안전한 파일 공유 for Accountants and CPAs

국세청(NTS)과 개인정보보호위원회(PIPC)는 회계사와 세무사가 납세자 데이터를 처리할 때 개인정보 보호법(PIPA) 제29조에 따른 기술적 보호조치를 적용할 의무가 있음을 명확히 하고 있다. KISA 가이드라인은 최소 AES-256 저장 암호화와 TLS 1.3 전송 암호화를 권고한다. 이메일 첨부로 W-2, 연말정산 서류, 감사 재무제표를 주고받는 것은 규정 위반이다. 실용적인 스택: 세금 신고 클라이언트 포털로 SmartVault 또는 TaxDome, 일회성 전송에는 HexaTransfer 또는 Tresorit Send, 모든 납품물에는 PDF 비밀번호 보호를 적용한다.

PIPA, FTC 세이프가드 규칙, 그리고 세무사의 의무

미국 FTC 세이프가드 규칙(2023년 개정)은 세무 준비자, CPA, 파이낸셜 플래너를 "금융 기관"으로 분류하며 다음을 의무화한다.

고객 정보에 접근하는 모든 시스템에 MFA 적용
전송 중 및 저장 중 고객 정보 암호화
서면 사고 대응 계획 수립
5,000건 이상 기록 보유 시 연간 이사회 보고

한국의 PIPA도 세무 법인이 처리하는 납세자 개인정보에 동일한 보안 의무를 부과한다. 위반 시 FTC 집행과 평판 손상이 따른다. 납세자 데이터 유출은 영향을 받은 고객, 과세 당국, 해당 주 법무장관에게 통지 의무를 발생시킨다.

세금 워크플로에 맞게 구축된 클라이언트 포털

범용 파일 공유 도구는 연도별 폴더 구조, 계약서, 8879 전자 서명, 세금 소프트웨어 통합 같은 세금 전용 기능이 없다. 전용 포털:

SmartVault: 사용자당 월 $20~70, Lacerte·ProSeries·UltraTax·Drake와 긴밀하게 통합
TaxDome: 사용자당 월 $50~100, 포털과 업무 관리가 하나에
Canopy: 유사한 요금, 업무 워크플로에 강점
Intuit Link: Lacerte·ProConnect와 함께 무료, Intuit 사용자 한정
ShareFile(Progress 소속): 사용자당 월 $50~120, 강한 컴플라이언스 포지션

세금 소프트웨어와 사무소 규모에 따라 선택한다. 1인 및 소규모 사무소는 TaxDome 또는 SmartVault가 적합하다. CCH 또는 Thomson Reuters를 운영하는 중형 사무소는 Securefilepro나 전용 ShareFile 테넌트가 맞다.

클라이언트로부터 원천 서류 수집하기

세금 신고 시즌에는 근로소득 원천징수영수증, 1099, 모기지 이자 확인서, 브로커리지 명세서, K-1, 영수증이 끊임없이 들어온다. 클라이언트의 기술 친숙도는 제각각이다. 수집 흐름은 최소 기술 사용자를 기준으로 설계한다.

포털 초대 링크와 한 문장짜리 안내를 이메일로 발송한다: "이 링크를 클릭하고 원천징수영수증을 업로드하세요."
모바일 업로드를 허용한다(대부분의 포털에 클라이언트 앱이 있다).
일회성 발송자에게 계정 생성을 요구하지 않는다.
20건 이상 서류를 가진 클라이언트를 위해 드래그 앤 드롭 일괄 업로더를 제공한다.
암호화되지 않은 이메일로는 절대 원천 서류를 수락하지 않는다(클라이언트가 주장하더라도).

포털 사용을 거부하는 클라이언트에게는 미리 작성한 응답을 보낸다: "고객 보호를 위해 이메일로 세금 서류를 수락할 수 없습니다. 대신 이 보안 링크를 이용해 주세요."

세금 신고서와 계약 서류 납품

완성된 신고서와 지원 서류는 매우 민감하다. 비밀번호 보호 PDF로 패키징하되, 클라이언트가 알고 있는 비밀번호(일반적인 주민등록번호 뒷 4자리 기본값은 취약하므로 계약서에 담긴 패스프레이즈 사용 권장)를 사용한다.

일반적인 납품 패키지:

연방 및 주 신고서 클라이언트 사본(.pdf, 30~200페이지, 2~20 MB)
8879 전자 파일 승인 서식(별도 서명용 전송)
청구서
다음 해를 위한 세무 계획 메모
납부 바우처(잔액이 있는 경우)

8879 등 서명이 필요한 서식에는 IRS 규정 준수 전자 서명 제공업체(Docusign, Adobe Acrobat Sign, 또는 TaxDome/SmartVault의 서명 도구)를 사용한다. 원격 전자 서명의 경우 IRS 규정상 지식 기반 인증(KBA)이 필요하다.

K-1, 1099, 다자간 배포 처리

파트너십과 S법인은 수십 명 또는 수백 명의 파트너에게 K-1을 배포한다. 종이 K-1을 우편으로 보내는 것은 비용이 많이 들고 느리다. 파트너의 동의와 특정 공시 사항이 전달된다면 전자 배포가 허용된다.

대량 K-1 배포 워크플로:

Lacerte, UltraTax, 또는 CCH에서 개인별 K-1 PDF 생성
파트너별 비밀번호로 각 PDF를 비밀번호 보호
포털 또는 보안 전송으로 업로드
표준 이메일 템플릿으로 각 파트너에게 통지
감사 목적으로 납품 및 다운로드 영수증 추적

감사 준비를 위한 파일 보존 정책

세무사 보존 요건:

Circular 230(IRS 앞에서 활동하는 EA, CPA, 변호사): 신고서 제출 후 3년
AICPA 전문 표준: 대부분의 작업지 7년
주 CPA 이사회: 대개 7년
특정 업무(감사, 확인): 계약에 연동된 보존 기간

실용적 정책: 모든 것을 7년간 보관한 후 Backblaze B2(TB당 월 $6) 같은 콜드 스토리지에 추가 3년 아카이브하고 보존 정책에 따라 삭제한다. 이 정책을 서면 정보 보안 계획(WISP)에 명문화한다.

보존 사본 자체도 보호해야 한다. 암호화 드라이브에 암호화된 아카이브를 오프사이트에 저장하고 접근 로그를 유지한다. 7년치 세금 신고서가 담긴 도난 백업 드라이브는 그 자체로 침해 사고다.

5인 CPA 사무소의 현실적인 스택

세금 소프트웨어: Drake Tax, UltraTax CS, 또는 Lacerte
클라이언트 포털: SmartVault 또는 TaxDome
전자 서명: 포털 내장 또는 Docusign
임시 전송: 일회성 건에 암호화 전송 도구(HexaTransfer)
패스워드 매니저: 1Password Business
백업: Datto, iDrive, 또는 Acronis
사이버 보험: 1억 원 이상 커버리지
연간 WISP 검토: 법적 의무

https://hexatransfer.com — 무료, 계정 불필요, 최대 10 GB.