스프링필드나 케이프지라도의 스트립몰에서 2인 보험 대리점을 운영하고 있다면, 사이버보안법은 올스테이트나 프로그레시브 같은 대기업을 위한 것이라고 생각하기 쉽다. 2026년 1월 1일부터 미주리주 법은 그렇지 않다고 말한다. 주의 새로운 보험 데이터 보안법인 하원법안 974(HB 974)는 미주리주에서 보험을 판매, 관리, 또는 손해사정할 면허를 가진 거의 모든 주체에게 공식적인 사이버보안 준수 의무를 부과하며, 시계는 이미 돌아가고 있다.
미주리주가 새로운 것을 만들어낸 것은 아니다. 대다수 주가 이미 채택한 모델법을 도입하는 것이며, 이는 여러 주에 걸쳐 영업하는 대리점이라면 이미 다른 지역에서 유사한 규정을 적용받고 있으면서 미주리주가 곧 그 대열에 합류할 것이라는 사실을 미처 인지하지 못했을 수도 있다는 의미다. 실제로 무엇이 바뀌었는지, 누가 준수해야 하는지, 그리고 소규모 대리점이 마감일까지 무엇을 해야 하는지 살펴보자.
HB 974가 실제로 규정하는 것
미주리주 마이크 케호 주지사는 2025년 7월 2일 HB 974에 서명해, 미주리주를 전미보험감독관협회(NAIC)의 보험 데이터 보안 모델법을 채택한 약 33번째 주(푸에르토리코 포함)로 만들었다. 미주리주 버전은 2026년 1월 1일 발효되며, 주 보험법 내에 보험 데이터 보안법을 신설한다.
이 법은 미주리주 보험 관련 법령에 따라 면허, 인가, 등록을 받았거나 받아야 하는 모든 주체에게 적용된다. 이는 광범위한 범위로, 보험사, 제3자 관리업체, 총대리점, 그리고 이 글의 대다수 독자에게 결정적으로 중요한 독립 보험 대리점과 개인 설계사가 모두 포함된다.
이는 미주리주의 일반 데이터 유출 통지법과는 별개다. 보험 면허 보유자는 이제 두 가지 모두를 준수해야 한다. 미주리주의 모든 기업에 적용되는 일반 소비자 통지법과, 자체 정의와 자체 일정, 자체 규제 당국(법무장관이 아닌 미주리주 상무보험부)을 가진 이 보험 전용 체계다.
모든 면허 보유자가 갖춰야 할 네 가지
법률 용어를 걷어내면, HB 974는 면허 보유자에게 네 가지 구체적인 것을 갖추도록 요구한다.
1. 서면 정보보안 프로그램
이 법은 "면허 보유자의 규모, 복잡성, 제3자 제공업체 사용 여부에 맞춘" 문서화된 프로그램을 요구하며, 이는 문서화된 위험 평가를 기반으로 해야 한다. 실무적으로는 백신 소프트웨어만 구입하고 끝낼 수 없다는 뜻이다. 보유한 데이터가 무엇인지, 무엇이 잘못될 수 있는지, 이를 막기 위해 어떤 안전장치를 갖추고 있는지를 밝힌 서면 문서가 필요하다. 관리적, 기술적, 물리적 안전장치를 모두 다뤄야 하며, 접근 통제, 민감 데이터 암호화, 다중 인증, 감사 추적, 더 이상 필요 없는 기록의 안전한 폐기 등이 포함된다.
2. 연례 위험 평가 및 테스트
한 번 작성한 정책 바인더로는 준수가 되지 않는다. 이 법은 핵심 통제 장치에 대한 지속적인 테스트를 요구한다. 정책을 작성할 당시에 안전장치가 존재했다는 것뿐 아니라, 지금도 여전히 작동하는지를 주기적으로 확인해야 한다는 뜻이다. 소규모 업체에서는 이 단계가 흔히 생략되는데, "연례 테스트"라고 하면 IT 부서가 있어야 할 수 있는 일처럼 들리기 때문이다. 하지만 거창할 필요는 없다. 누가 고객 파일에 접근할 수 있는지, 예전 계정이 비활성화되었는지, 백업이 실제로 복구되는지를 연 1회 검토하고 문서로 남기는 것만으로도 큰 도움이 된다.
3. 사고 대응 계획
문제가 발생하기 전에, 면허 보유자는 사이버보안 사고가 발생했을 때 누가 무엇을 하는지 — 누가 조사하고, 누가 규제 당국 및 영향을 받은 소비자와 소통하고, 누가 문제 해결을 담당하는지 — 를 명시한 문서화된 계획을 갖추고 있어야 한다. 이를 미리 작성해 두는 것이 중요한 이유는, 뒤에서 설명할 통지 시계가 사고를 발견하는 순간부터 작동하기 시작하기 때문이다. 유출 사고가 발생한 와중에 자체 대응 절차를 급하게 만들어야 하는 대리점은 여유가 없는 귀중한 시간을 낭비하게 된다.
4. 벤더 관리
대리점 관리 시스템, 이메일 제공업체, 클라우드 파일 저장 도구 같은 제3자 벤더가 소비자 데이터에 접근 권한을 가지고 있다가 유출 사고를 당하면, 이는 벤더만의 사고가 아니라 대리점 자신의 사고로 간주된다. HB 974는 벤더 선정 시 실사와, 그러한 관계에 계약상 보안 요건을 포함할 것을 요구한다. 1월 1일 전에 벤더 계약서에서 보안 관련 조항을 검토해 두는 것은 향후 몇 달을 합리적으로 활용하는 방법이다.
통지 시계: 영업일 기준 4일
HB 974의 핵심 수치는 속도다. 면허 보유자가 사이버보안 사고를 발견하면 즉시 범위와 영향을 조사해야 하며, 그 사고가 미주리주 소비자 250명 이상에게 영향을 미치거나 미주리주 주민 또는 사업 운영에 실질적인 피해를 줄 수 있는 경우, 면허 보유자는 영업일 기준 4일 이내에 미주리주 상무보험부에 통지해야 한다.
영업일 기준 4일은 매우 빠른 속도다. 대다수 주의 일반적인 유출 통지법은 기업이 발견 후 영향을 받은 소비자에게 통지하기까지 30일, 45일, 심지어 60일까지 준다. 보험 전용 일정은 이를 극적으로 압축한다. 바로 이 때문에 즉흥적으로 만드는 것이 아니라 이미 작성된 사고 대응 계획을 갖추는 것이 실질적으로 선택 사항이 아니다.
소규모 대리점도 예외를 받을 수 있는가?
NAIC 모델법에는 직원 10명 미만인 면허 보유자, 면허 보유자의 설계사, 그리고 이미 HIPAA를 준수하는 주체에 대한 예외 조항이 있지만, 이는 오직 정보보안 프로그램 구축 요건인 제4조에서만 적용된다. 모델법을 채택하는 주들이 항상 이 기준을 그대로 유지하는 것은 아니다. 어떤 주는 기준을 낮췄고, 어떤 주는 25명까지 높였으며, 일부 주는 보험사에는 예외를 유지하면서 설계사에 대한 예외는 없앴다.
실무적인 결론은, 자신의 직원 수와 면허 유형에 미주리주의 구체적인 법 조문이 실제로 적용되는지 확인하지 않은 채 "소규모 사업 예외"가 자신을 보호해 줄 것이라고 가정해서는 안 된다는 것이다. 제4조 예외에 해당하는 면허 보유자라도 사고 조사 및 통지 요건은 여전히 적용받는다. 이 예외는 서류 작업 부담을 줄여줄 뿐, 법 적용 대상에서 완전히 제외해 주는 것은 아니다. 대리점이 기준선에 가깝다면, 자신이 이미 적용을 받고 있다고 가정하기 전에 보험 전문 변호사나 주 설계사 협회와 상담해 볼 가치가 있다.
독립 대리점이 가장 큰 위험에 처한 이유
보험사는 이미 성숙한 사이버보안 프로그램을 운영하고 있는데, 이는 대체로 다른 주에서 수년간 유사한 규정을 적용받아 왔고 전담 보안 인력을 위한 예산이 있기 때문이다. 준수 격차는 독립 대리점 수준에서 벌어진다. 노트북 한 대, 대리점 관리 시스템, 지메일 계정만으로 고객 보험증권, 갱신, 수수료 명세서를 처리하는 2~3인 규모의 소규모 업체가 그 대상이다.
안타깝게도 실제 위험이 가장 크게 몰려 있는 곳도 바로 여기다. 보험 대리점은 공격자가 원하는 바로 그런 종류의 데이터를 보유하고 있다. 이름, 주소, 생년월일, 사회보장번호, 운전면허번호, 때로는 건강보험이나 생명보험 관련 의료 정보, 보험료 납부를 위한 은행 정보까지 말이다. 대리점의 이메일 계정을 노린 단 한 통의 피싱 이메일만으로도 수십 건의 보험증권에 걸친 고객 데이터가 한꺼번에 노출될 수 있으며, 이제는 대다수 대리점이 한 번도 대응해 본 적 없는 영업일 기준 4일 시계가 작동하기 시작한다.
1월 1일 전에 해야 할 일
- 대리점이 예외 대상인지 확인한다. 미주리주의 구체적인 직원 수 기준을 확인해야 하며, NAIC의 일반적인 10명 기본값이 그대로 적용된다고 가정하지 말고 실제 제정된 법 조문을 확인해야 한다.
- 실제로 보유하고 있는 소비자 데이터를 목록화한다. 어떤 시스템에 데이터가 있는지, 누가 접근할 수 있는지, 불필요한 곳에 저장되어 있는 데이터는 없는지 확인한다.
- 정보보안 프로그램을 작성한다. 소규모 업체라면 몇 페이지 분량이어도 상관없다. 보험사의 40페이지짜리 템플릿을 그대로 베끼는 대신, 실제 규모와 운영 방식에 맞춰 작성해야 하며 반드시 존재해야 한다.
- 사고 대응 계획을 작성한다. 역할뿐 아니라 실명까지 명시한다. 누가 상무보험부에 연락하고, 누가 영향을 받은 고객에게 연락하고, 누가 배상책임보험사에 연락하는지 정한다.
- 벤더 계약서를 검토한다. 대리점 관리 시스템, 이메일 제공업체, 클라우드 저장 도구의 계약서에 명확히 제시할 수 있는 보안 관련 약속이 포함되어 있는지 확인한다.
- 연례 검토 일정을 정한다. 지금 반복 알림을 설정해 두어, "연례 테스트"가 조용히 "2025년에 한 번 하고 다시는 하지 않은 일"로 전락하지 않도록 한다.
부기가 컴플라이언스와 맞닿는 지점
데이터 보안과 재무 기록 관리는 별개의 문제처럼 보일 수 있지만, 보험 대리점에게는 예상보다 훨씬 많이 겹친다. 수수료 명세서, 보험료 신탁 계좌, 설계사 1099 서식은 모두 HB 974가 보호하려는 것과 동일한 고객 연계 재무 데이터를 포함한다. 즉, 자금을 추적하는 데 사용하는 시스템도 데이터 보안 범위에서 벗어나 있는 것이 아니라 그 일부라는 뜻이다.
불투명한 독자적 시스템에 재무 기록을 보관하는 대리점은 흔히 기본적인 컴플라이언스 질문에 즉시 답하지 못한다. 어떤 벤더가 어떤 재무 데이터에 접근할 수 있고, 특정 숫자가 실제로 어디서 나온 것인지 같은 질문이다. 평문 회계는 그런 모호함을 애초에 없앤다. 모든 거래는 완전히 소유하는 버전 관리되는, 사람이 읽을 수 있는 원장 파일에 존재한다. 벤더 종속도 없고, 유출 사고가 발생하면 그 자체가 감사 부담이 되는 블랙박스 데이터베이스도 없다.
보안 프로그램만큼 투명한 재무 기록을 유지하라
대리점이 HB 974가 요구하는 서면 정책을 구축해 나가는 지금, 같은 투명성 기준을 장부에도 적용해 볼 가치가 있다. Beancount.io는 재무 데이터에 대한 완전한 가시성과 통제력을 제공하는 평문 회계 솔루션으로, 모든 항목을 감사할 수 있고 모든 변경 사항이 추적되며 벤더 사고 조사를 어렵게 만드는 불투명함이 전혀 없다. 무료로 시작하기를 통해 재무를 중시하는 소규모 기업들이 왜 평문 회계로 옮겨가고 있는지 확인해 보라.