요약

  • Australian Cyber Security Centre의 신고 페이지는 사이버 범죄를 경찰로, 사이버 보안 사고와 취약점을 ASD's ACSC로, 랜섬웨어와 사이버 갈취 금액을 Cyber Security Act 2024의 section 27에 따라 Department of Home Affairs로 보낸다.
  • 같은 페이지가 신고자에게 보여 주는 보호는 「How ASD protects your privacy: limited use obligation」이라는 제목뿐이며, 2026년 11월 13일에 확보한 본문에는 그 범위도 신고 기한도 제재도 적혀 있지 않다.

호주에서 사고를 신고하는 공적 입구는 먼저 “무슨 일이 있었나”를 묻지 않는다. 여러 사건 중 어디에 해당하는지를 묻는다. 답에 따라 담당이 달라지기 때문이다.

Australian Cyber Security Centre의 신고 페이지를 서식이 아니라 도구로 읽으면 논리는 단순해진다. 사이버 범죄는 경찰로. 사이버 보안 사고와 취약점은 ASD's ACSC로. 랜섬웨어와 사이버 갈취 금액은 Department of Home Affairs로. 이 배분은 센터 자신의 페이지가 제시하는 것이며, 이 글은 2026년 11월 13일에 페이지 전체의 보관본이 아니라 검색 사업자가 전한 발췌로 기록한 내용을 근거로 한다.

지급 통로에는 법조문 인용이 붙어 있다. 문장은 천천히 읽을 가치가 있다.

Report a ransomware or cyber extortion payment to the Department of Home Affairs. Under section 27 of the Cyber Security Act 2024, a reporting business entity has an obligation to report to the Government if you have made or are aware another entity has made on your behalf, a ransomware or cyber extortion payment.

방아쇠는 회사가 직접 낸 돈만이 아니다. 다른 주체가 회사를 대신해 지급했다는 사실을 아는 경우까지 걸린다. 갈취범에게 한 푼도 보내지 않은 조직이 보험사나 자문사, 관리형 서비스 사업자, 또는 모회사가 요구를 결제했다는 이유로 이 의무 안에 서게 된다. 한 문장이 위로 올라가, 소식을 가장 늦게 듣고 가장 어설프게 기록하는 부서까지 닿는다.

정의의 몫은 “reporting business entity”라는 표현에 걸려 있고, 페이지는 이를 정의하지 않는다. 수신처는 “the Government”로 적혀 있고, 페이지는 통로로 Department of Home Affairs를 든다. 둘 다 말장난이 아니다. 우리 회사가 의무 안에 있는지, 기록이 누구 손에 남는지가 거기서 갈린다.

이제 거래의 나머지 절반을 보자. 같은 페이지, 같은 구조 안에서 신고자가 믿어 달라고 요구받는 보호는 제목으로 등장한다. 「How ASD protects your privacy: limited use obligation」.

제목은 분류이지 경계가 아니다. 경계는 네 가지 질문에 답한다. 어떤 자료가 대상인가 — 사고 신고, 지급 신고, 첨부물, 담당자 이름, 포렌식 시간선. 어떤 이용이 허용되는가. 무엇이 제외되는가 — 다른 규제기관과의 공유, 집행 절차로의 편입, 공개. 보존 기간은 얼마이며, 이 목록 밖의 이용을 누가 승인할 수 있는가.

확보한 본문에는 이 답이 하나도 없다. 이것은 2026년 11월 13일 기준 두 페이지에 대한 제한된 관찰이며 거기서 멈춘다. 읽은 문장에 없다는 뜻이지, 어디에도 존재하지 않는다는 뜻이 아니다.

2026년 11월 13일에 확보한 센터의 두 페이지(신고 페이지, report-and-recover 페이지)에는 section 27 신고의 기한도, 신고하지 않았을 때의 제재도, reporting business entity의 정의도, limited use obligation의 경계도 적혀 있지 않다. Cyber Security Act 2024의 제정 본문은 이 글의 열람 자료에 포함되지 않았고, 여기서 법률을 설명하는 것은 페이지가 직접 인쇄한 인용 한 곳을 넘지 않는다. 안내 페이지의 침묵은 법률의 침묵이 아니며, 이 제목에 대한 정직한 독법은 “아직 정리되지 않았다”이다.

이 구분이 중요한 이유는 누가 안심하고 있는지에 달려 있다. 사고가 나면 대중은 ASD's ACSC에 전화한다. 지급 의무의 수신처로 그려진 것은 정부를 경유한 Department of Home Affairs다. 페이지 하나, 목적지 둘, 권한 둘. 이것을 단일 창구로 읽는 이사회는 기록 하나, 보호 하나, 책임자 하나를 전제한다. 실제로는 세 개 통로에 걸친 하나의 면이고, 책임은 그 셋 모두 위에 세워야 한다.

자료를 벽 너머로 넘기기 전에 신고자가 서면으로 확보해야 할 것은 소박하고 짧다. 법조문 인용, 그리고 요약이 아닌 운용 문구. 우리 회사가 reporting business entity인지, 그렇다면 근거가 무엇인지. 기한과 그것이 흐르기 시작하는 순간. 제재, 그리고 그것이 형사인지 행정인지. 보호에 관해서는 허용되는 이용, 제외되는 이용, 보존 규칙, 그리고 문을 더 열 수 있는 직위.

이를 요구하면 제목은 누군가가 떠안는 약속이 된다. 이것 없이 제목을 받아들이면 경계는 나중으로 미뤄진다. 그때 문서를 쥐고 있는 사람에 의해.

Australian Cyber Security Centre에는 BTW 디렉터리에 이미 이전 글이 하나 연결되어 있다. 이 글은 그 글의 내용을 규정하지 않는다. 이번 작업의 검색에서 찾지 못했기 때문이다. 여기서의 차이는 시선의 대상에 있다. 기관으로서의 센터가 아니라, 최악의 밤이 어디에 철되는지를 결정하는 도구로서의 접수 페이지다.

센터의 페이지는 제 몫을 한다. 어느 문을 밀지 알려 준다. 들고 들어간 것이 어떻게 되는지는 아직 말하지 않는다. 책임자와 보존 규칙, 제외 목록이 이 제목 옆에 놓이기 전까지, 신고하는 조직은 사고와 불확실성을 같은 꾸러미로 안고 간다.