미국 정부가 ‘국가 사이버 사고 대응계획(NCIRP)’을 확정했다. 미국 정부는 이 계획에서 사이버사고 시 책임, 역할, 대응 등에 관한 5대 원칙을 수립했다.

28일 한국인터넷진흥원(KISA)이 보호나라 홈페이지에 올린 최신 동향에 따르면 제이 존스 미국 국토안보부(DHS) 장관이 중대한 사이버 사고 발생 시 연방 차원의 대처를 위한 국가 사이버 사고 대응계획 최종판을 발표했다.

KISA는 미국 정부가 계획 최종판에서 중대한 사이버 사고 발생 시 연방정부, 주 및 지방 정부, 민간, 국제 파트너 역할 조정을 위한 전략적 프레임워크를 제시했다고 설명했다.

최종판에는 주요 기반시설 보호 관련 내용이 대폭 보강됐고 전체적으로 내용, 순서, 배열, 설명이 변경, 추가됐다. 사이버 위협을 국가 중대 위협으로 보고 사이버 사고 발생 시 체계적이고 신속한 대응을 위해 이번 계획을 마련한 것이다.

계획에는 미국 연방정부의 사이버 사고 대응활동에 대한 5가지 원칙이 제시됐다. 5가지 원칙은 ‘책임공유’, ‘위험기반 대응’, ‘피해측 존중’, ‘정부의 단합된 노력’, ‘복원 및 복구 지원’ 등이다.

국토안보부는 개인, 민간, 정부가 사이버 공격으로부터 국가를 보호하고 피해를 관리할 공동책임이 있으며 역할을 공유해야 한다고 지적했다(책임공유).

또 연방정부와 주요 기반시설 관리자가 위험평가를 토대로 사이버 사고 대응활동을 수행해야 한다고 밝혔다(위험 기반 대응).

법이 허용하는 한도 내에서 피해측의 프라이버시와 의견을 존중, 보호해야 하며(피해측 존중) 연방정부의 모든 조직이 사이버 사고 대응에 협조하는 것은 물론 필요한 경우 주정부, 지방정부, 국제 파트너 등도 참여해야 한다고 지적했다(정부의 단합된 노력).

이외에 처음 사건을 인지한 연방기관은 다른 유관기관들에게 신속해 내용을 전달해 공동 대응 할 것도 주문했다. 사이버 사고 대응에 필요한 경우 모든 미국 정부 부처의 역량을 집중할 수 있도록 한 것이다.

이와 함께 연방정부의 사이버 사고 대응활동이 피해측의 복원 및 복구를 중심으로 수행해야 한다고 강조했다(복구 복원 지원).

하지만 국토안보부는 대응 범위에 대해서는 선을 그었다.

미국 연방정부는 연방정부에 영향을 미치는 중대한 사이버 사고가 발생하는 경우에만 연방정부 차원에서 대응하고 민간의 경우는 비개입을 원칙으로 정했다.

이는 사이버 사고 대응을 빌미로 민간 영역에 정부가 개입하는 것을 막으려는 조치로 해석된다. 대신 국토안보부는 직접적으로 민간 부문 사이버 사고에 역할을 하지는 않지만 상황을 인식하고 해당 민간 기업, 단체 등과 협력하고 지원하도록 한다는 입장이다.

[테크M = 강진규 기자(viper@techm.kr)]