Summary

  • 미국 회계감사원은 2026년 6월 기준으로 37개 연방기관이 9개 핵심 기반시설 분야의 민간 주체에 적용하는 사이버보안 관련 현행 규정 117개를 찾아냈다. 80개에는 세 종류 중 적어도 하나의 선제적 보고 의무가 있었고, 사고 신고를 요구한 규정은 48개였다.
  • 사고의 정의와 발동 기준, 시한, 작성 항목, 수신 기관이 겹치거나 충돌할 수 있다. 80이라는 수치는 보고 유형의 잠재적 중복을 가리킨다. 한 회사가 같은 사고로 중복 신고 80건을 했다는 실측값이 아니다.
  • 연방 규정의 조정 책임은 Office of the National Cyber Director, ONCD에 있었다. 2026년 7월 감사 종료 시점에는 새 국가 사이버전략의 이행계획이 공개되지 않아 기관별 세부 역할과 다음 작업이 제시되지 않았다.

공격자의 경로를 찾는 동안, 기관별 시한도 찾아야 한다

초기 경보는 완성된 사건 보고서가 아니다. 운영팀은 실제 침입인지 확인하고, 영향을 받은 설비를 분리하며, 중단하면 안 되는 서비스를 가려낸다. 감독기관도 일찍 알아야 다른 사업자나 국민에게 번질 위험을 판단할 수 있다. 문제는 각 기관이 서로 다른 조건에서 자신의 신고 시계를 켤 때 생긴다. 기술적 사실이 아직 바뀌는 동안 운영팀은 법적 정의 여러 개를 동시에 맞춰야 한다.

미국 회계감사원의 2026년 7월 보고서는 이 구조에 숫자를 붙였다. 감사원은 9개 핵심 기반시설 분야에서 민간 기관에 적용되는 현행 연방 규정 117개를 확인했다. 발행 기관은 37곳이었다. 그중 80개는 사이버사고, 보안계획과 기타 기술정보, 완료된 감사·평가라는 세 범주 중 하나 이상의 정보를 민간 주체가 먼저 제출하도록 했다. 사고 범주가 48개, 계획·기술정보가 52개, 감사·평가가 25개다. 규정 하나에 두 범주 이상이 들어갈 수 있어 80개 규정 안에는 유형별 요구가 최소 125개 있었다.

사고 신고 규정 48개는 27개 기관에서 나왔다. 원문 감사보고서는 사고의 정의, 신고 문턱, 기한의 시작과 길이, 제출할 내용, 접수 경로가 달라질 수 있다고 지적한다. 현장의 시간표로 바꾸면 더 선명하다. 어떤 담당자는 아직 공격 범위를 확인하지 못했는데, 다른 담당자는 두 규정의 기준이 이미 충족됐는지 결정해야 한다. 첫 신고가 나간 뒤 새 사실이 나오면 어느 기관에 어떤 정정본을 보내야 할지도 정해야 한다.

감사원의 숫자를 과장할 이유는 없다. 80개 규정은 비슷한 종류의 정보를 요구해 중복 또는 충돌할 가능성이 있는 집합이다. 같은 회사가 그 80개 규정 아래에서 똑같은 신고를 반복했다는 증거는 아니다. 실제 사고 대응에서 몇 분이 사라졌는지, 비용이 얼마였는지도 이 감사에는 없다. 필요한 다음 자료는 특정 사업자의 특정 사고에 적용되는 규정, 각 발동 조건과 시한, 필수 항목과 접수처를 나란히 놓은 대조표다. 그때 서로 다른 공익을 위한 질문과 같은 사실의 재입력을 구분할 수 있다.

금융업의 열다섯 갈래

금융 분야에는 사이버사고 신고를 요구하는 현행 규정 15개가 있다. 은행업, 증권시장, 상품거래, 소비자 보호 등 어떤 사업을 하느냐에 따라 한 회사가 그중 여러 규정을 적용받을 수 있다. 모든 회사가 15개를 다 따른다는 뜻은 아니다. 각 감독기관은 자신의 위험을 볼 이유가 있다. 그래도 사고를 조사하는 기업에 기관들 사이의 관계까지 즉석에서 설계하라고 맡기면, 연방정부는 자신이 만든 신고망을 운영자보다 덜 알게 된다.

감사원은 Cyber Incident Reporting for Critical Infrastructure Act, CIRCIA에 따른 범분야 규정도 검토했다. 2026년 7월에는 제안 단계였고 현행 규정 117개에 포함되지 않았다. CISA는 실질적으로 비슷한 신고라면 한 번의 제출로 두 의무를 이행할 수 있는 예외를 검토했다. 그 길이 실제로 열리려면 최종 규칙에 적용 대상, 공통 필드, 기관 간 전달 주체, 각 기관이 인정하는 수신 확인이 명시돼야 한다. 접수 버튼 하나가 여러 법적 시계를 자동으로 멈추게 하지는 않는다.

사고가 없을 때도 서류는 쌓인다. 여러 연방기관을 상대하는 계약업체는 비슷한 보안계획이나 감사 결과를 반복 제출할 수 있다. 운송 분야의 일부 사업자는 활동 범위에 따라 최대 7개 연방 규정에 따른 보안계획 제출을 마주할 수 있다. 기관은 자기 받은 파일을 본다. 기업은 버전과 날짜를 맞추고 차이를 설명하며 발송 증거를 보관한다. 조정 비용은 그 요청을 낸 기관의 실적표가 아니라 기업의 운영비에 남는다.

지휘자는 정해졌지만 악보는 공개되지 않았다

의회는 ONCD에 연방 사이버규정 조정 역할을 맡겼다. Cyber Incident Reporting Council의 작업을 바탕으로 Department of Homeland Security는 2023년 사고 정의, 신고 기한, 발동 조건 등을 포함한 권고 8가지를 내놓았다. 연방 규제기관 간 포럼도 조정 방안을 살폈다. 2026년 3월 국가 사이버전략은 불필요한 부담을 줄이고 기관 간 요구를 맞추겠다고 했다.

감사원이 확인한 실행 기록은 짧았다. 포럼은 2024년 말부터 활동하지 않았다. 2026년 5월까지 국토안보부는 권고 8가지의 처리 현황을 보고하지 않았다. 감사원은 2025년 9월과 2026년 6월 ONCD에 정보를 요청했지만 그해 6월까지 답을 받지 못했다. 7월에는 새 전략의 실행계획도 공개되지 않았다. 정의를 누가 통일하고, 기한 충돌을 누가 해결하며, 한 번 낸 보고가 두 기관에 도달했다고 누가 보증하는지 기관별 세부 실행 담당과 절차가 공개되지 않았다.

공개할 수 있는 증거는 구체적이다. 규정마다 적용 대상, 신고를 시작시키는 사실, 기산점과 마감, 필수 항목, 수신자, 합법적인 재사용 여부, 인정되는 회신을 기록한 표를 만들면 된다. 표를 고칠 책임 기관도 적어야 한다. 두 분야에 걸친 사업자를 대상으로 한 훈련에서는 기술적 봉쇄와 신고 절차에 든 시간을 따로 재고, 보고가 실제로 어디까지 전달됐는지 확인한다. 종이 위의 조정이 사고실에서 작동하는지 그때 드러난다.

정부는 빠른 신고를 요구할 수 있다. 그 요구를 이행하는 사람이 공격을 막는 일도 동시에 하고 있다. 다음 경보가 울리기 전에 워싱턴 자신의 시계와 수신 경로부터 맞춰야 한다.

자료: 미국 회계감사원 보고서 소개, 36쪽 원문 보고서.