#security
보안 모범 사례와 도구로 재무 데이터 보호
IRS의 2026년 더티 더즌 목록은 급여 전용 피싱 물결을 지목합니다: 가짜 HR 포털 이메일과 급여를 사기꾼 계좌로 돌리는 직접입금 변경 요청입니다. FBI 인터넷범죄신고센터(IC3)는 2025년 비즈니스 이메일 침해(BEC) 신고 24,768건, 손실액 약 30억 5천만 달러를 기록했으며, 손실의 86%가 전신송금 또는 ACH를 통해 이동했습니다 — 이는 급여가 흐르는 것과 동일한 경로입니다. 이 글에서는 세 가지 경고 신호(긴급성, 이례적인 요청, 절차 변경), 이메일만으로 처리되는 허점을 막는 다섯 가지 프로세스 통제, 그리고 급여가 이미 유출된 경우의 최초 72시간 대응법을 다룹니다.
2025년 7월 2일 서명되고 2026년 1월 1일 발효되는 미주리주 HB 974는 NAIC 보험 데이터 보안 모델법을 주 내 거의 모든 보험 면허 보유자에게 적용해, 서면 보안 프로그램과 연례 위험 평가, 사고 대응 계획, 벤더 관리, 그리고 규제 당국에 영업일 기준 4일 이내에 통지해야 하는 유출 통지 의무를 요구한다.
2026년 4월 발표된 NIST의 초안 CSWP 50은 무직원 기업—직원이 한 명도 없는 미국 내 2,800만 개 이상의 사업체—을 위해 명시적으로 작성된 최초의 연방 사이버보안 지침이다. 2009년 지침에서 무엇이 바뀌었는지, CSF 2.0의 6가지 기능이 1인 사업체에 어떻게 적용되는지, 그리고 오늘 바로 실행할 수 있는 30분 체크리스트를 소개한다.
2026년 TIGTA 감사에서 IRS 스캔 계약업체의 제한된 납세자 문서 구역에 대한 1,375건의 무단 출입과 평균 223일간 패치되지 않은 중요한 취약점이 발견되었습니다. 감시 기관이 발견한 내용, IRS의 대응, 그리고 IP PIN 등록, 조기 신고, 전자 신고와 같이 노출을 줄이는 구체적인 조치를 설명합니다.
회계 회사의 73%가 이제 AI 도구를 사용하지만 공식적인 AI 교육을 받은 곳은 37%에 불과하며, 직원이 고객 데이터를 소비자용 챗봇에 붙여넣는 행위는 AICPA의 기밀 고객 정보 규칙에 따라 데이터 유출 통지 의무를 발생시킬 수 있습니다 — 소규모 CPA 회사에 실제로 쓸모 있는 두 페이지짜리 AI 정책이 무엇을 담아야 하는지 정리했습니다.
고정 범위의 정적 감사, 시간제 수정 작업, 재판매 SAST 구독을 판매하는 코드 감사 회사는 한 조직 내에서 세 가지 ASC 606 수익 인식 규칙(시점 인식, 수행 시 인식, 비례 배분 인식)을 운영합니다. 이 가이드는 이들을 구분하는 계정과목표, 재판매 마진에 대한 주체-대행사 테스트, 그리고 선수 수익, 미청구 채권, 구독 마진에 걸쳐 하나의 고객 계약을 전기하는 실제 예시를 다룹니다.
체이스는 AI 음성 복제 사기에 대응하기 위해 2026년 초 패스키 로그인과 신뢰할 수 있는 연락처 기능을 도입했습니다. 이러한 사기는 건당 평균 $30,000에서 $400,000의 비용을 소상공인에게 초래합니다.
10~50인 규모의 SaaS 기업이 첫해에 SOC 2 Type II 보고서를 받는 데는 일반적으로 총 $25,000~$80,000가 들며, 감사 수수료 자체는 그중 약 40%에 불과하다 — 나머지는 내부 인건비와 준비 작업이 차지한다.
CIRCIA는 적용 대상 기관이 중대한 사이버 침해 사고를 72시간 이내에 CISA에 신고하고 랜섬웨어 지불금은 24시간 이내에 신고하도록 요구하며, 최종 규정은 2026년 가을에 발효될 예정이고 16개 핵심 인프라 분야에 걸쳐 약 30만 개 이상의 조직이 적용받을 것으로 예상됩니다.
FBI의 IC3는 2025년 비즈니스 이메일 침해(BEC)로 인한 손실을 30억 5천만 달러로 집계했으며, 소기업 중 내부고발 신고 체계를 갖춘 곳은 25%에 불과한 반면 대기업은 85%에 달합니다. 벤더 사칭, 급여 유용, 수표 사기가 실제로 어떻게 벌어지는지, 그리고 송금이 나가기 전에 이를 막는 통제 방법을 소개합니다.
비트코인 전체의 약 20%는 소유자가 개인 키를 공유하지 않은 채 사망하여 영구적으로 접근할 수 없는 상태다 — 위기가 닥치기 전에 RUFADAA에 따라 도메인, 암호화폐 지갑, 클라우드 계정을 목록화하는 실용 가이드.
2026년 7월 1일, 코네티컷은 개인정보보호법 적용 기준을 거주자 35,000명으로 낮췄고, 아칸소는 ACTOPPA에 따라 미성년자 대상 타겟 광고를 금지했으며, 유타는 데이터 정정 권리를 추가하면서 그 어느 때보다 많은 소상공인이 규제 대상에 포함되었다.
