Summary

  • GAO는 국무부, 교통부, 보훈부, 중소기업청에서 각각 두 개의 클라우드 시스템을 골랐다. 여덟 개 중 지속 감시를 완전히 이행한 시스템은 세 개, 문서화된 사고 대응과 복구를 완전히 이행한 시스템도 세 개였다. 나머지 다섯 개는 각 항목에서 부분 이행이었다.
  • 정보가 업체에서 기관으로 넘어오는 지점이 약했다. 국무부는 선정된 PaaS의 업체 감시 자료를 검토한 증거를 보여 주지 못했고, 보훈부는 두 시스템에서 업체 감사 로그를 수집·검토했다는 증거를 제공하지 못했다. 표본은 연방 전체를 대표하지 않는다.

승인서는 있는데 보고서를 펼친 기록은 없다

GAO가 2026년 6월 25일 낸 보고서는 클라우드 사용 승인 건수를 기준으로 네 기관을 선정하고, 각 기관의 플랫폼·소프트웨어 서비스를 포함한 두 시스템씩 조사했다. 민감성을 이유로 시스템 이름은 공개하지 않았다. 비대표성 표본 여덟 개에서 나온 숫자다. 연방의 모든 클라우드 서비스가 같은 비율로 관리된다고 주장할 근거는 없다.

감사 항목은 세 가지였다. 지속 감시는 기관이 맡은 통제 조치와 업체의 제출 자료를 반복해 확인하는 일이다. 사고 대응과 복구는 탐지, 통보, 차단, 업체와의 연락 방법을 정하는 일이다. 서비스 수준 계약에는 성능 지표, 측정 방법과 불이행 때 요구할 수단이 있어야 한다. 클라우드를 쓸 권한을 얻는 순간부터 매달 이어지는 업무다.

지속 감시에서 여덟 시스템 가운데 세 개만 완전히 이행했다. 국무부는 선정된 SaaS 업체의 자료를 검토한 근거가 있었지만 PaaS에서는 같은 근거를 보여 주지 못했다. 보훈부는 두 시스템의 감시 계획과 로그 정책을 갖췄으나, 업체 로그를 실제로 받아 읽었다는 자료는 내지 못했다. 중소기업청은 SaaS에서 업체 자료와 로그를 검토했지만 PaaS에서는 그 실행을 보이지 못했다. 계획을 마련하는 일과 계획대로 자료를 여는 일 사이에 감사의 핵심이 있었다.

업체가 울린 경보를 누가 몇 분 뒤 받는가

사고 대응과 복구도 완전 이행 세 개, 부분 이행 다섯 개였다. 교통부의 두 시스템은 이 항목을 모두 충족했다. 국무부의 선정 PaaS에는 업체와 협력할 절차가 부족했다. 보훈부의 PaaS에는 대응 시간을 재는 절차가, SaaS에는 대응 훈련 절차가 없었다. 보훈부는 업체가 2025년 10월 시험을 했다고 말했지만 GAO에 시험 증거와 절차를 제공하지 못했다.

미국 중소기업청(SBA)은 사고 대응 계획에 서명하지 않았고, 신속한 통보와 업체와의 조정 절차에도 빈틈이 있었다. 첫 신호를 업체가 본다면 기관은 통보 시각, 받을 사람, 담당자의 결정과 복구 판단을 미리 연습해야 한다. GAO가 확인한 것은 절차와 증거의 부족이다. 특정 시스템에서 발생한 침해 사고나 실제 대응 실패를 보고한 것은 아니다.

계약을 통한 압박도 고르지 않았다. 여덟 시스템 중 다섯 개는 필요한 성능 지표를 완전히 정한 서비스 수준 계약을 가졌고, 하나는 부분적, 둘은 보안 지표가 없었다. 보훈부의 SaaS 계약에는 지표가 있었지만 측정 방법과 이행 강제 수단이 빠졌다. PaaS에 대해서는 기관과 업체 사이의 구체적 계약 대신 일반적인 웹 설명을 제시했다. 중소기업청은 PaaS에 필요한 계약이 있었지만 SaaS에는 없었다. 측정할 수 없는 수치는 공급업체에 요구할 힘이 약하다.

GAO 공식 보고서 전문은 국무부에 두 건, 보훈부에 다섯 건, 중소기업청에 다섯 건의 권고를 냈다. 교통부는 초기 지적을 해소하는 자료를 제출해 최종 권고를 받지 않았다. 수행 증거가 있으면 감사 결과가 달라진다는 뜻이다. 다른 기관도 자료 검토 일자, 로그 분석, 공동 훈련, 측정 가능한 계약 조건으로 결과를 바꿀 수 있다.

기관의 주장보다 실제 운영을 우선해 보자는 Heng Lu의 관점은 생각의 출처이며, 미국 연방 클라우드에 관한 사실은 GAO 원자료에서 확인했다. 서버는 업체 소유일 수 있다. 경보를 봤는지, 언제 행동했는지를 설명하는 책임은 여전히 기관에 있다.

Sources