요약

  • 2026년 10월 28일 감찰관 보고서에 따르면 연방준비제도 이사회는 반년마다 비상대응을 시험하고 부서별 업무연속성 계획을 관리한다. 그러나 개별 정보시스템마다 요구되는 기술 복구 요소를 모두 갖춘 계획은 만들지 않았다.
  • 업무 영향 및 절차 분석은 정보·내부 위험·국가안보 프로그램 담당 부서가, 기술적 비상대응은 IT 부서가 맡는다. 두 부서가 우선순위와 문서를 함께 맞추는 규칙이 없다. 업무 영향 분석의 대부분은 2023년 또는 그 이전 이후 갱신되지 않았다.
  • 이사회의 정보보안 프로그램은 5단계 가운데 성숙도 2단계를 받았다. 연방 기준이 효과적이라고 보는 4단계에 못 미친다. 평가 산식 변경과 거버넌스 영역 신설 때문에 과거 점수와 단순 비교할 수 없다. 과거 권고 17건 중 13건이 열려 있었고, 이사회는 새 권고 8건에 동의했다.

부서 계획은 서버를 되살리는 순서를 말하지 않는다

2026년 10월 연준 이사회 감찰관의 공식 보고서는 민감한 금융·감독 정보를 다루는 연방준비제도 이사회를 감사했다. 열두 지역 연방준비은행 전체에 대한 평가가 아니다. 보고서는 이사회가 아무 준비도 하지 않는다고 말하지 않는다. 비상대응 시험은 반년마다 이루어지고, 부서 수준의 업무연속성 계획도 존재한다. 그러나 정보시스템 하나하나를 복구할 때 필요한 요소를 모두 담은 계획은 없다.

업무 부서는 어떤 기능이 먼저 돌아와야 하는지 결정할 수 있다. 기술 부서는 어떤 시스템을 어떤 순서로, 어느 데이터 시점까지 복구하고, 대체 처리 방법을 어떻게 시험할지 알아야 한다. 감찰관은 상세한 기술 절차, 시스템별 우선순위, 복구 시점 목표, 대체 처리, 시험과 복원 활동이 계획에 빠졌다고 적었다. 이사회 관계자는 시스템 보안 계획에 관련 정보가 있다고 설명했지만, 감사관이 살펴본 그 문서에도 요구되는 개별 시스템 복구 절차는 없었다.

연습을 했다는 사실은 중요하다. 다만 부서 단위의 훈련은 연락 체계와 의사결정 순서를 시험할 수 있어도, 특정 응용 프로그램의 마지막으로 허용 가능한 데이터 상태를 대신 정해주지는 못한다. 중단이 발생한 뒤 그 결정을 처음 내리면, 업무상 긴급도와 기술상 의존관계가 시간을 두고 경쟁한다.

우선순위를 적는 손과 복구 절차를 적는 손

정보·내부 위험·국가안보 프로그램 부서(IINS)는 업무 영향 분석, 업무 절차 분석, 연속성 계획을 담당한다. IT 부서는 기술적 비상대응을 담당한다. 감찰관은 두 부서의 조정 방식, 역할, 문서의 공동 갱신 주기를 정한 정책이 없다고 확인했다.

서류의 나이가 이 문제를 구체화한다. 업무 영향 분석의 대부분은 2023년 또는 그 이전 이후 갱신되지 않았고, 절차 분석의 절반 이상은 2024년 또는 그 이전 이후 갱신되지 않았다. 2025년에 수정된 일부 절차 분석은 대응하는 영향 분석에 반영되지 않았다. 한쪽은 새 업무 과정을 보고, 다른 쪽은 옛 우선순위를 볼 수 있다. 장애 상황은 그 두 기록을 천천히 대조할 시간을 주지 않는다.

감찰관은 이 때문에 핵심 시스템이 중단 후 제때, 일관되게 복구될 것이라는 확신이 제한적이라고 판단했다. 특정 시스템이 실제 사고에서 복구에 실패했다는 보고는 아니다. 핵심은 업무상 중요도와 기술적 복구 가능성을 누가 하나의 검증된 결정으로 결합할지다.

시스템 목록도 같은 연결 문제를 드러냈다. 이사회 자체 기준이 요구하는 32개 필드 가운데 10개가 빠져 있었다. 정보 유형, 인가 경계, 시스템 소유자, 클라우드 서비스 유형이 여기에 포함된다. 개인정보나 필수 기능을 가진 일부 시스템은 잘못 분류됐고, 다른 규정 준수 도구에 나오는 일부 시스템은 목록에 없었다. 빠진 것은 시스템 열 개가 아니라 필드 열 개다. 무엇이 존재하고 누가 책임지는지 정확히 알아야 복구 순서를 짤 수 있다.

보안 점수 2점은 복구 시험 결과가 아니다

감찰관의 공식 요약은 2026년 이사회 정보보안 프로그램의 성숙도를 5단계 중 2단계로 평가했다. 정책이 정의돼 있지만 일관되게 시행되지 않는 수준이다. 연방 기준은 관리되고 측정 가능한 4단계를 효과적인 수준으로 본다. 이사회는 2024년 4단계, 2025년 3단계를 받았다. 다만 평가 방식은 가장 자주 나온 점수를 택하는 방식에서 평균 계산으로 바뀌었고, 사이버 거버넌스가 별도 영역이 됐으며, 새로운 취약점도 조사에 들어갔다. 세 숫자를 동일한 잣대로 재서 만든 단순 하락 그래프로 읽을 수 없다.

이전 연례 감사에서 남은 권고 17건 중 13건은 아직 열려 있었고 4건은 이사회의 조치 후 종료됐다. 이번 보고서에는 기술 거버넌스, 시스템 목록, 다중인증 예외, 취약점, 지속적 감시, 연속성, 클라우드 계약에 관한 권고 8건이 추가됐다. 최고정보책임자와 최고재무책임자는 지적 사항에 동의하고 예정된 조치를 설명했다. 동의는 담당 업무를 정하지만 개별 시스템의 복구 단계를 완성하지는 않는다.

핵심 권고는 IINS와 IT 부서가 업무 영향·절차 분석을 기술 계획에 맞추고 시스템별 비상대응 계획을 요구하도록 한다. 다음에 확인할 증거는 같은 날짜의 일치하는 분석 문서, 소유자가 명시된 시스템 목록, 복구 우선순위와 실제 시험 결과다. 연준 이사회는 연습을 계속해 왔다. 이제 그 연습이 구체적 시스템을 되살리는 단계까지 이어진다는 것을 보여줘야 한다.

출처