암호화 규정 준수 요구사항: GDPR, HIPAA 등

파일 전송의 암호화 규정 준수는 다섯 가지 규정과 두 가지 진실로 요약됩니다. GDPR 제32조는 개인정보에 "적절한" 암호화를 요구합니다. HIPAA 164.312(a)(2)(iv) 및 (e)(2)(ii)는 접근 제어와 전송 보안을 다룹니다. PCI DSS 4.0 요구사항 4는 전송 중 강력한 암호화를 의무화합니다. SOC 2 공통 기준 6.7은 기밀 데이터의 전송을 다룹니다. 한국 개인정보보호법(PIPA)은 개인정보 처리 시 안전성 확보 조치를 요구합니다. 두 가지 진실: 전송 중 TLS는 바닥이지, 천장이 아닙니다. 서버 측 저장 암호화는 제공자가 키를 보유하면 아무 의미가 없습니다.

GDPR 제32조와 "적절한" 기준

제32조(1)(a)는 "위험에 적절한 수준의 보안"을 보장하기 위한 기술적 조치로 암호화를 명시합니다. Recital 83은 적절성이 최신 기술 수준, 비용, 처리 성격, 위험을 고려한다고 명확히 합니다. 2026년 실무에서 적절한 수준은 전송 중 AES-256-GCM 또는 ChaCha20-Poly1305, 그리고 제9조의 특별 범주 데이터(건강, 생체인식, 정치적 견해)가 포함된 경우 클라이언트 사이드 암호화를 의미합니다. EDPB의 2024년 제3국 데이터 이전 가이드라인은 종단간 암호화를 Schrems II 이후 비적정국으로의 이전을 합법화할 수 있는 보완 조치로 인정합니다.

HIPAA 보안 규칙과 "주소 지정 가능" 기준

HIPAA의 암호화 요구사항은 기술적으로 "필수"가 아닌 "주소 지정 가능"으로 분류되어 있어 혼동을 줍니다. 45 CFR 164.312(a)(2)(iv) 및 164.312(e)(2)(ii)는 암호화를 구현하거나 왜 합리적이지 않은지 문서화하도록 요구합니다. OCR의 2024년 지침은 명확합니다: "주소 지정 가능은 선택 사항을 의미하지 않습니다." 사실상의 기준은 NIST FIPS 140-3 인증 암호화이며, 실무상 저장 시 AES-256, 전송 시 TLS 1.2+를 의미합니다. PHI(DICOM 검사, HL7 메시지, CCDA 문서)를 처리하는 전송 서비스는 BAA를 제공하고 164.308(a)(4)에 따른 접근 통제를 입증해야 합니다.

PCI DSS 4.0의 암호화 강도

요구사항 4.2.1(2025년 3월 31일 발효)은 개방형 네트워크 전송 중 강력한 암호화를 의무화합니다. 강력함이란 TLS 1.2 최소, TLS 1.3 권장, 승인된 암호 스위트만(RC4, 3DES, 수출 등급 제외)을 의미합니다. 요구사항 3.5는 키 관리를 다룹니다. 키는 암호화된 데이터와 별도로 저장되고, 정의된 정책에 따라 교체되며, 더 이상 필요하지 않을 때 폐기되어야 합니다. 파일 전송 벤더가 TLS 1.3과 X25519-MLKEM 하이브리드를 사용한다면 이는 규정 준수 문서에 포함되어야 합니다.

SOC 2 공통 기준의 전송 요건

CC6.7은 "주체가 권한이 있는 내외부 사용자에게만 정보 전송, 이동, 제거를 제한"하도록 요구합니다. 감사 실무에서 감사관들은 TLS 구성(Qualys SSL Labs 실행, A+ 기대), 12개월 보존 접근 로그, 암호화 키 관리 정책, 사고 대응 실행서를 요청합니다. CC7.2는 탐지를 다루며, 파일 전송 감사 추적이 이를 충족합니다. Type II 보고서는 6개월 관찰 기간이 필요하므로 감사 중간에 도입한 파일 전송 도구는 다음 사이클까지 인정되지 않을 수 있습니다.

CCPA·CPRA와 암호화 면책 조항

캘리포니아 민법 1798.150(a)는 "비암호화 및 비삭제 개인정보"의 침해에 대해 소비자당 건당 100~750달러의 법정 손해배상 청구권을 만들어 냅니다. 해석하자면, 침해된 데이터가 공격자가 획득하지 못한 키로 암호화되어 있었다면 법정 손해배상을 면합니다. 한국 개인정보보호법 제29조도 개인정보 처리 시 안전성 확보 조치 위반에 과징금을 부과하며, 암호화는 핵심 안전조치 중 하나입니다. 캘리포니아 법무장관의 2024년 Sephora와 DoorDash 대상 집행 조치는 모두 저장 암호화 실패를 지적했습니다.

주별 침해 통지와 "암호화"의 정의

미국 50개 주 모두 침해 통지법을 두고 있으며 대부분 암호화 면제 조항을 포함하지만 정의가 다릅니다. 공통점은 AES-128 이상, 공격자가 키에 접근할 수 없어야 한다는 것입니다. 파일 전송 서비스가 같은 서버에 암호문과 키를 모두 보유한다면 해당하지 않습니다. 서버를 침해한 공격자는 둘 다 얻기 때문입니다. 한국의 경우 개인정보보호위원회의 과징금 처분 사례들도 동일한 기준을 반영하고 있습니다.

Schrems II 이후의 국경 간 이전 요건

EU에서 미국, 인도, 또는 적정성 결정이 없는 국가로 파일을 이동할 때는 CJEU의 Schrems II 판결(C-311/18)에 따른 보완 조치가 필요합니다. 서비스가 평문에 접근할 수 없는 종단간 암호화가 EDPB 권고안 01/2020에 따른 최고 수준의 보완 조치입니다. 클라이언트 사이드 암호화로 법적 분석이 달라집니다. 미국 기반 S3 버킷이 제공자가 읽을 수 없는 암호문을 보유하므로 FISA 702 공개 요청은 실질적으로 무용해집니다. 이를 이전 영향 평가(TIA)에 문서화하고 제46조 안전장치에 반영하십시오.

문서화로 방어 가능한 준수 달성

감사관은 완벽한 보안이 아니라 문서화된 합리적 보안에 점수를 줍니다. 암호화 인벤토리(알고리즘, 키 크기, 교체 일정), 파일 전송이 신뢰 경계를 넘는 지점을 보여주는 데이터 흐름 다이어그램, 파일 전송 제공자의 인증(ISO 27001, SOC 2, HIPAA BAA 가용성)을 포함하는 벤더 평가를 유지하십시오. 연간 재검토하십시오. 침해가 발생할 때(그리고 반드시 발생합니다), 이 문서화가 5,000만 원 벌금과 5억 원 벌금의 차이를 만듭니다.

hexatransfer.com에서 사용해 보세요 — 무료, 계정 불필요, 최대 10GB.