산업별 규정이란?

산업별 HIPAA 및 PCI DSS와 같은 규제와 전 부문에 걸친 GDPR은 데이터 보호 규정입니다. 대부분의 의료 및 금융과 같은 특정 분야에 적용됩니다. 주요 목적은 민감한 데이터를 보호하는 것이며, 법률은 해당 산업의 요구 사항에 따라 달라질 것입니다.

• HIPAA(건강보험 이동성 및 책임법): 의료 산업 전용으로 환자 건강 데이터 보호를 위해 고안되었습니다.
• PCI DSS(결제 카드 산업 데이터 보안 표준): 카드를 받는 모든 사업체를 위한 카드 업계 표준으로, 거래 중 카드 소유자 데이터 보호를 위해 설계되었습니다.
• GDPR(일반 데이터 보호 규정): 모든 EU 회원국에 적용되며 데이터 수집 및 처리를 규제합니다. EEA(노르웨이, 아이슬란드, 리히텐슈타인)의 비 EU 회원국에도 적용됩니다.

규제 준수는 보안 프레임워크에 대한 지침입니다. 보안 통제를 구현하고 정책을 고려하여 사이버보안에 대한 규제 요구 사항을 준수해야 합니다. 

데이터 침해와 같은 사이버 보안 위협을 피하고, 이로 인한 재정적, 명예적 영향을 피하려면 규정을 준수하는 것이 중요합니다.

• HIPAA: 의료 산업을 위한 것으로, 환자 건강 정보 보호에 중점을 둡니다. 개인 정보 보호와 기밀성이 두 가지 핵심 측면입니다.
• PCI DSS: 카드 업계 표준 공급자가 거래 중 카드 소유자 데이터를 안전하게 보호하도록 요구합니다. 이는 사기 방지 및 데이터 보안을 위해 필요합니다. 이 규칙은 카드 소유자 데이터를 처리하는 모든 주체에 적용됩니다.

이 두 가지의 차이점을 알아보고, 귀하의 산업과 비즈니스 모델에 적용되는 사항에 집중하세요.

HIPAA 또는 GDPR을 준수한다고 해서 PCI DSS를 충족하는 것은 아닙니다. 카드를 받는 병원이나 온라인 상점도 카드 소유자 데이터를 저장, 처리 또는 전송하는 모든 주체에 적용되므로 이를 충족해야 합니다 (PCI SSC).

SaaS를 위한 HIPAA 준수 보호를 의미합니다 클라우드 기반 애플리케이션 내 PHI 데이터의 처리 및 저장. 이는 다음을 포함합니다:

• 데이터 암호화
• 액세스 제어
• 감사 추적
• 고객과의 사업자 협약

SaaS 공급업체의 맞춤형 기능을 살펴보는 것으로 시작할 수 있으며 구현 필요한 보안 통제.

PCI-DSS는 결제 카드 정보를 처리할 때 안전한 환경을 유지하는 것을 의무화하며, 그 목적은 사기를 방지하는 것입니다. PCI DSS는 법률이라기보다는 산업 표준입니다. 이를 만든 PCI 보안 표준 위원회는 2006년에 American Express, Discover, JCB International, Mastercard, Visa가 설립했습니다(PCI SSC). the 표준 은 신용카드 회사에 의해 만들어졌으며 다음 사항을 준수하도록 요구합니다:

• 보안 유지 귀하의 네트워크: 저장된 데이터를 보호하고 기본 설정을 변경합니다. 또한 방화벽을 설치해야 합니다.
• 카드 소유자 데이터 보호: 카드 소유자 데이터 보안은 다음을 포함합니다. 전송 중 데이터 암호화 및 특정 민감한 데이터 저장을 피하는 것; 이러한 관행을 벗어나면 규정 미준수로 이어질 수 있습니다.
• 보안 유지: 안티바이러스 소프트웨어를 사용하고 시스템과 앱을 최신 상태로 유지하세요.
• 접근 제어: 클라우드 내 각 사람에 대해 사용자 액세스 매개변수를 설정하고 고유 ID를 할당하세요.
• 모니터링 및 테스트: 보안 조치를 테스트하고 액세스를 추적하여 침해를 방지하세요.
• 보안 정책: 보안 정책을 작성하고 변경 사항을 반영하기 위해 자주 검토하세요.

SaaS GDPR 규정을 준수하려면 다음 단계를 따르세요.

• 최소화: 수집 오직 필요한 개인 데이터 그리고 필요한 기간 동안만 저장하십시오.
• 동의: 데이터를 수집하거나 처리하기 전에 동의 또는 계약과 같은 합법적인 근거를 확보하십시오 (GDPR 제6조).
• 데이터 주체 권리: 개인에게 자신의 데이터에 대한 액세스 권한을 부여하고 원하는 경우 수정 및 삭제할 수 있도록 합니다.
• : 제품 설계 단계 전반에 걸쳐 개인 정보 보호를 고려합니다.: 제품 설계 단계 전반에 걸쳐 개인 정보 보호를 고려합니다.
• 데이터 침해 알림: 보고하십시오 위반 사항을 귀하의 감독 기관에 72시간 이내에 사람들에게 위험을 초래할 가능성이 낮은 경우가 아니라면, 그리고 최소화하기 위한 조치를 이행하십시오 그것의 영향을.

EU 내 어디에서 운영하든 GDPR은 필수입니다. 영국과 스위스와 같은 주변 국가도 준수해야 할 자체 법률이 있습니다.