 확보했을 때 시작됩니다.

개인정보 침해 통지에 관한 EDPB 지침 9/2022는 인지에 이르기 위한 짧은 조사 기간을 허용하지만, 그 기간은 짧아야 합니다 — 며칠이 아니라 몇 시간의 문제입니다.

목표: 사고 발생을 확인하고, 포렌식 증거를 보존하며, 대응 팀을 가동합니다.

• 분류 신호. 경보가 실제였는가? IDS 탐지, 의심스러운 내보내기, 공급업체 공개, 고객 신고.
• 포렌식 무결성 보존. 영향받은 시스템을 스냅샷하고, 로그를 동결하며, 메모리 아티팩트가 중요하다면 전원을 끄지 마십시오.
• 사건 파일 개설. 사고 ID를 발급합니다. 이후 모든 조치는 이에 대해 기록됩니다.
• 워룸 가동. DPO, CISO/보안 책임자, 법률 자문, 커뮤니케이션, 그리고 지정된 사고 지휘관.
• 책임 있는 처리자 / 하위 처리자 식별(사고가 외부에서 비롯된 경우); 해당 사고 대응 담당자에게 연락합니다.

T+6시간 산출물: 한 페이지 분량의 사고 요약 — 무엇이, 언제 발생했는지, 어떤 시스템인지, 어떤 데이터 범주가 관련될 수 있는지, 알려진 미지의 사항은 무엇인지.

목표: 출혈을 멈추고, 영향받은 시스템을 격리하며, 시간에 민감한 외부 당사자에게 통지합니다.

• 진행 중인 유출 차단. 자격 증명을 교체하고, OAuth 토큰을 취소하며, 세션을 종료하고, 외부 트래픽을 차단합니다.
• 영향받은 시스템 격리 — 증거를 보존하면서.
• CERT-In / 부문별 통지. 인도: 지정된 사고에 대해 6시간 이내 CERT-In. 미국 부문별: HHS OCR(HIPAA), FTC, 주 법무장관.
• 외부 자문 선임(중대한 노출이 그럴듯한 경우) — 특권은 조기에 확립하는 것이 가장 좋습니다.
• 사이버 보험사 연락 — 보험 약관의 통지 요건에 따라(흔히 48시간 이내; 일부 보험사는 24/7 핫라인 제공).
• 피해자 식별 작업 시작 — 정보주체 범주, 대략적 규모, 지리적 분포.

T+24시간 산출물: 봉쇄 확인; 예비 범위 진술.

목표: 규모와 예상 피해를 판단합니다 — 이것이 모든 후속 결정을 좌우합니다.

• 영향받은 개인정보 범주. 식별자? 연락처 데이터? 금융? 특별 범주(GDPR 제9조)? 아동 데이터?
• 규모. 알려진 경우 정확한 레코드 수; 그렇지 않으면 합리적 추정.
• 영향받은 정보주체. 직원, 고객, 공급업체 연락처, 최종 사용자? 어느 관할권에서?
• 피해의 가능성과 심각성. 제33조(3)(c) 틀을 사용 — 신원 도용, 사기, 금전적 손실, 평판 손상, 차별, 직업적 비밀의 기밀성 상실.
• 통지 기준 적용. GDPR: "자연인의 권리와 자유에 위험을 초래할 가능성이 낮은" 경우가 아닌 한 감독기관에 통지. LGPD: "관련 위험 또는 손해"를 초래할 수 있는 침해에 대해 ANPD 통지. PDPA-SG: 500명 이상 또는 중대한 피해.
• 규제 기관 측면 결정. 국경 간 GDPR의 경우 주된 감독기관. 처리가 여러 지역에 걸치면 다수의 규제 기관.

T+48시간 산출물: 피해 위험 평가; 통지 결정 매트릭스; 작성된 통지 템플릿 초안.

목표: 제출할 문서를 구축하고, 내부 기록을 확정하며, 이해관계자에게 보고합니다.

• 감독기관 제출을 위한 제33조(3) 내용 세트:
  1. 침해에 대한 설명(성격, 범주, 정보주체 및 레코드의 대략적 수).
  2. DPO 또는 기타 연락처의 성명과 연락처.
  3. 침해의 예상 결과.
  4. 침해를 해결하고 발생 가능한 악영향을 완화하기 위해 취했거나 제안된 조치.
• 내부 제33조(5) 기록. 통지하지 않더라도 침해를 내부적으로 문서화하십시오; 감독기관은 감사 시 이러한 기록을 요구합니다.
• 고위 경영진 보고. 사고 대응 정책에 따라 CEO, 이사회, 감사위원회에.
• 커뮤니케이션 계획 확정. 고객 커뮤니케이션 템플릿, FAQ, 임원 발언 요지, 대기 중인 소셜 미디어 모니터링.
• 하위 처리자 조율. 침해가 상류에서 비롯된 경우, 통지 메시지와 시기를 정렬합니다.

T+72시간 산출물: 제출 준비된 통지; 완전한 내부 기록.

목표: 법정 기한 내에 규제 기관에 통지하고, 필요한 경우 정보주체에게 커뮤니케이션합니다.

• 감독기관 제출 — 공식 포털을 통해(대부분의 EU DPA는 웹 양식을 보유; ICO는 온라인 양식 사용; ANPD는 전자 프로토콜 사용). 접수증을 보관하십시오 — 이것이 시점의 유일한 증거입니다.
• 다중 관할권 제출. 다수의 주된 감독기관이 있는 경우(드묾) 원스톱숍이 적용됩니다; 그렇지 않으면 각 관할 당국에 개별적으로 통지합니다.
• 정보주체 커뮤니케이션(고위험인 경우, 제34조): 명확하고 평이한 언어, DPO의 성명 + 연락처, 예상 결과, 완화 조치, 권고.
• 공개 성명(투자자에게 중대하거나 부문 규칙에 해당하는 경우, SEC 8-K, SAR 방식 보고).
• 내부 전체 회의 — 내러티브를 통제하기 위해 공개 발표 전에.

T+72시간 이후 산출물: 제출 확인; 정보주체 커뮤니케이션 발송(또는 통지하지 않기로 한 결정의 문서화); 14일 이내 사후 검토 일정 수립.

• 사고 지휘관 — 속도를 관장하고, 단계 전환을 선언하며, 장애물을 에스컬레이션합니다.
• DPO / 개인정보 책임자 — 규제 기관 통지 결정과 내용을 담당합니다.
• CISO / 보안 책임자 — 봉쇄, 포렌식, 근본 원인 분석을 담당합니다.
• 법무총괄 / 외부 자문 — 특권, 커뮤니케이션 검토, 규제 기관 대응 전략을 담당합니다.
• 커뮤니케이션 — 외부 메시징, 소셜 모니터링, 언론 대응을 담당합니다.
• CEO / 고위 리더십 — 평판 관련 결정, 고객 대상 사과, 사후 약속을 담당합니다.

가장 흔한 조직적 실패는 실제 규제 기관 제출에 대한 DPO와 법무총괄 간 소유권의 불명확성입니다. 사전에 정리하십시오 — 대부분의 팀은 기본적으로 자문 특권 하에 DPO가 초안을 작성하고, 제출 문서 자체에는 DPO를 지정 연락처로 둡니다.

GDPR 제34조는 권리와 자유에 고위험이 있을 때 정보주체 커뮤니케이션을 발동합니다. 그 기준은 감독기관 통지 기준보다 높습니다. 통지가 정당화되는 예:

• 암호화되지 않은 금융 계좌 정보, 인증에 사용되는 식별자.
• 특별 범주 데이터(건강, 유전, 생체, 정치, 종교).
• 신원 도용 또는 금융 사기를 가능하게 하는 정보.
• 실질적으로 민감한 아동 데이터.

제34조(3)는 직접 커뮤니케이션에 대한 세 가지 면제를 열거합니다: 권한 없는 자에게 데이터를 판독 불가능하게 만드는 암호화, 고위험을 제거하는 조치, 또는 공개 커뮤니케이션으로 대체할 수 있는 불균형적 노력.

통지 내용(제34조(2)): 침해의 성격, DPO의 성명과 연락처, 예상 결과, 취한 조치. 평이한 언어로.

• 잘못된 시점에 시계를 시작하는 것. 감독기관은 "인지"에 도달한 시점을 면밀히 조사합니다. IR 팀이 사고를 선언하기 전 5일간 조사했다면, 그 간격은 지연처럼 보입니다.
• 범위 과소평가. 규제 기관의 호의를 잃는 가장 빠른 방법은 초기 수치를 과소 보고한 후 대폭 상향 수정하는 것입니다.
• 문서화된 평가의 부재. 통지하지 않기로 결정하더라도 제33조(5)는 여전히 침해와 그 사유에 대한 내부 기록을 요구합니다.
• 잘못된 감독기관에 통지하는 것. 원스톱숍은 GDPR 하의 국경 간 처리에만 적용됩니다. 지역 한정 처리는 주된 기관이 아니라 현지 감독기관에 통지해야 합니다.
• 규제 기관 제출 전 고객 커뮤니케이션. 실무상 순서가 중요합니다: 규제 기관은 이를 선의의 대응으로 보지만, 고객은 어느 것이 먼저였는지 신경 쓰지 않습니다.
• 인도 CERT-In의 6시간 기한을 잊는 것. 인도의 부문별 중첩 규정에 익숙하지 않은 글로벌 팀이 자주 놓칩니다.
• 포렌식 증거를 보존하지 않는 것. 손상된 호스트의 전원을 끄면 메모리에 상주하는 악성코드 지표가 파괴될 수 있습니다.