요약

  • Executive Order 14158은 USDS에 비기밀 연방 시스템 접근을 신속하고 폭넓게 허용하도록 요구했다. 뒤이은 GAO 감사는 DOGE 팀의 권한 경로를 복원할 기록을 확보하지 못했다.
  • 네 기관은 23개가 넘는 시스템 접근을 보고했다. SBA와 VA는 시스템 목록을 내지 않았고, 나머지 네 기관도 계정 역할·권한·로그 확인 요청에 응하지 않았다.
  • CFPB는 관련 사이버·개인정보 사고가 없었다고 밝혔고 통제 절차를 설명했다. GAO는 계정과 로그를 직접 확인하지 못했다.
  • 검증 기준은 명확하다. 각 사용자를 승인된 역할, 활동 기록, 접근 종료 날짜와 연결할 수 있어야 한다.

GAO-26-108192에는 두 가지 숫자가 남았다. 네 기관은 시스템 접근을 보고했고 두 기관은 대상 시스템을 밝히지 않았다. 앞의 네 기관은 합계 23개가 넘는 시스템 접근을 보고했지만, 제출 자료로는 권한 수준을 확인하거나 계정 역할과 활동 로그를 검토할 수 없었다.

빠진 연결은 구체적이다. 사람, 계정, 시스템, 권한, 기록된 행동 사이의 선이다. Executive Order 14158은 접근 권한을 넓게 정했다. 그 권한이 실제로 어떻게 작동했는지 보여주는 자료는 그만큼 따라오지 않았다.

명령은 접근을 열었다. 기록은 권한 사슬을 잇지 못했다

2025년 1월 20일 행정명령은 법이 허용하는 최대 범위에서 U.S. DOGE Service가 비기밀 기관 기록, 소프트웨어, IT 시스템에 신속하고 완전하게 접근하도록 각 기관장에게 요구했다. 명분은 정부 기술 현대화와 효율성 향상이었다. GAO는 CFPB, Department of Education, NOAA, SEC, SBA, VA 등 여섯 기관을 살폈다.

CFPB, Department of Education, NOAA, SEC는 계약, 보조금, 인사, 재무에 쓰이는 23개가 넘는 시스템에 팀이 접근했다고 합산 보고했다. 일부 시스템에는 개인식별정보 등 민감한 자료가 있었다. 이 합계는 기관 보고에 근거한다. GAO는 제출 자료로 접근 범위와 권한 수준을 확정할 수 없었다고 밝혔다. SBA와 VA는 팀이 접근한 시스템을 밝히지 않았다.

USDS의 임시 조직은 2026년 7월 4일 종료됐다. GAO는 행정명령이 더 넓은 USDS 조직을 끝내지는 않았으며, USDS와 기관별 DOGE 인력은 계속 일할 수 있다고 적었다. 임시 조직의 종료일만으로 계정과 파견의 종료 시점을 알 수는 없다. 9월에 나온 보고서에도 전체 접근 경로는 남아 있지 않았다.

권한은 가능한 범위를 정하고 로그는 실행을 남긴다

시스템 이름만으로는 사용자가 그 안에서 무엇을 할 수 있었는지 알 수 없다. 어떤 계정은 읽기만 가능하고, 다른 계정은 자료를 바꾸거나 제삼자의 접근을 설정할 수 있다. GAO는 시스템 정보를 낸 네 기관에 계정별 역할, 역할에 연결된 권한, 각 계정의 행동 로그를 보여 달라고 했다. 2026년 9월까지 이 기관들은 관찰 요청에 답하지 않았다.

CFPB는 두 명의 팀원이 자신이나 다른 사람에게 시스템 접근을 부여할 권한이 있었지만 실제로 부여하지 않았다고 GAO에 설명했고, 최고정보책임자도 이를 확인했다. CFPB는 DOGE 팀과 관련된 사이버·개인정보 사고가 없었다고 보고했다. GAO는 이 진술을 기록했지만 접근 승인과 모니터링을 보여줄 시스템이나 로그를 직접 확인하지 못했다.

통제 문서도 완전하지 않았다. 여섯 기관 가운데 CFPB, Department of Education, SEC만 통제 자료를 일부 제출했고 NOAA, SBA, VA는 관련 요청에 응답하지 않았다. CFPB는 여섯 명이 개인정보 보호 설명을 받았고 네 명이 보안 교육을 마쳤다는 자료를 냈지만 전원 이수 자료는 제공하지 않았다. Department of Education은 여섯 명 중 다섯 명이 서명한 시스템 행동 규칙을 냈고, 반복 요청에도 나머지 한 명의 문서는 제출하지 않았다. SEC는 한 사람의 신원조사가 진행 중이고 다른 한 사람은 2017년에 조사받았다고 보여줬지만, 이전 조사가 적정 판정으로 끝났는지는 확인하지 않았다.

감사의 선은 시작해야 할 곳에서 끊겼다

GAO는 NIST SP 800-53에서 시스템 접근, 무결성, 기밀성, 사용 모니터링에 관한 15개 통제 항목을 골랐다. 확인할 기록은 계정 소유자, 부여된 권한, 필수 교육과 서명 규칙, 활동 로그, 퇴직·복귀 때의 접근 종료일이다. 감사는 이 기록을 서로 연결하는 증거를 요구했다.

여섯 기관은 서로 다른 이유를 들었다. CFPB는 중복 요청과 업무 방해, 추가 부담을 말했다. Department of Education은 진행 중인 소송과 기밀성 우려를 들었다. SEC는 이번 검토에 대한 GAO의 권한을 다퉜고 NOAA도 권한이 없다는 입장을 보였다. VA는 이유를 밝히지 않은 채 답하지 않겠다고 했고, SBA는 9월까지 미응답 이유를 설명하지 않았다. GAO는 31 U.S.C. §§ 716, 717에 따른 자료 접근과 평가 권한을 들며 이런 이의가 법적 권리를 줄이지 않는다고 밝혔다.

기관은 개인 정보와 시스템 설정을 보호하면서 감사인에게 역할, 권한, 승인 날짜와 활동 로그를 제공할 수 있다. GAO는 민감한 자료를 보호하고 기관과 통제된 열람 절차를 조율해 왔다고 밝혔다. 이런 점검은 시스템 세부정보를 공개하지 않고도 접근 기록을 확인하게 한다.

보고서가 확인한 문제는 증거 사슬의 단절이다. 네 기관은 23개가 넘는 시스템을 보고했지만 계정 역할에서 활동 로그까지 검증 가능한 기록을 GAO에 제공하지 않았고, 두 기관은 시스템을 밝히지 않았다. 공개 기록으로는 계정별 접근 시스템, 허용된 작업, 로그에 남은 실제 작업을 확인할 수 없다.

넓은 접근 명령을 내리는 일은 쉽다. 책임은 수용 기관이 권한표와 해당 로그를 제시할 때 시작된다.

출처