요약

  • 미국 보건복지부가 정한 988 사이버보안 통제 영역은 10개지만, 2026 회계연도 연방 협약에는 3개, 운영기관과 지역 센터의 협약에는 7개가 담겼다.
  • 감사원이 살핀 센터 점검표 12건 중 필요한 보안 문서 3종을 기한 안에 모두 낸 곳은 없었다. 2026년 3월에도 5건은 미완성이었다.

988에 전화를 거는 사람은 계약 상대방을 고르지 않는다. 연결만 되면 된다. 하지만 그 한 번의 연결은 통신사업자, 전국망 운영기관, 지역 위기 상담센터의 시스템을 차례로 지난다. 미국 정부책임감사원(GAO)은 이 경로에서 사이버보안 의무가 실제로 누구에게 전달되고 어떻게 확인되는지를 조사했다. 번호의 단순함이 책임 구조까지 단순하게 만들지는 않았다.

2022년 12월 랜섬웨어 공격으로 988의 핵심 네트워크가 손상돼 전국 서비스가 몇 시간 중단됐다. 2026년 1월에는 한 달 동안 전화 42만 8천 건을 처리했다. 상담망은 문자와 채팅도 맡고, 지역 센터가 응답하지 못하면 주 안의 다른 센터나 전국 예비 센터로 연락을 넘긴다. 이 예비 경로가 실제 장애에서 작동하려면 평소에 여러 기관이 같은 시나리오를 시험해야 한다.

보건복지부(HHS)는 988을 위한 핵심 사이버보안 통제 영역 10개를 정했다. 그런데 GAO가 확인한 2026 회계연도 HHS와 운영기관의 협약에는 3개, 운영기관과 센터의 네트워크 협약에는 7개가 포함됐다. 이 숫자는 계약 문구의 범위를 뜻한다. 빠진 항목이 현장 어디에도 없다는 증거는 아니다. 계약에 적히지 않은 요구를 누가 언제 이행하고 증명해야 하는지는 그만큼 흐려진다.

연방 담당자들은 비연방 시스템에 모든 항목을 직접 요구할 권한이 없다고 GAO에 말했다. 반면 운영기관은 센터의 참여 조건에 해당 항목을 넣을 수 있다. 기준을 만드는 기관과 마지막 계약을 쥔 기관이 다르다. 거버넌스의 핵심은 바로 이 중간 인계다. 정책에 적힌 명령이 현장 운영자에게 닿으려면, 그 명령을 집행할 수 있는 문장으로 옮길 주체가 있어야 한다.

이미 요구된 서류도 제때 모이지 않았다. GAO가 받은 센터 점검표 12건에서는 보안 문서 3종을 기한 안에 모두 낸 사례가 없었다. 7곳은 늦게 제출했고, 나머지 5곳은 2026년 3월에도 빠진 문서가 있었다. 열두 건으로 약 218개 센터 전체의 비율을 추정할 수는 없다. 그러나 점검 당일 증거가 없다면 그 절차가 당일의 준수 여부를 확인하지 못했다는 사실은 분명하다.

GAO는 운영기관과 별도로 선정한 센터 10곳에서 일부 통제를 더 살폈다. 선택된 상시 모니터링 통제는 완전히 실행됐다. 운영기관은 최신 암호 지침을 실행하지 않았고, 비상계획의 일부 통제도 부분 실행에 그쳤다. 표본 센터의 사고 대응 및 복구 통제에도 부분 실행이 있었다. 이상 징후를 발견하는 능력, 사고를 지휘하는 능력, 상담을 다시 연결하는 능력은 서로 다르다. 경보가 울린다는 이유로 복구가 끝난 것은 아니다.

현장 시스템과 인력도 제각각이다. 2026년 3월 기준 104개 센터가 운영기관의 통합 플랫폼을 사용했고 다른 센터는 자체 시스템을 쓸 수 있었다. 문서 교환 포털은 모두 사용했다. 전담 IT 인력을 둔 곳과 작은 조직에 같은 확인서 한 장을 받으면, 차이는 문서 뒤로 숨는다. 기술 지원과 실제 훈련 없이는 규정만 전국적으로 통일될 수 있다.

제재 수단에서 모순이 커진다. 담당자들에 따르면 센터 참여는 자발적이며, 불이행에 대한 주된 대응은 해당 센터를 988망에서 제외하는 것이다. 동시에 그들은 제외가 988과 주 정부의 위기 서비스를 약화할 수 있다고 말했다. 규정을 집행할수록 전화를 받을 좌석이 줄 수 있다. GAO는 두 협약의 누락 항목 보완, 점검 절차 이행, 암호 지침 갱신, 대응 계획과 훈련 등을 포함해 10개 권고를 냈고 HHS는 동의했다.

동의 다음에는 운영 증거가 필요하다. 개정된 계약, 제때 들어온 문서, 장애 중 실제로 성공한 우회 연결과 복구 시험이 판단을 바꾼다. 10개 센터 조사로 전국의 대비 수준을 계산할 수는 없다. 현시점에 부족한 것은 전국 기준이 마지막 상담석까지 도달했고 작동했다는 연결 기록이다.

출처