통신망을 지키라는 명령, 연결을 지킬 책임은 누구에게 있나

요약

• 정부는 통신 장비 제거를 명령할 수 있지만, 서비스 지속성과 사생활 보호, 기업의 운영·재무 영향을 함께 고려해야 한다.
• 통신법의 명령권과 중요 시스템 보호 의무는 출발점이 다르다. 법 통과만으로 모든 통신회사에 똑같은 72시간 신고 기한이 생기는 것은 아니다.

2022년 7월 8일, Rogers 통신망에 장애가 났다. 1,200만 명이 넘는 고객이 서비스를 잃었다. 전자결제와 911 긴급전화도 영향을 받았다. CRTC가 공개한 Xona Partners의 조사에 기록된 피해다.

망을 고칠 직원들도 서로 연락하기 어려웠다. 이들 역시 Rogers 통신망을 썼기 때문이다. 회사는 다른 통신사의 유심을 보내야 했다. 별도의 연락 수단이 부족해 복구 대응이 늦어졌다.

원인은 망을 개선하던 중에 생긴 설정 오류였다. 사이버 공격이나 정부의 장비 철거 명령 때문에 난 장애가 아니다. 하지만 이 사건은 통신망이 생활에서 차지하는 자리를 보여 준다. 연결을 잃으면 결제와 전화뿐 아니라 도움을 요청하는 일도 어려워질 수 있다.

2026년의 새 사이버법 C-8은 정부가 통신망을 바꾸도록 명령할 수 있게 했다. 어떤 장비를 쓰는지도 그 대상이다. 그렇다면 바꾸는 동안의 연결은 누가 챙길까? 법은 정부가 서비스의 지속성을 함께 고려하도록 한다.

장비를 빼라는 말 뒤에 남는 일

C-8이 법으로 확정된 날은 2026년 6월 15일이다. 이날 왕실 재가를 받았다. 통신법 개정은 즉시 효력을 얻었다는 것이 정부의 설명이다.

정부는 특정 공급자의 제품이나 서비스를 쓰지 못하게 할 수 있다. 이미 설치한 장비를 빼라고 명령할 수도 있다. 회사에는 다음 구매를 바꾸는 것보다 큰 일이 될 수 있다.

돈은 누가 부담할까. Telecommunications Act는 명령 발령으로 생긴 금전적 손실의 보상 청구권을 인정하지 않는다. 연방정부가 시켰다는 이유만으로 손실을 돌려받을 권리가 생기지는 않는다는 뜻이다. 다만 이 조항이 특정 회사의 실제 손실이나 요금 인상을 증명하지는 않는다.

정부도 비용을 외면할 수 없다. 명령은 위협에 비춰 필요하고 합리적이어야 한다. 회사 운영과 재무에 미치는 영향을 고려해야 한다. 서비스가 계속 이어질지, 사생활을 보호할지도 살펴야 한다. 장비를 빼라고 하는 데서 판단이 끝나는 것은 아니다.

명령이 언제나 철거를 뜻하지는 않는다. 장관은 보안 계획을 세우라고 할 수 있다. 취약점을 찾아 고치거나, 기준을 따르거나, 예비 시스템을 쓰라고 요구할 수도 있다.

기존 규제 결정이 있어도 새 명령을 확인해야 한다. 보안 명령이 통신 규제기관 CRTC의 결정과 충돌할 수 있기 때문이다. 그때는 충돌한 부분에 한해 명령이 우선할 수 있다.

72시간은 언제부터 흐르나

장비를 바꾸라는 명령과 사고 신고는 다른 문제다. C-8은 별도의 법도 제정했다. 이름은 Critical Cyber Systems Protection Act, 줄여서 CCSPA다.

CCSPA는 중요한 시스템을 평소에 지키도록 하는 법이다. 보안 계획을 운영하고 공급망 위험을 관리하게 한다. 사고가 생기면 알리는 의무도 담고 있다.

대상은 지정된 유형의 사업자다. 통신회사라는 이유만으로 모든 의무가 생기지는 않는다. 공식 통합본은 2026년 9월 30일 현재 CCSPA가 아직 시행되지 않았다고 표시한다. 10월의 후속 조치까지 없었다는 뜻은 아니다.

언제 시작하는지는 시행 명령을 봐야 한다. 자기 회사가 대상인지도 확인해야 한다. 구체적인 신고 기간은 하위 규정에서 정한다.

여기서 72시간이 나온다. 제17조는 하위 규정으로 신고 기간을 정하되, 72시간을 넘길 수 없다고 한다. ‘모두에게 지금부터 72시간’이 아니다. 법이 통과된 날부터 모든 통신회사의 신고 시계가 함께 움직인 것은 아니다.

신고를 받는 곳은 Communications Security Establishment다. 그다음 담당 규제기관에도 즉시 알려야 한다. 신고 사본도 보내야 한다. 두 번째 기관에 알린다고 신고 기한이 새로 주어지지는 않는다.

비공개 명령을 누가 확인하나

이용자가 알고 싶은 것과 회사가 말할 수 있는 것이 다를 수도 있다. 법은 명령의 내용뿐 아니라 존재 자체를 비공개로 정할 수 있게 했다. 자동으로 비밀이 되는 것은 아니다. 정부가 법에 정한 요소를 먼저 검토해야 한다.

비밀이 아닌 명령은 7일 이내에 통지해야 한다. 명령에 지정된 사람이 통지를 받으며, 명령 내용도 함께 받아야 한다.

비공개 조건이 붙으면 다른 통로를 쓴다. 정보활동 감독기구 NSICOP와 NSIRA에 90일 이내에 알려야 한다. 알려야 하는 내용은 명령이 내려졌다는 사실이다. 감독기구의 통지와 일반 공개는 다르다.

의회는 연례 보고를 받는다. 명령을 몇 건 내렸고 무엇을 요구했는가. 어떤 사업자가 영향을 받았는가. 제15.21조 보고가 답해야 할 질문이다. 명령의 이유와 준수 여부, 철회도 담아야 한다. CRTC 결정과 충돌한 경우 역시 포함한다.

제15.81조에는 별도의 보고가 있다. 양원에 제출한 뒤 10일 이내에 웹 요약을 공개해야 한다. 모든 비밀 명령이 공개되는 것은 아니다. 그래도 정부의 권한 사용을 확인할 창구가 하나 더 생긴다.

사생활 보호에도 선이 있다. 장관은 제15.2(2)항으로 통신 가로채기를 명령할 수 없고 암호화된 사적 통신의 복호화를 요구해서도 안 된다. Privacy Act의 규정도 유지된다. 이런 문구가 실제 감독의 충분함까지 보장해 주지는 않는다.

Rogers의 과거 장애가 이 법의 효과를 증명하는 것은 아니다. 다만 보안과 서비스 지속성을 별개로 생각하기 어렵다는 점은 분명하게 보여 준다. 정부가 위험한 장비를 빼도록 요구할 때 이용자에게 중요한 것은 장비 목록만이 아니다. 통화와 결제가 계속되고, 그 과정에서 사생활도 지켜지는가. C-8의 권한을 평가할 때 놓치지 말아야 할 질문이다.

2026년 10월 21일 정정: 법적 권한과 실제 발령된 명령을 구분하고 사고 신고의 적용 조건을 명확히 했다. CCSPA의 시행 상태는 2026년 9월 30일 기준 공식 통합본에 한정해 기술했다.