요약

  • 2024년 7월 22일 Ofcom은 BT가 통신법 2003년 제105A조 (1)(c)와 2022년 전자통신(보안 조치) 규정 제9조를 위반했다고 판정하고 17,500,000파운드를 부과했다. 긴급 접속에 관한 일반조건 A3.2는 조사 범위에는 들어 있었지만 판정을 떠받치지는 않았다.
  • 제9조는 2022년 10월 1일부터 시행됐다. 사고보다 아홉 달 앞선다. 실제로 문제가 된 규정은 사고 전에 쓰인 것이며, 중단 시간을 재는 대신 날짜가 찍힌 대비 증거를 요구한다.

2023년 6월 25일 06시 24분, BT가 긴급 통화를 처리하는 주 시스템에서 문제가 시작됐다. BT가 6월 29일 14시 30분(유럽/런던)에 공개한 자체 검토는 원인을 이전에 보지 못한 복잡한 소프트웨어 결함으로 설명한다. "It was causing a 'caching' issue which resulted in impacted calls not being routed correctly and the user's call being disconnected." 영향을 받은 통화가 올바른 경로로 가지 않았고 발신자의 연결이 끊겼다는 뜻이다. (BT Group review, 29 June 2023)

주 시스템이 긴급 통화를 다시 처리한 것은 16시 56분, 시작점에서 열 시간 32분 뒤였다. 22시 14분에 BT는 서비스 복구를 확인하고 백업 시스템 의존을 끝냈다고 밝혔다. 연결되지 못한 통화에 대해 BT가 내놓은 잠정치는 11,470건이다. 회사 자체 집계이며, 규제기관이 나중에 따로 서술한 발신자 수나 시도 횟수와 같은 숫자가 아니다.

Ofcom은 6월 28일 조사 착수를 발표했다. (Ofcom investigation announcement, 28 June 2023) 당초 범위는 일반조건 A3.2와 통신법 2003년 제105A조·제105C조였다. 7월 13일 범위가 넓어져 문자 중계, 긴급 영상 중계, 이동통신 문자를 통한 긴급기관 접속, 그리고 일반조건 C5.8부터 C5.12까지가 포함됐다. (Ofcom enforcement case page)

2024년 7월 22일 판정은 이렇게 적혀 있다. "BT has contravened section 105A(1)(c) of the Act and Regulation 9" 같은 사건 페이지에서 Ofcom은 제105C조, 일반조건 A3.2, 그리고 C5.8부터 C5.12에 관해 이렇게 남긴다. "At this time, we do not propose to pursue making a finding" 여기는 정확히 읽어야 한다. 해당 조항이 결정 바깥에 놓였다는 뜻도 아니고, 규제기관의 권한 밖이었다는 뜻도 아니다. 그 시점에 판정을 더 밀고 나가지 않겠다는 당국 자신의 문장이다. 과징금에 대해서는 이렇게 쓴다. "As a result of BT's failures, Ofcom has decided to fine the company £17,500,000." (Ofcom penalty announcement, 22 July 2024)

이제 두 규정을 나란히 놓는다. 2022년 12월 15일자 비공식 통합본의 일반조건 A3.2는 이렇게 규정한다. "Regulated Providers must take all necessary measures to ensure: (b) uninterrupted access to Emergency Organisations as part of any Voice Communications Services offered." 같은 통합본은 A3.4에서 112와 999를 통한 최종 이용자의 무료 접속을 따로 둔다. (Ofcom consolidated General Conditions, 15 December 2022)

제9조 (1)은 이렇다. "A network provider or service provider must take such measures as are appropriate and proportionate to prepare for the occurrence of security compromises" 공식 번호는 SI 2022/933이다. 2022년 9월 1일 제정되어 9월 5일 의회에 제출됐고 10월 1일 발효됐다. (Electronic Communications (Security Measures) Regulations 2022, SI 2022/933) 제9조 (2)는 영국 안에 보관하는 온라인·오프라인 사본, 그 교체, 그리고 보안 침해를 식별하고 평가하고 완화하고 대응하고 복구하기 위한 수단과 절차를 요구한다. 이 대목은 요약이며 인용이 아니다.

날짜 순서가 결과를 설명한다. 대비 의무는 2022년 10월 1일 효력을 얻었다. 장애는 2023년 6월 25일에 일어났다. Ofcom이 마지막에 기댄 도구는 사고 전에 쓰였고, 증거 역시 사고 전에 존재하도록 설계됐다. 긴급 접속 조건은 사고 뒤에 조사 범위로 기능했다.

BT에 유리한 이야기가 아니다. 오히려 더 무겁다. 사전 대비 의무는 나중에 네트워크가 멈췄다고 보여주는 것보다 무겁다. 무엇을 준비했고, 사본을 어디에 두었고, 어떤 절차로 침해를 식별하며, 누가 복구를 맡는지. 제9조 (2)가 요구하는 산출물은 사고보다 앞선 날짜로 존재해야 한다. 17,500,000파운드는 열 시간 32분의 중단에 붙은 가격표가 아니다. 그 시간에 대비하지 않은 데 붙은 값이다.

그래서 다음 장애에서 BT나 다른 사업자를 문제 삼으려는 사람은 A3.2의 "uninterrupted access"만 보면 안 된다. 더 이른 날짜가 찍힌 사본, 절차, 복구 기록을 요구해야 한다. 반대 방향도 성립한다. 긴급 통화가 멈췄다는 사실만으로는 이런 종류의 판정에 이르지 않는다. Ofcom이 스스로 기록한 2024년 7월 22일의 경로가 그 경계선을 보여준다.

여기 인용한 A3.2 문구는 2022년 12월 15일 통합본에 따른 것이다. 이후 통합본이 존재하며 이 글을 위해 읽지 않았고, 뒤 버전에서 이 조건이 어떻게 번호 붙고 표현되는지는 주장하지 않는다. Ofcom의 전체 결정 문서도 읽지 않았다. 규제기관에 관한 서술은 실제로 읽은 발표, 사건, 과징금 페이지에 근거한다. 대상 기업 기록은 디렉터리 항목에 있다.

999는 멈췄다. 과징금은 그것 때문이 아니었다. 규제 기록이 값을 매긴 것은 다른 질문이었다. 멈추기 전에 무엇이 준비돼 있었는가.