인도 사이버보안·개인정보보호 컴플라이언스: DPDP, CERT-In, RBI, SEBI, IRDAI 해설

인도에 별도의 컴플라이언스 전략이 필요한 이유

인도에는 단일한 사이버보안 규제가 없습니다. 업종별 사이버 규정 위에 범산업 개인정보보호법이 얹힌 구조이며, 구매자는 자사에 어떤 조합이 적용되는지 파악해야 합니다. 뭄바이의 핀테크가 마주하는 체계는 병원 그룹이나 상장 제조사와 전혀 다릅니다.

인도 체계에는 두 가지 특징이 있습니다. 첫째, 의무가 유난히 운영 중심입니다. 6시간의 신고 기한, 국내 로그 보관, 원칙만이 아닌 구체적인 감사 요구가 있습니다. 둘째, 감독기관들이 서로를 보강합니다. 한 번의 등재 감사나 잘 갖춰진 사고 대응 역량이 여러 보고 요건을 동시에 충족할 수 있습니다.

이 가이드는 구매자들이 가장 많이 문의하는 다섯 가지 제도를 다룹니다. 각각이 무엇이고, 누구에게 적용되며, 핵심 의무가 무엇인지 설명합니다. 특정 시행일이나 기한이 계획에 중요하다면 본문의 날짜를 출발점으로 삼되, 의존하기 전에 원문이나 관보 고시로 확인하세요. 인도에서는 단계적 시행과 개정이 흔합니다.

DPDP법 2023: 인도의 범산업 개인정보보호법

Digital Personal Data Protection Act 2023은 인도 최초의 포괄적 개인정보보호법입니다. 인도 내 개인(Data Principal)의 디지털 개인정보 처리를 규율하며, 인도 내 사람들에게 상품이나 서비스를 제공하는 일부 역외 처리에도 적용됩니다. 업종을 가리지 않으므로 이미 적용 중인 금융·의료 등 규정 위에 겹쳐집니다.

이 법은 동의와 책임성을 축으로 합니다. 모든 Data Fiduciary는 명확히 고지하고, 유효한 동의를 받거나 제한된 정당 이용에 근거해야 하며, 합리적 안전조치를 구현하고, 개인정보 유출을 Data Protection Board와 영향을 받은 정보주체에게 통지하며, 열람·정정·삭제 같은 정보주체 권리를 보장해야 합니다. 정부가 Significant Data Fiduciary로 지정한 조직에는 영향평가, 정기 감사, 개인정보보호책임자 및 독립 데이터 감사인 선임이라는 추가 의무가 있습니다.

법은 2023년에 통과되었고, 이를 구체화하는 DPDP 규칙은 단계적으로 시행되어 여러 실질 의무가 기본 조항보다 늦게 발효됩니다. 각 단계의 정확한 날짜는 규칙 제정 과정에서 변동되어 왔으므로, 고정된 시행일을 전제하지 말고 최신 관보 고시로 현행 일정을 확인하세요. 제재금은 건별 루피 상한으로 정해지며, 최고 구간(최대 250크로어 루피)은 합리적 안전조치를 취하지 않은 경우에 적용됩니다.

• 적용 대상: 인도 내 개인의 디지털 개인정보를 처리하는 모든 조직(요건을 충족하는 역외 처리 포함)
• 핵심 의무: 고지, 유효한 동의, 안전조치, 유출 통지, 정보주체 권리, 목적 제한과 보관
• Significant Data Fiduciary: 영향평가, 정기 감사, 개인정보보호책임자, 독립 데이터 감사인 추가
• 제재금: 위반 건별 루피 상한, 안전조치 미흡 시 최대 250크로어 루피(현행 제재 체계는 법문으로 확인)

CERT-In: 6시간 신고와 2025년 감사 정책

Indian Computer Emergency Response Team(CERT-In)은 정보기술법 제70B조에 따른 사이버 사고 담당 국가 기관입니다. 2022년 지침은 운영 측면에서 세계적으로 가장 까다로운 규정에 속합니다. 지정된 사이버 사고는 인지 후 6시간 이내에 정해진 양식으로 CERT-In에 신고해야 합니다.

같은 지침은 감사인이 일상적으로 확인하는 기술적 의무도 추가합니다. ICT 시스템 로그를 인도 관할권 내에서 최근 180일간 안전하게 보관하고, 모든 시스템 시각을 NIC 또는 NPL의 NTP 서버에 동기화하며, 정확한 조직 연락처를 CERT-In에 등록해 두는 것입니다. 6시간 기한을 지키는 일은 서류 작업이 아닙니다. 사고를 빠르게 탐지하고 합의된 신고 플레이북이 있어야 하며, 실무적으로는 상시 모니터링과 사전에 합의된 에스컬레이션 경로를 뜻합니다.

CERT-In은 감사 기대치도 체크리스트 점검에서 회복탄력성으로 옮겼습니다. 독립 검토, 서명된 감사 산출물, 클라우드·AI·블록체인·제3자 위험의 포괄을 강조하는 종합 ICT 감사 지침이 그것입니다. 현행 감사 정책의 정확한 발표일과 시행일은 CERT-In이 공표한 지침에서 확인해야 할 사항으로 취급하세요. 중요한 점은, 아래의 금융 감독기관들이 일반적으로 CERT-In 등재 감사인을 기대하므로 한 번의 등재 감사가 여러 규제 보고를 뒷받침할 수 있다는 것입니다.

• 적용 대상: 인도에서 사업하는 서비스 제공자, 중개자, 데이터센터, 법인, 정부 기관
• 핵심 규정: 지정 사고를 인지 후 6시간 이내 신고
• 추가: 인도 내 180일 로그 보관, NIC/NPL NTP 시각 동기화, 등록된 연락처
• 감사: 독립 검토를 수반한 종합 ICT 감사(현행 정책 일자는 CERT-In에서 확인)

RBI: 금융권을 위한 IS 감사와 사이버 회복탄력성

인도준비은행(RBI)은 감독 대상인 은행, NBFC, 결제시스템 운영자 및 관련 금융 사업자에 대한 사이버보안과 회복탄력성 기대치를 정합니다. 단일 규정이 아니라 IT 거버넌스, 정보보호, 사이버 회복탄력성을 다루는 마스터 디렉션과 회람에 흩어져 있으며, 감독 검사로 보강됩니다.

중심적이고 반복되는 요구가 정보시스템(IS) 감사입니다. IT 통제, 변경 관리, 접근 관리, 보안 태세를 구조적으로 정기 점검하는 감사로, 보통 자격을 갖춘, 흔히 CERT-In 등재 감사인이 수행하고 이사회 또는 IT·리스크 위원회에 보고합니다. 규제 대상 기관은 RBI 사고 신고, 이사회 승인 사이버보안 정책 유지, 그리고 점검 시점의 통제 확인을 넘어선 운영·사이버 회복탄력성 입증도 요구받고 있습니다.

정확한 감사 주기, 적용 기준, 회복탄력성 기대치는 기관 유형에 따라 다르고 RBI의 회람과 마스터 디렉션을 거치며 강화되어 왔습니다. 자주 갱신되므로 업무 범위를 정하기 전에 현행 마스터 디렉션과 자사 인가 유형에 대한 적용 여부를 RBI 공표 자료로 확인하세요.

• 적용 대상: RBI 규제 대상 기관(은행, NBFC, 결제시스템 운영자 등)
• 핵심 기대치: 이사회에 보고하는 정기 IS 감사와 이사회 승인 보안 정책
• 추가: RBI 사고 신고와 입증 가능한 사이버 회복탄력성
• 주기와 기준은 기관 유형별로 다름 — 해당 RBI 마스터 디렉션으로 확인

SEBI CSCRF: 자본시장 기관을 위한 사이버보안과 회복탄력성

인도증권거래위원회(SEBI)는 규제 대상인 거래소, 예탁기관, 브로커, 뮤추얼 펀드, 명의개서 대리인 등 중개기관의 사이버 요구 사항을 하나의 등급형 프레임워크로 통합하기 위해 Cybersecurity and Cyber Resilience Framework(CSCRF)를 도입했습니다. 이전의 산발적 회람을 식별·보호·탐지·대응·복구 성과를 축으로 하는 체계적 통제 세트로 대체합니다.

CSCRF의 특징은 등급제입니다. 기관은 규모와 중요도에 따라 분류되고, 감사, VAPT, SOC 체계, 보고 등 의무의 깊이가 그 분류에 따라 커집니다. 공통 요소로는 정기 VAPT와 사이버 감사, 보안 운영과 모니터링, SEBI 사고 신고, 이사회 수준의 거버넌스가 있습니다.

CSCRF는 규제 대상 기관 분류별로 단계적으로 적용되며 집단마다 준수 일자가 다르고, SEBI는 공표 이후 해석과 기한 연장을 발표해 왔습니다. 자사에 적용되는 분류와 적용 일자는 추정하지 말고 현행 CSCRF 회람과 이후 개정으로 확인해야 합니다.

• 적용 대상: SEBI 규제 대상(거래소, 예탁기관, 브로커, 뮤추얼 펀드, 명의개서 대리인, 중개기관)
• 구조: 등급형 프레임워크 — 의무는 기관 분류에 따라 확대
• 핵심 의무: 정기 VAPT와 사이버 감사, 모니터링·SOC, 사고 신고, 이사회 거버넌스
• 집단별 단계 적용 — 자사 분류와 일자는 현행 SEBI 회람으로 확인

IRDAI: 보험사를 위한 정보·사이버보안

인도보험규제개발청(IRDAI)은 정보·사이버보안 지침을 통해 보험사, 재보험사, 보험 중개기관에 대한 요구 사항을 정합니다. 이 체계는 거버넌스 구조, 이사회 승인 사이버보안 정책, 그리고 프로그램을 책임지는 최고정보보호책임자(CISO) 지정을 요구합니다.

운영 측면에서 규제 대상 보험사는 정기적인 정보보호 감사와 VAPT를 수행하고, 사고 탐지와 신고 체계를 유지하며, 제3자 및 외주 위험을 관리하고, IRDAI와 CERT-In 양쪽 요구에 맞춰 사이버 사고를 신고해야 합니다. 다른 금융 감독기관과 마찬가지로 감사는 일반적으로 자격을 갖춘 CERT-In 등재 평가자가 수행할 것이 기대됩니다.

IRDAI 지침은 국가 차원의 폭넓은 사이버 기대치에 맞추기 위한 통합과 갱신을 포함해 시간이 지나며 개정되어 왔습니다. 특정 요건이나 일자에 의존하기 전에, 현행 IRDAI 정보·사이버보안 지침과 자사 기관 유형에 해당하는 의무를 IRDAI 공표 자료로 확인하세요.

• 적용 대상: IRDAI 규제 대상 보험사, 재보험사, 보험 중개기관
• 거버넌스: 이사회 승인 사이버 정책과 지정된 CISO
• 운영: 정기 IS 감사와 VAPT, 사고 신고, 제3자·외주 위험
• 지침은 주기적으로 개정됨 — 현행 버전은 IRDAI에서 확인

전체 구조의 연결 방식

대부분의 인도 구매자에게 이 체계는 양자택일이 아니라 층층이 쌓인 구조입니다. DPDP법은 업종과 무관하게 개인정보에 수평적으로 적용됩니다. CERT-In의 사고·로그·시각 동기화 의무는 인도에서 ICT 시스템을 운영하는 거의 모든 조직에 적용됩니다. 그 위에 업종 감독기관인 RBI, SEBI, IRDAI가 인가에 맞춰 감사·회복탄력성·보고 의무를 더합니다.

다행히 통제는 크게 겹칩니다. 탄탄한 사고 대응 역량은 CERT-In의 6시간 규정을 충족하면서 RBI, SEBI, IRDAI 신고에도 그대로 활용됩니다. CERT-In에 부합하는 종합 감사 한 번이 여러 금융 감독기관 보고를 뒷받침할 수 있습니다. 동의·유출·감사 체계를 한 번 구축하고 각 제도에 매핑하는 편이, 규정마다 별도 프로젝트로 다루는 것보다 훨씬 효율적입니다.

• 수평: 개인정보는 DPDP법, 사고 신고·로그·시각 동기화는 CERT-In
• 수직: 인가에 따라 RBI, SEBI, IRDAI의 업종 의무가 추가
• 효율: 한 번 구축해 각 제도에 매핑하고, 사고 대응과 감사 증적을 재사용
• 단계 시행일과 적용 기준은 항상 원문으로 확인

IntelligenceX의 지원

IntelligenceX는 인도의 규제 체계에 대해 자문·평가·준비를 제공합니다. 인증서를 직접 발행하거나 규제 감사에 서명하지 않으며, 아직 CERT-In 등재 사업자도 아닙니다. 등재 감사인이나 인정기관이 필요한 경우, 해당 업무에 대비할 수 있도록 준비시키고 함께 진행해 공식 승인이 원활히 이뤄지도록 합니다.

저희 컴플라이언스 서비스는 위 제도들에 직접 대응합니다. DPDP법 준비는 갭 분석, 동의 아키텍처 검토, 영향평가, 그리고 Significant Data Fiduciary에 기대되는 독립 감사 대비를 포함합니다. CERT-In 감사 지원은 6시간 신고 플레이북을 구축하고, 인도 내 180일 로그 보관과 NTP 설정을 검증하며, 종합 ICT 감사를 준비합니다. RBI IS 감사 지원은 정기 IS 감사와 이사회 보고에 맞춰 IT·보안 통제를 정비합니다. SEBI CSCRF 지원은 자사를 올바른 분류에 배치하고 등급별 VAPT·모니터링·보고 의무를 충족하도록 돕습니다. IRDAI 감사 지원은 보험사의 정보보호 감사, VAPT, 사고 신고 의무를 준비합니다.

다섯 제도 모두에서 방식은 같습니다. 격차를 평가하고, 통제와 증적을 구축하며, 공식 감사나 보고까지 함께하고, 공통 통제를 매핑해 작업이 한 번으로 끝나도록 합니다. 자사에 적용되는 제도의 범위는 저희 팀에 문의해 주세요.