Summary

  • 2026년 9월 현재 조사 대상 민간 연방기관 22곳 중 15곳이 네트워크에 연결된 IoT·운영기술 장치의 최초 자산 목록을 만들었다. 11곳은 목록을 유지했고, 10곳은 요구된 정보 여덟 가지를 모두 담았으며, 세 요건을 모두 충족한 곳은 일곱 곳이었다.
  • HUD는 새 자산관리 도구가 옛 시스템에서 빠진 IoT 장치 160여 대를 발견했다고 설명했다. 상무부와 법무부는 필수 정보가 담긴 목록을 갖췄지만 기관 전체에서 정기적으로 갱신하지 않았다. 백악관 관리예산실(OMB)은 2026 회계연도 지침을 갱신하거나 기한을 정해 이행을 감독하지 않았다.

장치는 등록증 없이도 켜진다

2026년 9월 30일 발표된 GAO 보고서는 건물의 센서와 제어기, 연구실과 의료시설의 전문 장비처럼 물리적 환경과 맞닿은 네트워크 장치를 다룬다. 기관이 이를 보호하려면 어떤 장치가 연결됐는지, 책임자는 누구인지, 소프트웨어 버전과 연결 경로가 무엇인지 알아야 한다. OMB는 2023년 12월 기관 전체의 초기 목록을 만들도록 요구했고 2025년 1월 내용을 갱신했다. 초기 목록의 기한은 2024년 9월이었고 이후에도 유지해야 했다.

그로부터 약 2년 뒤에도 일곱 기관은 첫 목록을 만드는 중이었다. 15곳은 목록을 만들었고, 11곳은 유지했으며, 10곳은 장치별 필수 정보 여덟 범주를 모두 넣었다. 세 조건을 함께 이행한 곳은 일곱 곳이다. 같은 기관들을 서로 다른 기준으로 본 수치다. 처음 만든 목록은 새로운 장치가 들어오는 순간 낡기 시작한다. 정기적으로 고쳐 쓰더라도 핵심 항목이 비면 담당자는 조치에 필요한 내용을 찾지 못한다.

OMB가 요구한 정보는 자산 식별번호·설명·분류, 시스템 소유자 또는 보안 담당자, 제조업체, 소프트웨어와 펌웨어 버전, 네트워크 연결과 인터페이스, 보안 통제다. 책임자 칸이 비면 누구에게 확인을 맡길지 알기 어렵다. 버전이 없으면 필요한 갱신과 장치를 짝지을 수 없다. 연결 정보가 없으면 다른 시스템으로 이어지는 길이 흐려진다. 목록은 장치 수를 발표하기 위한 표보다 행동할 사람을 찾는 지도에 가깝다.

HUD에서는 찾는 도구를 바꾸자 보이는 장치의 범위가 달라졌다. 담당자들은 새 하드웨어 자산관리 시스템이 기존 시스템에 보고되지 않은 IoT 장치 160여 대를 확인했다고 밝혔다. 기관 전체의 목록을 위한 새 도구를 배치하고 있었지만 완료 날짜는 정하지 않았다. GAO가 기록한 것은 누락 장치의 발견이지 그 장치에서 발생한 침해 사고가 아니다. 이미 설치된 물건을 기관의 기록이 따라가지 못했던 것이다.

모든 칸을 채운 목록도 어제의 지도일 수 있다

상무부의 초기 목록에는 여덟 범주의 정보가 모두 있었다. 그러나 부서마다 자체 목록을 관리했고 상무부 전체의 목록은 정기적으로 갱신되지 않았다. 법무부도 항목은 다 갖췄지만 잦은 인력 교체와 자원 부족으로 지속적인 관리가 이뤄지지 않았다. 첫 데이터 수집과 새 설치·교체·폐기가 생길 때마다 공통 기록을 바꾸는 업무는 다르다.

다른 기관은 목록의 내용이 부족했다. 교통부는 목록과 유지 계획을 마련했지만 여덟 범주 중 두 개만 완전했고 하나는 부분적, 다섯 개는 빠졌다. 재무부는 초기 목록에 필수 정보 여덟 범주가 하나도 없었고 정기 갱신도 하지 않았다. 에너지부는 네 범주를 완전히, 하나를 일부 담았으며 세 범주는 빠졌다. 에너지부는 자료의 의미가 약하거나 민감하다는 이유로 일부 정보를 삭제했다고 설명했다. 발견, 유지, 내용의 정확도와 민감정보 관리는 서로 다른 과제다.

GAO 공식 보고서 전문은 세 조건을 모두 충족한 기관도 보여 준다. 교육부, 국토안보부, 국무부, 환경보호청, General Services Administration, NASA, 인사관리처가 그 일곱 곳이다. NASA는 동시에 자동 발견 도구가 일반 IT·IoT·운영기술을 안정적으로 구별하지 못하고, 일부 민감한 장치에 능동 질의를 보내면 운용이 방해될 수 있다고 설명했다. 장치를 무작정 더 세게 스캔하는 방식으로는 좋은 목록을 만들기 어렵다.

22개 기관 어느 곳도 IoT 보안 요건의 면제 사례를 보고하지 않았다. 이는 보고된 면제 기록이다. 아직 발견조차 못 한 장치는 공식 예외를 검토하는 자리에도 올라오지 못한다.

OMB가 다음 날짜를 적지 않았다

GAO에 따르면 OMB는 2026 회계연도를 다루는 최신 지침을 내지 않았고 정해진 기간 안에 기관들의 이행을 감독하지 않았다. 각 기관은 기술 문제, 인력과 자원, 경쟁하는 우선순위를 거론했다. 중앙 관리기관은 업무의 우선순위와 점검 날짜를 정하고, 개별 기관은 담당자와 체계를 배치한다. 다음 점검일이 없으면 장치가 계속 늘어도 목록은 오래도록 ‘작성 중’으로 남을 수 있다.

GAO는 OMB에 연결된 IoT·운영기술 장치의 지침을 갱신하고 명확한 우선순위와 일정, 이행 감독을 마련하라고 권고했다. OMB는 보고서 초안에 의견을 내지 않았다. 날짜가 명시된 지침과 실제로 갱신된 기관별 장치 기록이 판단을 바꿀 것이다. 기관의 설명 아래 작동 방식을 보자는 Heng Lu의 글은 편집 관점이고, 연방기관의 사실은 GAO 원자료에 있다.

Sources