قانون امنیت داده‌های بیمه HB 974 میزوری: کارهایی که آژانس‌های کوچک باید پیش از 1 ژانویه 2026 انجام دهند

اگر یک آژانس بیمه دو‌نفره را در یک پاساژ کوچک در اسپرینگفیلد یا کیپ ژیراردو اداره می‌کنید، احتمالاً فکر می‌کنید قوانین امنیت سایبری برای شرکت‌های بزرگی مثل آلستیت و پروگرسیو نوشته شده‌اند. از 1 ژانویه 2026، قانون میزوری خلاف این را می‌گوید. لایحه شماره 974 مجلس نمایندگان، قانون جدید امنیت داده‌های بیمه این ایالت، تقریباً بر هر نهادی که مجوز فروش، ارائه خدمات یا ارزیابی خسارت بیمه در میزوری را دارد، یک تعهد رسمی برای انطباق با امنیت سایبری تحمیل می‌کند — و ساعت شمارش معکوس از هم‌اکنون در حال کار است.

میزوری در اینجا چیز تازه‌ای اختراع نمی‌کند. این ایالت در حال پذیرش یک قانون الگو است که اکثریت ایالت‌ها پیش‌تر آن را تصویب کرده‌اند، به این معنا که آژانس‌هایی که در چند ایالت فعالیت می‌کنند ممکن است پیش‌تر تحت قوانین مشابهی در جاهای دیگر بوده باشند و صرفاً متوجه نشده باشند که میزوری هم قرار است به این فهرست بپیوندد. در ادامه می‌بینیم دقیقاً چه چیزی تغییر کرده، چه کسانی باید از آن پیروی کنند و یک آژانس کوچک از حالا تا موعد مقرر باید چه کارهایی انجام دهد.

قانون HB 974 دقیقاً چه می‌کند​

فرماندار میزوری، مایک کیهو، در 2 ژوئیه 2025 لایحه HB 974 را امضا کرد و با این کار میزوری تقریباً سی‌و‌سومین ایالت (به‌علاوه پورتوریکو) شد که قانون الگوی امنیت داده‌های بیمه انجمن ملی کمیسیونرهای بیمه (NAIC) را پذیرفت. نسخه میزوری این قانون از 1 ژانویه 2026 اجرایی می‌شود و قانون امنیت داده‌های بیمه را در دل قانون بیمه این ایالت ایجاد می‌کند.

این قانون بر هر نهادی که تحت قوانین بیمه میزوری دارای مجوز است، یا ملزم به داشتن مجوز، اجازه فعالیت یا ثبت است، اعمال می‌شود. این دایره‌ای گسترده است: شرکت‌های بیمه‌گر، مدیران شخص ثالث، نمایندگان کلی مدیریتی و — که برای بیشتر خوانندگان این مقاله اهمیت اساسی دارد — آژانس‌های بیمه مستقل و تولیدکنندگان بیمه (producers) به‌صورت فردی.

این قانون جدا از قانون عمومی اطلاع‌رسانی نقض داده‌های میزوری است. دارندگان مجوز بیمه اکنون باید هم‌زمان با هر دو قانون منطبق باشند: قانون عمومی اطلاع‌رسانی به مصرف‌کننده که بر هر کسب‌وکار در میزوری اعمال می‌شود، و این نظام اختصاصی بیمه که تعاریف، زمان‌بندی و نهاد نظارتی مخصوص به خود را دارد (اداره تجارت و بیمه میزوری، به‌جای دادستان کل).

چهار چیزی که هر دارنده مجوز باید بسازد​

اگر زبان حقوقی را کنار بگذاریم، HB 974 از دارندگان مجوز می‌خواهد چهار چیز مشخص بسازند.

1. یک برنامه مکتوب امنیت اطلاعات​

این قانون یک برنامه مستند را الزامی می‌کند که «متناسب با اندازه، پیچیدگی و میزان استفاده دارنده مجوز از ارائه‌دهندگان شخص ثالث» باشد و بر پایه یک ارزیابی ریسک مستند بنا شده باشد. در عمل این یعنی نمی‌توانید صرفاً یک نرم‌افزار آنتی‌ویروس بخرید و بگویید کار تمام است — باید یک سند مکتوب داشته باشید که مشخص می‌کند چه داده‌ای نگهداری می‌کنید، چه اتفاقاتی ممکن است رخ دهد و چه تدابیر حفاظتی برای جلوگیری از آن دارید. تدابیر اداری، فنی و فیزیکی همگی باید پوشش داده شوند: مواردی مانند کنترل دسترسی، رمزگذاری داده‌های حساس، احراز هویت چندمرحله‌ای، ردیابی ممیزی (audit trail) و امحای امن سوابقی که دیگر به آن‌ها نیاز ندارید.

2. ارزیابی ریسک و آزمایش سالانه​

یک زونکن خط‌مشی یک‌باره، انطباق محسوب نمی‌شود. این قانون انتظار آزمایش مستمر کنترل‌های کلیدی را دارد — تأیید دوره‌ای اینکه تدابیر حفاظتی شما هنوز کار می‌کنند، نه صرفاً اینکه زمان نوشتن خط‌مشی وجود داشته‌اند. برای یک کسب‌وکار کوچک، معمولاً همین مرحله است که نادیده گرفته می‌شود، چون «آزمایش سالانه» شبیه چیزی به نظر می‌رسد که فقط یک واحد فناوری اطلاعات وقتش را دارد. لازم نیست این کار پیچیده باشد: یک بازبینی مکتوب از اینکه چه کسی به پرونده‌های مشتریان دسترسی دارد، آیا حساب‌های قدیمی غیرفعال شده‌اند یا نه، و آیا نسخه‌های پشتیبان واقعاً قابل بازیابی هستند، اگر سالی یک بار انجام و مکتوب شود، تأثیر زیادی دارد.

3. یک طرح واکنش به حادثه​

پیش از آنکه اتفاقی بیفتد، دارندگان مجوز باید یک طرح مستند داشته باشند که مشخص کند در جریان یک رخداد امنیت سایبری چه کسی چه کاری انجام می‌دهد — چه کسی تحقیق می‌کند، چه کسی با نهادهای نظارتی و مصرف‌کنندگان آسیب‌دیده ارتباط برقرار می‌کند و چه کسی مسئول اصلاح موضوع است. نوشتن این موارد از پیش اهمیت دارد، چون ساعت شمارش اطلاع‌رسانی که در ادامه توضیح داده می‌شود، از همان لحظه کشف حادثه شروع به کار می‌کند. آژانسی که در میانه یک نقض داده به دنبال کشف رویه تشدید (escalation) خودش باشد، ساعت‌های ارزشمندی را که ندارد، از دست می‌دهد.

4. نظارت بر تأمین‌کنندگان​

اگر یک تأمین‌کننده شخص ثالث — سیستم مدیریت آژانس شما، ارائه‌دهنده ایمیل شما، یک ابزار ذخیره‌سازی فایل ابری — به داده‌های مصرف‌کننده دسترسی داشته باشد و مورد نفوذ قرار گیرد، این به‌عنوان حادثه خودِ شما در نظر گرفته می‌شود، نه فقط حادثه آن تأمین‌کننده. HB 974 مستلزم بررسی دقیق (due diligence) در انتخاب تأمین‌کنندگان و گنجاندن الزامات امنیتی قراردادی در این روابط است. بازبینی قراردادهای تأمین‌کنندگان خود از نظر بندهای امنیتی پیش از 1 ژانویه، استفاده معقولی از چند ماه پیش رو است.

ساعت شمارش اطلاع‌رسانی: چهار روز کاری​

عدد کلیدی در HB 974، سرعت است. به‌محض اینکه یک دارنده مجوز یک رخداد امنیت سایبری را کشف می‌کند، باید بی‌درنگ دامنه و تأثیر آن را بررسی کند، و اگر این رخداد 250 یا بیشتر مصرف‌کننده میزوری را تحت تأثیر قرار دهد یا بتواند به‌طور محسوسی به ساکنان یا عملیات میزوری آسیب برساند، دارنده مجوز باید ظرف چهار روز کاری اداره تجارت و بیمه میزوری را مطلع کند.

چهار روز کاری، سرعتی بالاست. اکثر قوانین عمومی اطلاع‌رسانی نقض در سطح ایالتی، به کسب‌وکارها 30، 45 یا حتی 60 روز فرصت می‌دهند تا مصرف‌کنندگان آسیب‌دیده را پس از کشف مطلع کنند. زمان‌بندی اختصاصی بیمه این بازه را به‌شدت فشرده می‌کند — و دقیقاً به همین دلیل، از پیش داشتن یک طرح واکنش به حادثه نوشته‌شده، به‌جای بداهه‌سازی در لحظه، در هیچ معنای عملی اختیاری نیست.

آیا یک آژانس کوچک معافیت می‌گیرد؟​

قانون الگوی NAIC شامل معافیتی برای دارندگان مجوز با کمتر از 10 کارمند، نمایندگان یک دارنده مجوز، و نهادهایی است که پیش‌تر با HIPAA منطبق‌اند — اما این معافیت فقط مربوط به بخش 4، یعنی الزام ساخت برنامه امنیت اطلاعات، است. ایالت‌هایی که این قانون الگو را می‌پذیرند، همیشه این آستانه را همان‌طور که نوشته شده حفظ نمی‌کنند؛ برخی آن را کاهش داده‌اند، برخی آن را تا 25 کارمند افزایش داده‌اند و چند ایالت هم معافیت را برای نمایندگان حذف کرده‌اند اما برای شرکت‌های بیمه‌گر نگه داشته‌اند.

نتیجه عملی این است: بدون تأیید اینکه متن اختصاصی میزوری واقعاً بر تعداد کارکنان و نوع مجوز شما اعمال می‌شود، فرض نکنید که یک «معافیت کسب‌وکار کوچک» از شما محافظت می‌کند. حتی دارنده مجوزی که واجد شرایط معافیت بخش 4 است، همچنان مشمول الزامات بررسی و اطلاع‌رسانی نقض است — این معافیت بار کاغذبازی را کاهش می‌دهد، شما را از دایره شمول قانون خارج نمی‌کند. اگر آژانس شما به این خط مرزی نزدیک است، پیش از اینکه فرض کنید تحت پوشش هستید، ارزش دارد با یک وکیل متخصص بیمه یا انجمن نمایندگان بیمه ایالت خود صحبت کنید.

چرا آژانس‌های مستقل بیشترین ریسک را دارند​

شرکت‌های بیمه‌گر از قبل برنامه‌های امنیت سایبری بالغی دارند، عمدتاً چون سال‌هاست تحت قوانین مشابه در ایالت‌های دیگر بوده‌اند و بودجه لازم برای کارکنان امنیتی اختصاصی را دارند. شکاف انطباق در سطح آژانس‌های مستقل باز می‌شود — همان کسب‌وکار دو یا سه‌نفره‌ای که بیمه‌نامه‌های مشتریان، تمدیدها و صورت‌حساب‌های کمیسیون را با یک لپ‌تاپ، یک سیستم مدیریت آژانس و یک حساب جیمیل مدیریت می‌کند.

متأسفانه همین‌جا هم بخش زیادی از ریسک واقعی قرار دارد. آژانس‌های بیمه دقیقاً همان نوع داده‌ای را نگه می‌دارند که مهاجمان می‌خواهند: نام، آدرس، تاریخ تولد، شماره تأمین اجتماعی، شماره گواهینامه رانندگی، گاهی اطلاعات پزشکی مرتبط با بیمه‌نامه‌های سلامت یا عمر، و اطلاعات بانکی برای پرداخت حق بیمه. یک ایمیل فیشینگ که حساب ایمیل یک آژانس را به خطر بیندازد، می‌تواند داده‌های مشتریان را در ده‌ها بیمه‌نامه به‌طور هم‌زمان افشا کند — و اکنون ساعت شمارش چهار روز کاری‌ای را فعال می‌کند که بیشتر آژانس‌ها هرگز مجبور به اجرای آن نبوده‌اند.

پیش از 1 ژانویه چه باید کرد​

1. تأیید کنید آیا آژانس شما معاف است بر اساس آستانه کارکنان اختصاصی میزوری، و بدون بررسی متن مصوب، فرض نکنید که آستانه پیش‌فرض 10 کارمندی NAIC به‌طور کلی اعمال می‌شود.
2. موجودی داده‌های مصرف‌کننده‌ای که واقعاً نگهداری می‌کنید را ثبت کنید — کدام سیستم‌ها آن را دارند، چه کسی می‌تواند به آن دسترسی داشته باشد و آیا بخشی از آن جایی ذخیره شده که نیازی به آن نیست.
3. برنامه امنیت اطلاعات را بنویسید، حتی اگر برای یک کسب‌وکار کوچک تنها چند صفحه باشد. این برنامه باید واقعاً وجود داشته باشد و متناسب با اندازه و ساختار واقعی شما باشد، نه اینکه به‌طور کامل از قالب چهل‌صفحه‌ای یک شرکت بیمه‌گر کپی شده باشد.
4. یک طرح واکنش به حادثه پیش‌نویس کنید با نام افراد، نه فقط عناوین شغلی — چه کسی با اداره تجارت و بیمه تماس می‌گیرد، چه کسی با مشتریان آسیب‌دیده تماس می‌گیرد، چه کسی با بیمه‌گر خطا و قصور (E&O) شما تماس می‌گیرد.
5. قراردادهای تأمین‌کنندگان خود را بازبینی کنید برای سیستم مدیریت آژانس، ارائه‌دهنده ایمیل و هر ابزار ذخیره‌سازی ابری، و مطمئن شوید که شامل تعهدات امنیتی قابل استناد هستند.
6. بازبینی سالانه را در تقویم ثبت کنید. از همین حالا یک یادآوری دوره‌ای تنظیم کنید تا «آزمایش سالانه» به‌آرامی به «کاری که یک بار در 2025 انجام دادیم و دیگر سراغش نرفتیم» تبدیل نشود.

حسابداری کجای این ماجرای انطباق قرار می‌گیرد​

امنیت داده و ثبت‌و‌ضبط مالی ممکن است دو مسئله جدا از هم به نظر برسند، اما برای یک آژانس بیمه بیش از آنچه فکر می‌کنید با هم همپوشانی دارند. صورت‌حساب‌های کمیسیون، حساب‌های امانی حق بیمه و فرم‌های 1099 تولیدکنندگان، همگی همان داده‌های مالی مرتبط با مشتری هستند که HB 974 در تلاش برای محافظت از آن‌هاست — یعنی سیستم‌هایی که برای پیگیری پول استفاده می‌کنید، بخشی از سطح امنیت داده شما هستند، نه چیزی جدا از آن.

آژانس‌هایی که سوابق مالی را در یک سیستم مبهم و اختصاصی نگه می‌دارند، اغلب نمی‌توانند به‌سرعت به یک پرسش ساده انطباقی پاسخ دهند: کدام تأمین‌کننده به کدام داده مالی دسترسی دارد و یک عدد مشخص واقعاً از کجا آمده است؟ حسابداری متن‌ساده (plain-text accounting) این ابهام را کنار می‌زند. هر تراکنش در یک فایل دفتر کل قابل‌خواندن برای انسان و تحت کنترل نسخه قرار دارد که کاملاً در مالکیت شماست — بدون وابستگی به تأمین‌کننده، بدون پایگاه‌داده جعبه‌سیاهی که در صورت نفوذ، خودش تبدیل به یک بدهی ممیزی شود.

سوابق مالی خود را به‌اندازه برنامه امنیتی‌تان شفاف نگه دارید​

همان‌طور که آژانس شما خط‌مشی‌های مکتوبی را که HB 974 الزامی می‌کند می‌سازد، ارزش دارد همان استاندارد شفافیت را برای دفاتر خود نیز به کار ببرید. Beancount.io حسابداری متن‌ساده‌ای ارائه می‌دهد که دید و کنترل کامل بر داده‌های مالی شما فراهم می‌کند — هر ورودی قابل ممیزی، هر تغییر قابل ردیابی، بدون هیچ ابهامی که بررسی حوادث تأمین‌کننده را دشوارتر کند. رایگان شروع کنید و ببینید چرا کسب‌وکارهای کوچک با تمرکز مالی به سمت حسابداری متن‌ساده در حال حرکت‌اند.