핵심 요약
CERT-In의 2022년 지침에 따라 인도에서 사업하는 조직은 지정된 사이버 사고를 인지 후 6시간 이내에 신고하고, 로그를 인도 내에 180일간 보관하며, 시스템 시각을 NIC 또는 NPL의 NTP 서버에 동기화해야 합니다. 2025년 감사 정책은 연간 종합 ICT 감사를 의무화했습니다.
6시간 규정이 요구하는 것
2022년 4월 28일 발표된 IT법 제70B조에 근거한 CERT-In 지침은, 지정된 사이버 사고를 탐지 후 6시간 이내에 정해진 양식으로 CERT-In에 신고하도록 요구합니다.
6시간은 운영상 매우 까다로운 요건입니다. 사고를 신속히 탐지할 수 있고 합의된 신고 절차가 있다는 전제가 필요하며, 실무적으로는 24시간 모니터링과 사전에 준비된 사고 대응 플레이북을 의미합니다.
신고를 넘어: 로그와 시각 동기화
지침은 감사인이 반드시 확인하는 두 가지 기술적 의무를 추가로 규정합니다.
- ICT 시스템 로그를 인도 관할권 내에서 180일간 안전하게 보관
- 모든 시스템 시각을 NIC 또는 NPL의 NTP 서버에 동기화
- 정확한 연락처를 CERT-In에 등록
2025년 감사 정책
2025년 7월 25일 발표된 CERT-In의 Comprehensive Cyber Security Audit Policy Guidelines는 인도를 체크리스트식 감사에서 회복탄력성 중심으로 전환시킵니다. 연 1회 이상의 종합 ICT 감사, 독립적인 검토자, 서명된 감사 증명서, 클라우드·AI·블록체인·제3자 위험의 포괄을 요구합니다.
금융 감독기관(RBI, SEBI, IRDAI)은 모두 CERT-In 등재 감사인을 요구하므로, 한 번의 등재 감사가 여러 규제 보고를 뒷받침할 수 있습니다.
IntelligenceX의 지원
저희는 6시간 신고 플레이북을 준비하고, 로그 보관과 NTP 설정을 검증하며, CERT-In에 부합하는 종합 ICT 감사와 VAPT를 등재 감사인 형식의 보고서 및 독립 검토와 함께 제공합니다.
자주 묻는 질문
인도에서 사업하는 조직이 지정된 사이버 사고를 인지 후 6시간 이내에 CERT-In에 신고하도록 하는 규정입니다. 실무적으로 이를 지키려면 24시간 탐지 체계와 준비된 사고 대응 절차가 필요합니다.
RBI, SEBI, IRDAI 보고에는 등재 감사인이 요구됩니다. 등재 감사인을 활용하면 한 번의 감사로 여러 규제 요건을 충족할 수 있습니다.