FAR 위원회의 신규 제안 사이버보안 규정 및 현황

FAR 위원회는 지난해 말 연방 계약업체에 중대한 영향을 미칠 수 있는 두 가지 신규 사이버보안 규정을 제안했습니다. 이 규정들이 도입하는 새로운 책임은 무엇이며, 언제부터 시행될 예정입니까?

Michael Mariani

8분 소요
FAR 위원회의 신규 제안 사이버보안 규정 및 현황

지난 10월, 미국 연방 정부의 조달 정책을 총괄하는 기관 간 기구인 Federal Acquisition Regulatory(FAR) Council은 두 가지 신규 규정안을 제안했습니다. 이 규정안들이 최종 확정되어 시행될 경우, 연방 계약업체의 사이버 공격 및 기타 사이버 보안 사고에 대한 보고 및 대응 방식에 중대한 영향을 미칠 수 있습니다. 

첫 번째 제안안인 Cyber Threat and Incident Reporting and Information Sharing(사이버 위협 및 사고 보고·정보 공유)은 FAR 52.239-ZZ 조항과 FAR 52.239-AA 조항을 포함하고 있으며, FAR Case 2021–017에 따라 발행되었습니다. 두 번째 규정안인 Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems(비밀 등급 외 연방 정보시스템의 사이버보안 요구사항 표준화)—FAR 52.239-XX, FAR 52.239-YY 조항 포함—은 FAR Case 2021-019에 근거해 발행되었습니다. 

이 규정안들은 10월 3일에 발표되어 60일간의 의견 수렴 기간이 시작되었고, 이는 2023년 12월 4일 종료될 예정이었습니다. 그러나 11월 1일, FAR Council은 의견 제출 기한을 2024년 2월 2일로 연장했습니다. 이후, FAR Council 또는 연방 조달 규정(Federal Acquisition Regulation)을 공동 관리하는 관련 기관들로부터 해당 규정의 확정 또는 시행일에 대한 공식적인 업데이트는 나오지 않았습니다. 

이 규정들이 적용 범위 및 연방 계약업체에게 부과하는 책임의 중대성을 고려할 때, 기업들은 FAR Case 2021-017 및 2021-019의 구체적인 내용을 반드시 숙지해야 합니다. 

이 규정들이 적용 범위 및 연방 계약업체에게 부과하는 책임의 중대성을 고려할 때, 기업들은 FAR Case 2021-017 및 2021-019의 구체적인 내용을 반드시 숙지해야 합니다. 

바이든 대통령 사이버보안 행정명령

2021년 5월, 바이든 대통령은 “국가 사이버보안 강화(Imporving the Nation’s Cybersecurity)”라는 명확한 제목의 행정명령 14028호에 서명했습니다. 이 행정명령의 목적은 연방 정부를 “지속적이고 점점 더 정교해지는 악의적 사이버 캠페인”으로부터 보호하고자 사이버보안 조치를 강화하는 데 있었습니다. 이 행정명령은 SolarWinds 해킹(2020년)과 Microsoft Exchange 데이터 유출(2021년 초)이라는 전례 없는 두 건의 대형 사이버 공격 이후 발동되었습니다. 이러한 사이버 스파이 행위는 미국의 주요 경쟁국과 연관된 해킹 그룹에 의해 이루어졌으며, 새로운 사이버 전쟁 시대의 출현을 시사하는 사건이었습니다. 이에 따라 미국 정부는 데이터 시스템을 강화하기 위한 포괄적이고 통합된 계획의 수립 필요성에 더욱 긴급하게 대처하기 시작했습니다. 

이 대통령 지시는 SolarWinds 해킹(2020년)과 Microsoft Exchange 데이터 유출(2021년 초)이라는 전례 없는 두 건의 대형 사이버 공격 이후에 내려졌습니다.

바이든 대통령의 행정명령은 연방 정부가 “클라우드·온프레미스·하이브리드 등 모든 컴퓨터 시스템을 보호·방어하기 위해 모든 권한과 자원을 총동원해야 한다”고 명시했습니다. 이 명령은 정부와 연방 계약업체 간 새로운 사이버 사고 대응 프로토콜 수립, 보안 클라우드 서비스 및 제로 트러스트 아키텍처 도입을 통한 사이버보안 인프라 현대화, 연방 모든 기관 간 사이버 위협 대응 표준화 등 다양한 조치를 요구하고 있습니다. 

지난 10월 FAR Council에서 제안한 신규 규정들은 2021년 행정명령의 구체적 이행을 가속화하는 움직임입니다. 사이버 사고 발생 시 연방 계약업체의 보고 의무를 강화·확대함으로써, FAR Council은 정부가 사이버 공격과 국가 안보 위협에 보다 민첩하고 능동적으로 대응할 수 있는 기반을 마련하고자 합니다. 

사이버 사고 발생 시 연방 계약업체의 보고 의무를 강화·확대함으로써, FAR Council은 정부가 사이버 공격 및 기타 국가 안보 위협에 보다 민첩하게 대응할 수 있도록 기반 마련을 기대하고 있습니다. 

FAR Case 2021-017: 적용 범위 및 사이버보안 요구사항

첫 번째 규정안에는 FAR 52.239-ZZ와 FAR 52.239-AA라는 두 개의 조항이 포함되어 있습니다. 두 조항 모두 사이버 사고 발생 시, 혹은 사고 가능성에 대비해 연방 계약업체에 새로운 책임을 부여합니다. 

FAR 52.239-ZZ

FAR 52.239-ZZ의 공식 명칭은 “정보통신기술 관련 제품·서비스에 대한 사고 및 위협 보고, 사고 대응 요건”입니다. FAR 52.239-ZZ는 보안 사고 발생 시 연방 계약업체의 계약상 의무를 최신화·강화하는 것을 목표로 합니다. 구체적으로, 보안 사고에 대한 신속하고 포괄적인 대응, 정부 기관과의 협력적 조사, 사고 대응에 도움이 될 수 있는 모든 파일·기록·문서의 유지 등의 새로운 요구사항을 포함하고 있습니다.

이 규정에 따르면, “보안 사고”는 사이버 공격 등 전형적인 사이버보안 사고를 넘어 법률, 보안 정책, 보안 절차의 일반적 위반과, 비인가 정부 보안등급 이하의 정보 시스템으로 분류 정보 또는 통제 미분류 정보(CUI)가 이전되는 경우까지 포괄합니다. 

  • 사고 보고 기한

FAR 52.239-ZZ는 계약업체가 정부에 보안 사고를 보고해야 하는 기한을 단축합니다. 이 새로운 규칙에 따르면, 계약업체는 사고 최초 발견 후 8시간 이내에 Cybersecurity and Infrastructure Security Agency(CISA, 사이버 및 인프라 보안국)의 사고 보고 포털을 통해 해당 사고 및 관련 정보를 보고해야 합니다. 이후 조사 완료 시까지 72시간마다 추가 업데이트도 제출해야 합니다. 

이렇게 신속하게 사고를 보고하면 정부 및 조사팀이 보다 효과적이고, 역동적으로 대응할 수 있습니다. 규정안은 신속한 보고·지속적 업데이트가 “악의적 행위자, 위협, 침해 지표를 신속하게 식별하는 데이터 분석”에 기여한다고 설명합니다.

  • 정부의 사고 대응 지원 추가 조치

CISA 포털을 통한 일정 기한 내 보고 외에도, 계약업체는 정부의 위협 대응을 원활히 할 수 있는 여러 활동에 참여해야 합니다. 우선 해당 기업은 보안 사고 직후 CISA, FBI, 그리고/또는 계약기관에 모든 관련 정보, 정보 시스템, 인력에 대한 완전한 접근권을 제공해야 합니다. 

또한, 연방 계약업체는 보고한 보안 사고와 관련된 모든 데이터를 보존해야 할 책임이 있습니다. 이는 네트워크 트래픽 데이터, 경계 방어 로그, 텔레메트리 등 각종 관련 정보를 12개월 동안 활성 저장소에, 이후 6개월 추가로(활성 또는 콜드 저장소 모두 가능) 보관해야 함을 의미합니다. 

마지막으로 신규 FAR 규정은 계약업체가 사이버 위협 인디케이터 및 방어 수단을 공유하기 위해 CISA의 Automated Indicator Sharing(AIS) 프로그램에 반드시 가입하도록 요구합니다. (AIS 플랫폼 참여는 보안 사고 발생 여부와 무관하게 계속해야 합니다.) 

  • Software Bill of Materials

사고 대응·보고 요구사항 외에도, FAR 52.239-ZZ는 연방 계약 수행과 관련된 모든 소프트웨어를 아우르는 software bill of materials(SBOM, 소프트웨어 자재 명세서)를 유지해야 할 책임을 신설합니다. 정부는 SBOM을 “소프트웨어 구성에 사용된 각 구성 요소의 세부 정보 및 공급망 관계가 기록된 공식 문서”로 정의합니다. 미국 상무부에 따르면, SBOM 데이터는 “취약점 식별 및 신속한 대응 속도를 높이고, 알려진 취약점·잠재적 완화 방안 식별·분석에 매우 중요”하여 리스크 관리에 핵심적입니다.

특히, 계약업체는 보안 사고가 발생하지 않은 경우에도 SBOM을 유지해야 하며, 계약 수행 도중 IT 소프트웨어가 업데이트되는 경우에도 SBOM을 수정할 의무가 있습니다. SBOM 및 그 유지관리에 관한 상세 요구사항은 미국 상무부의 SBOM 최소 요소 가이드에서 확인할 수 있습니다. 

FAR 52.239-AA

Case 2021-017의 두 번째 조항인 FAR 52.239-AA는 보다 제한적이며 구체적입니다. “보안 사고 보고 이행 진술서(Security Incident Reporting Representation)”라는 제목의 이 조항은 연방 정부에 제안서를 제출하는 모든 계약업체가 자신들이 과거에도 FAR 52.239-ZZ 규정을 성실히 준수해왔음을 증명하도록 요구합니다. 과거 및 현행 계약에서 모든 필수 보안 사고 보고서를 “최신·정확·완전”하게 제출한 사실을 입증해야 합니다. 

또한, 모든 제안자는 이 규정을 과거 하위 계약에도 적용했음을 증명해야 하며, 이는 하위계약자에게 해당 조항의 실질적 내용을 재하도급 계약에 포함하도록 요구하는 것을 의미합니다. 

FAR Case 2021-019: 적용 범위 및 사이버보안 요구사항

FAR Council은 두 번째 규정안인 비밀 등급 외 연방 정보시스템의 사이버보안 요구사항 표준화(Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems)를 Case 2021-019로 발표했습니다. 본 규정의 목표는 연방 기관 전반에 걸쳐 사이버보안 요건을 표준화하는 것으로, 특히 비밀 등급이 아닌 연방 정보 시스템(FIS)을 집중적으로 다룹니다. Case 2021-019는 크게 두 가지 조항으로 구성되어 있습니다. 첫 번째는 “클라우드 컴퓨팅 서비스 사용하는 연방 정보 시스템(Federal Information Systems Using Cloud Computing Services)(FAR 52.239-XX)”로, 클라우드 기반 FIS를 포함합니다. 두 번째는 “비클라우드 컴퓨팅 서비스 사용하는 연방 정보 시스템(Federal Information Systems Using Non-Cloud Computing Services)(FAR 52.239-YY)”으로, 클라우드 컴퓨팅을 사용하지 않는 FIS를 대상으로 합니다. 

연방 정부는 연방 정보 시스템을 “기관·계약업체·그 외 기관을 대신해 운영되는 정보 시스템”으로 정의합니다.

FAR 52.239-XX

이 조항은 계약업체의 클라우드 기반 정보 시스템에 대해 Federal Information Processing Standard Publication 199(FIPS-199, 연방 정보처리 표준 199호) 및 이에 상응하는 Federal Risk and Authorization Management Program(FedRAMP, 연방 위험 및 권한관리 프로그램) 인증 수준을 참조해 영향 수준을 산정하도록 기관에 요구합니다. 규정안에 따르면, 기관은 “시스템이 처리·저장·전송하는 정보의 영향 분석”을 바탕으로 FIPS-199 등급을 산출해야 하며, 해당 등급이 산출되면 연방 계약업체는 FedRAMP 인증 수준에 부합하는 보안·개인정보 보호 대책을 이행·유지해야 합니다. 

이 보안 가이드라인 외에도, FAR 52.239-XX는 계약업체가 FedRAMP 지속적 모니터링 전략 가이드에서 규정한 기준에 따라 지속적 모니터링 활동에 참여하고, 이에 대한 산출물을 제출해야 한다고 명시하고 있습니다. 마지막으로, 모든 정부 및 정부 관련 데이터의 제공 및 폐기에 관한 구체적 계약 조건도 철저히 준수해야 합니다. 

FAR 52.239-YY

비클라우드 기반 연방 정보 시스템에 적용되는 이 조항의 요구사항은 다소 복잡합니다. FAR 52.239-XX와 마찬가지로, 기관은 FIPS-199 기준에 따라 적정 영향 수준을 산정해 계약서에 반영해야 합니다. 또한, 기관 및 담당 계약관(Contracting Officer)는 다요소 인증, 관리자 계정, 동의 배너, 사물인터넷(IoT) 기기 통제 등 다양한 보안 이슈를 개별적으로 지정해야 하며, NIST(미국 국립표준기술연구소)가 발행한 특별 간행물(NIST SP 800-53, NIST SP 800–213, NIST SP 800–161, NIST SP 800–82 등) 기준에 따라 적합한 보안·개인정보 보호 대책을 선택해야 합니다. 

비클라우드 컴퓨팅 시스템을 사용하는 FIS의 계약에 신규 보안 요건이 포함됨에 따라, 이 조항은 연방 계약업체에게 두 가지 중대한 신규 책임도 부여합니다. 첫째, CISA 및 계약담당관이 지정한 기타 정부 기관에 대해, 데이터 보안에 반드시 필요한 경우 정부·정부 관련 데이터 및 인력에 “시의적절하고 충분한 접근권”을 제공해야 합니다. 둘째, FIPS-199에서 ‘중간’ 또는 ‘높음’ 등급으로 평가된 FIS의 경우, 연 2회 평가를 실시해야 합니다. 첫 번째는 내부 평가(취약점·리스크·침해지표 진단), 두 번째는 외부 평가(정보 시스템 보안 독립 평가)입니다. 연방 계약업체는 이 두 평가의 결과 및 권장 개선방안을 계약담당관에게 제출해야 합니다. 

면책 의무

이 두 조항(FAR 52.239-XX 및 FAR 52.239-YY)에는 연방 계약업체가 계약 이행과 관련해 발생하는 모든 책임으로부터 정부를 면책해야 하는 조항이 포함되어 있습니다. 규정안에 따르면, 이러한 책임은 주로 계약업체가 정부 데이터에 정보를 추가하거나, 민감한 정보·자료를 무단 공개하여 발생할 수 있습니다. 특히, 규정은 계약업체가 “Government Contractors Defense(정부 계약업체 면책 방어)”를 포함한 가능한 모든 방어책의 주장을 포기해야 한다고 명시합니다. 이 조항은 사이버 공격, 데이터 유출, 기타 보안 사고 등 발생 시 계약업체에 상당한 책임을 부과합니다. 

신규 사이버보안 요구사항 대비 방안

현 시점에서는 이 두 사이버보안 규정의 시행일이 임박했다고 보기 어렵습니다. 2월 2일까지 연장된 대국민 의견수렴 기간 종료 후, FAR Council 및 FAR 관련 기관들이 의견을 검토·분석하게 됩니다. 이 분석이 완료되어야 최종 규정 발표 여부가 결정되며, 만약 최종 규정이 발행될 경우 최소 60일의 유예기간이 시작됩니다. (규정의 중요도에 따라 유예기간이 120일 이상 연장될 수도 있습니다.)

규정 제·개정 절차의 기간 및 단계가 상당히 긴 점을 고려하면, 연방 계약업체는 FAR Case 2021-017 및 2021-019, 그리고 이로 인해 발생할 수 있는 각종 신규 의무를 미리 점검할 여유가 존재합니다. 그러나 이들 규정에 적용되는 기업이라면 향후 시행 가능성을 결코 가볍게 여겨선 안 됩니다. 최근의 심각한 사이버공격 증가와 2021년 바이든 대통령 행정명령을 고려할 때, 이번 사이버보안 의무 혹은 유사한 조치가 가까운 시일 내에 규제 법령으로 제정될 것임은 자명해 보입니다.

규정 제정 절차가 길고 여러 단계가 존재하기 때문에, 연방 계약업체는 FAR Case 2021-017, FAR Case 2021-019, 그리고 이로 인해 발생할 수 있는 신규 의무를 미리 검토할 여유가 있습니다.