Summary

  • GAO는 DOD의 주요 업무용 IT 사업 18개를 조사했다. 이 사업들에 대한 2024~2026 회계연도 계획 지출은 103억 달러다. 7개 사업은 직원들이 앞선 2년 동안 IT 시스템의 사기나 변조를 식별하고 신고하는 교육을 받지 않았거나 이용 가능한 교육을 몰랐다고 보고했다.
  • 11개 사업은 교육을 받았거나 알고 있다고 답했다. 사업별 사기 위험 평가 여부에는 10개가 한다고, 5개가 하지 않는다고, 3개가 모른다고 답했다. DOD는 일반 사기 예방 교육을 의무화하지만 IT 시스템에 특화된 징후 인식 교육은 현재 요구하지 않는다고 설명했다.
  • GAO의 새로운 권고는 CIO가 Comptroller와 함께 주요 IT 사업의 교육을 맡도록 한다. DOD는 Comptroller를 2020년 7월부터 부처 전체 사기 위험 관리 담당으로 지정했다. 결과를 보여 줄 자료는 사업별 위험, 교육 내용, 실제로 도달한 직원, 신고를 받는 책임자를 잇는 기록이다.

본부의 수료증은 프로그램의 질문에 답하지 않는다

전 부처 공통 교육은 관리하기 편하다. 한 번 배포하고, 누가 수료했는지 세고, 연말 보고서에 비율을 넣으면 된다. 그러나 인사·재무·계약 시스템을 다루는 사람에게는 다른 종류의 지식이 필요하다. 평소와 다른 데이터 수정이나 권한 변경을 보았을 때 어디에서 확인을 멈추고, 누구에게 어떤 내용을 전달해야 하는가. 그 답은 프로그램의 실제 승인 절차와 사용자를 알아야 나올 수 있다.

GAO가 2026년 9월 28일 발표한 감사는 공통 교육에서 업무 현장까지 이어지는 통로를 조사했다. GAO는 DOD가 주요 투자로 보고한 업무용 IT 사업 중 18개를 선정하고 담당 사무실에 질문지를 보냈다. 2026년 4월 기준, 7개 사업은 직원들이 지난 2년 동안 IT 시스템에서 사기나 변조의 신호를 알아보고 신고하는 교육을 받지 않았거나 그 교육을 알지 못했다고 답했다. 11개 사업은 교육을 받았거나 알고 있었다고 했다. 수치를 읽는 핵심은 전체 부처의 교실이 아니라 선정된 각 사업에서 지식이 실제로 보이는가이다.

이 시스템들은 의료, 인사, 회계, 물류, 계약이라는 일상적 기능을 맡는다. DOD CIO 조직이 밝힌 18개 사업의 2024~2026 회계연도 계획 지출은 103억 달러였고, 그 절반이 네 사업에 집중됐다. 이는 3년간 예정된 자금의 규모다. 소프트웨어를 운영하는 사람들의 행동을 잘못 설계하면 큰 사업일수록 후속 수정도 커진다. 중앙의 교육 완료 숫자가 깔끔하다고 해서 사업별 위험이 자동으로 설명되지는 않는다.

두 사무실 사이에 빠진 전달 확인서

DOD는 GAO에 Office of the Under Secretary of Defense(Comptroller)가 2020년 7월부터 부처 전체의 사기 위험 관리 주체라고 밝혔다. 일반적인 사기 인식 교육도 필수이며, 업무 시스템의 연례 인증 지침에도 재무 관리 요구가 들어 있다고 했다. 조직도에는 책임이 있고 지침 문서도 있다. CIO는 주요 IT 투자를 관리하고, 사업팀은 시스템에 들어오는 데이터와 승인 흐름을 안다.

그런데 DOD 관계자는 IT 시스템에서 사기의 징후를 식별하고 신고하는 별도 교육은 현재 의무가 아니라고 말했다. 중앙 지침을 한 사업의 훈련으로 바꾸는 구간에 담당자가 필요하다. 그 사업의 위험을 누가 골라 사례로 만들지, 누가 교육 대상을 정할지, 시스템 변경 뒤 내용을 누가 고칠지, 신고가 오면 누가 판단할지 결정해야 한다. 이런 결정이 비어 있으면 부처 차원의 의무교육은 직원의 손에서 멈춘다.

위험 평가에 대한 응답은 같은 문제를 다른 각도에서 드러냈다. 18개 중 10개 사업은 자체 사기 위험을 평가한다고 했고, 5개는 하지 않는다고 했다. 3개는 평가 여부를 몰랐다. 마지막 답은 관리 기록의 소재 자체가 불분명하다는 뜻이다. 담당자가 확인할 수 없는 위험 평가는 직원 교육의 재료가 되기 어렵다. GAO의 사기 위험 관리 틀은 각자의 업무에서 위험을 이해하고, 일반 재무 통제와 사기 방지 통제를 구별하며, 반복적으로 교육받는 과정을 요구한다.

한 건의 새 권고에 CIO와 Comptroller가 같이 적혔다

GAO는 이번 연례 평가에서 새 권고를 하나 냈다. 국방장관이 CIO에게 Comptroller와 협력해 주요 업무용 IT 사업에 지속적인 사기 방지 관행을 세우도록 지시하라는 것이다. 교육은 해당 업무의 위험 징후와 위험 평가 활동을 직원이 이해하도록 해야 한다. 이전 연례 평가에서 남은 여섯 권고도 다시 언급됐지만 이번 새 권고의 대상은 사업 현장으로 지식을 전달하는 과정이다.

DOD는 부분적으로 동의했다. Comptroller가 이미 위험을 총괄하고 있고, 연례 인증 지침에 관련 재무 요구를 반영한다고 설명했다. GAO는 두 조직의 협력이 여전히 필요하다고 답했다. 사업 직원이 자신에게 맞는 교육을 받고, 그 기회가 있다는 사실도 알아야 하기 때문이다. 책임자를 이름으로 지정하는 일과 프로그램 직원이 교육을 활용하는 일 사이에는 검증해야 할 거리가 있다.

보고서의 다른 결과도 실행의 중요성을 강조한다. 적극적으로 소프트웨어를 개발하는 10개 사업 중 8개는 요구된 Agile 지표와 관리 도구의 사용을 입증하지 못했다. 전체 18개 중 6개는 DOD의 2027년 목표에 맞춘 zero trust 도입 계획을 만들지 않았고, 3개에는 승인된 사이버보안 전략이 없었다. 서로 다른 요구와 측정치다. 공통으로 보여 주는 점은 본부의 방침을 각각의 사업 기록으로 확인해야 한다는 것이다.

필요한 증거는 사업마다 작성하는 짧은 연결 기록이다. 어떤 사기 위험을 평가했고, 어떤 직무에 어떤 훈련을 했으며, 직원이 이를 알고 있는지, 신고를 누가 받을지를 보여 줘야 한다. 이후 DOD나 GAO가 18개 사업 모두에서 이 연결을 확인한다면 판단이 달라진다. 지금 7개 사업의 답변은 공통 교육이 업무용 시스템의 마지막 자리까지 전달되지 않았음을 말한다.

출처