:quality(85))
지난 10월, 연방 조달 정책 수립을 담당하는 연방 조달 규정(FAR) 위원회가 새로운 규정 2건을 제안했습니다. 이 규정들이 최종 확정되어 시행될 경우, 연방 계약업체가 사이버 공격 및 기타 사이버 보안 사고를 보고하고 대응하는 방식에 중대한 변화를 가져올 수 있습니다.
첫 번째 제안 규정인 ‘사이버 위협 및 사고 보고 및 정보 공유’(Cyber Threat and Incident Reporting and Information Sharing)는 FAR 52.239-ZZ 및 FAR 52.239-AA 조항을 포함하며, FAR Case 2021–017에 따라 발행되었습니다. 두 번째 규정인 ‘비분류 연방 정보 시스템을 위한 사이버보안 요건 표준화’(Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems)는 FAR 52.239-XX 및 FAR 52.239-YY 조항을 포함하며, FAR Case 2021-019에 따라 발행된 것입니다.
이 제안 규정들이 10월 3일에 발행되면서 60일 간의 의견 수렴 기간이 시작되었으며, 2023년 12월 4일 종료될 예정이었습니다. 하지만 11월 1일, FAR 위원회는 제안 규정에 대한 의견 수렴 기간을 2024년 2월 2일까지 연장했습니다. 이후, FAR 위원회나 FAR을 공동 관리하는 기관들로부터 규정의 최종 확정 또는 시행일에 대한 공식적인 업데이트는 발표되지 않았습니다.
하지만, 이 규정의 범위와 연방 계약업체에게 부과될 막대한 책임을 고려할 때, 기업들은 FAR Case 2021-017 및 2021-019가 어떤 내용을 담고 있는지 반드시 정확히 파악해야 합니다.
이 규정의 범위와 연방 계약업체에게 부과될 책임의 규모를 감안할 때, 기업들은 FAR Case 2021-017 및 2021-019의 내용을 반드시 확인해야 합니다.
바이든 대통령의 사이버보안 행정명령
2021년 5월, 바이든 대통령은 ‘국가 사이버 보안 강화’(“Improving the Nation’s Cybersecurity”)라는 제목의 행정명령 14028호에 서명했습니다. 이 행정명령의 목적은 백악관이 “지속적이며 점점 복잡해지는 악의적 사이버 공격”이라고 규정한 위협으로부터 연방 정부를 보호하기 위해 다양한 사이버보안 조치를 강화하는 것이었습니다. 이번 행정명령은 2020년 SolarWinds 해킹 사건과 2021년 초 Microsoft Exchange 데이터 유출이라는 대규모 전례 없는 두 건의 사이버 공격 직후에 나왔습니다. 주요 미국 경쟁국과 연계된 해커 집단에 의한 이 사이버 간첩 행위들은 새로운 사이버전의 시대가 도래했음을 알렸다고 할 수 있습니다. 이러한 사건 이후, 미국 정부는 자국 데이터 시스템을 강화하기 위한 광범위하고 통합적인 계획 수립의 긴급성을 더욱 절감하게 되었습니다.
이 대통령 행정명령은 대규모 전례 없는 두 차례의 사이버 공격—2020년 SolarWinds 해킹 및 2021년 초 Microsoft Exchange 데이터 유출—이 발생한 직후에 발령되었습니다.
바이든 대통령의 행정명령은 연방 정부가 자체 보유 권한과 자원을 ‘최대한으로 동원하여 자사 컴퓨터 시스템(클라우드·온프레미스·하이브리드 포함)을 보호하고 안전하게 지킬 것’을 명확히 지시했습니다. 명령에는 정부와 연방 계약업체 간의 새로운 사이버 사고 대응 프로토콜 마련, 보안 클라우드 서비스 및 제로 트러스트 아키텍처 도입 등 사이버보안 인프라 현대화, 모든 연방 기관에 걸친 사이버 위협 대응 표준화 등이 포함되어 있습니다.
지난 10월 FAR 위원회가 제안한 새로운 규정들은 2021년 행정명령 이행을 촉진하기 위한 추가적인 노력입니다. 연방 계약업체에게 사이버 사고 발생 시 보고 요건을 강화·확대함으로써, FAR 위원회는 사이버 공격 및 기타 국가 안보에 위협이 되는 악의적 행위에 대해 정부가 더욱 민첩하고 선제적으로 대응할 수 있는 기반을 마련하고자 합니다.
연방 계약업체의 사이버 사고 후 보고 요건을 강화·확대함으로써, FAR 위원회는 국가 안보를 위협하는 사이버 공격 등 악성 위협에 대해 정부 차원의 신속·적극적 대응 환경 조성을 목표로 하고 있습니다.
FAR Case 2021-017: 범위 및 사이버보안 요건
첫 번째 제안 규정에서 두 가지 조항—FAR 52.239-ZZ 및 FAR 52.239-AA—이 도입됩니다. 두 조항 모두 연방 계약업체에게 새로운 책임을 부여하는 것으로, 직접적인 사이버 사고 대응뿐 아니라, 사고 발생 가능성에 대비한 예방 조치의 이행도 포함됩니다.
FAR 52.239-ZZ
FAR 52.239-ZZ의 공식 명칭은 ‘정보·통신기술 제품 또는 서비스에 대한 사고 및 위협 보고 및 사고 대응 요건’입니다. 이 조항은 보안 사고 발생 시 연방 계약업체의 계약상 의무를 현대화하고 강화하도록 설계되었습니다. 주요 내용은 보안 사고에 대해 시의적절하고 포괄적으로 대응, 관련 정부기관과의 협조, 사고 대응을 지원할 수 있는 파일·기록·기타 문서의 유지 등이 있습니다.
제안서에 따르면, ‘보안 사고’에는 단순한 사이버 공격 및 관련 사건만이 아닌, 법률·보안 정책·보안 절차의 전반적인 위반, 또는 분류자료나 통제된 비분류 정보(CUI)가 정부 허가 보안 수준 이하의 정보 시스템으로 전송되는 행위도 포함됩니다.
사고 보고 시한
FAR 52.239-ZZ는 보안 사고 발생 시 정부에 사고를 보고하는 기간을 새롭게 규정합니다. 새로운 기준상, 계약업체는 사이버보안 인프라·보안청(CISA)의 사고 보고 포털을 통해 사고 감지 후 8시간 이내에 관련된 모든 정보를 포함하여 사고를 보고해야 합니다. 이후로도 정부기관의 조사 완료 시점까지 72시간마다 보고 내용을 지속적으로 업데이트해야 합니다.
이처럼 신속하고 일관된 보고는 정부기관과 실무팀이 효과적이고 역동적인 대응 조치를 수행할 수 있도록 지원합니다. 제안 규정에 따르면, 신속한 보고 및 주기적 업데이트는 “악의적 행위자·위협·침해 지표를 신속히 분석해 신속히 식별할 수 있도록 분석관의 데이터 분석 역량을 지원”한다고 명시되어 있습니다.
정부 사고 대응 지원 관련 추가 조치
CISA 포털을 통한 지정 기한 내 사고보고 외에도, 계약업체는 정부기관의 위협 대응을 촉진하는 여러 활동에 참여해야 합니다. 우선, 해당 사건 발생 직후 CISA, FBI, 계약기관 등에서 요청할 경우, 관련 모든 정보·정보시스템·인력에 대한 접근을 제공해야 합니다.
또한, 연방 계약업체는 보고된 보안 사고와 관련된 모든 데이터를 반드시 보존해야 합니다. 여기에는 네트워크 트래픽 데이터, 경계 방어 로그, 텔레메트리 등 관련 정보가 포함되며, 최소 12개월 동안은 액티브 스토리지 형태로 유지하고, 이후 6개월간은 액티브 또는 콜드 스토리지에 저장해야 합니다.
마지막으로, 새로운 FAR 규정은 계약업체가 CISA의 자동화된 인디케이터 공유(AIS) 프로그램에 가입해 사이버 위협 지표 및 권장 방어 조치 정보를 교류하도록 요구합니다. (보안 사고 발생 여부와 관계없이 계약업체는 AIS 플랫폼과의 연동을 유지해야 합니다.)
소프트웨어 자재 명세서(SBOM)
사고 대응 및 보고 요건 외에도, FAR 52.239-ZZ는 연방 계약업체가 해당 계약 수행에 사용되는 모든 소프트웨어에 대한 소프트웨어 자재 명세서(SBOM, Software Bill of Materials)를 보관해야 할 책임을 명시합니다. 정부는 SBOM을 “소프트웨어 개발에 사용되는 다양한 구성요소와 공급망 관계를 기록한 공식 문서”로 정의합니다. 미 상무부에 따르면, SBOM 데이터는 “취약점 식별 및 대응 속도 개선에 기여”하며, “알려진 취약점 및 대응 방안을 식별·분석하는 데 있어 리스크 관리에 필수적”입니다.
특히, 계약업체는 보안 사고가 없는 경우에도 항상 해당 SBOM을 유지해야 하며, 계약 이행 중 소프트웨어가 업데이트될 경우에는 SBOM을 즉시 갱신해야 합니다. SBOM의 작성 및 유지 요건에 대한 상세 내용은 상무부의 SBOM 최소 구성 요소 가이드에서 확인할 수 있습니다.
FAR 52.239-AA
2021-017 사례의 두 번째 조항인 FAR 52.239-AA는 훨씬 구체적·집약적 요건을 담고 있습니다. ‘보안 사고 보고 진술’(Security Incident Reporting Representation)로 명명된 이 조항은, 연방 정부에 입찰하는 모든 계약 희망업체에게 과거 계약과 현행 계약 모두에서 FAR 52.239-ZZ의 요건을 정확히 준수하였음을 증명하도록 요구합니다. 여기에는 모든 의무적 보안 사고 보고 내역의 ‘현행·정확·완전성’ 보장 진술도 포함됩니다.
또한, 모든 입찰자는 FAR 52.239-ZZ 규정을 하위 계약업체에게도 적용하여 관련 내용을 하도급 계약에 반영했음을 증명해야 합니다.
FAR Case 2021-019: 범위 및 사이버보안 요건
FAR 위원회는 Case 2021-019에 따라 ‘비분류 연방 정보 시스템을 위한 사이버보안 요건 표준화’라는 두 번째 제안 규정을 발행했습니다. 이 규정의 목표는 연방 기관 전반에 걸쳐, 특히 비분류 연방 정보 시스템(FIS·Federal Information Systems)의 사이버보안 요건을 표준화하는 것입니다. 2021-019 사례는 자체적으로 명확히 구분되는 두 조항으로 나뉘어 있습니다. 첫 번째는 FAR 52.239-XX ‘클라우드 컴퓨팅 서비스 기반 연방 정보 시스템’으로, 클라우드 기반 FIS를 대상으로 합니다. 두 번째는 FAR-52.239-YY ‘비클라우드 컴퓨팅 서비스 기반 연방 정보 시스템’으로, 클라우드가 아닌 모든 FIS가 포함됩니다.
연방 정부는 연방 정보 시스템을 “기관 또는 그 기관의 계약업체, 혹은 기관을 대리하는 기타 조직이 사용 또는 운영하는 정보 시스템”으로 정의합니다.
FAR 52.239-XX
이 조항은 계약업체의 클라우드 기반 정보 시스템에 대해 연방 정보처리 표준(FIPS-199·Federal Information Processing Standard Publication 199) 및 연방 위험·인증관리 프로그램(FedRAMP) 인증 수준에 따라 영향 등급을 산정하도록 요구합니다. 규정에 따르면, 각 기관은 ‘시스템이 처리·저장·전송하는 정보의 영향 분석’에 기반해 FIPS-199 등급을 산출합니다. 등급이 확정되면, 업체는 해당 FedRAMP 인증 수준에서 요구되는 보안·프라이버시 보호 조치를 이행·유지해야만 합니다.
이런 보안 통제 외에도, FAR 52.239-XX는 계약업체가 ‘FedRAMP 지속적 모니터링 전략 가이드(Continuous Monitoring Strategy Guide)’에 명시된 모니터링 활동에 적극 참여하고, 관련 산출물을 제출해야 한다고 규정합니다. 또한, 정부 및 정부 연계 데이터의 제공·처분 등 특정 계약 요건도 반드시 준수해야 합니다.
FAR 52.239-YY
비클라우드 기반 연방 정보 시스템을 위한 요건은 약간 더 복잡합니다. FAR 52.239-XX와 동일하게 해당 기관은 FIPS-199를 활용해 적절한 영향 등급을 산정하고 이를 계약서에 명시해야 합니다. 이 등급 외에도, 기관 및 계약 담당자는 다요소 인증, 관리 계정, 동의 배너, 사물인터넷(IoT) 기기 통제 등 다양한 특수 보안 이슈를 계약에서 다뤄야 합니다. 마지막으로, 각 담당자는 미국 국립 표준기술연구소(NIST)가 발행한 특별 간행물(NIST SP 800-53, 800–213, 800–161, 800–82 등)에 따라 적합한 보안·프라이버시 보호 대책을 선별·적용해야 합니다.
비클라우드 컴퓨팅 시스템 기반 FIS 계약에 새롭게 추가되는 보안 요건 외에도, 본 조항은 연방 계약업체에 중요한 두 가지 신규 의무를 부여합니다. 첫째, CISA 및 계약 담당자가 지정한 기타 정부기관에 대해 ‘감사, 조사, 점검’이 데이터 보안상 필요하다고 판단될 경우 즉각적이고 완전한 데이터·인력 접근을 제공해야 합니다. 둘째, FIPS-199에서 중간(Medium) 이상 등급을 받은 모든 FIS는 연 2회 평가를 실시해야 합니다. 첫째는 내부 자체 평가로, ‘취약점, 리스크, 침해 지표’ 중심의 점검이고, 두 번째는 해당 시스템의 보안을 독립적으로 검토하는 외부 평가입니다. 계약업체는 이 연례 평가 결과 및 대응 방안 등을 계약 담당자에게 반드시 제출해야 합니다.
면책 책임(Indemnification) 의무
FAR 52.239-XX 및 FAR 52.239-YY 조항에는, 연방 계약업체가 해당 계약 이행과 관련해 발생할 수 있는 모든 책임으로부터 정부를 면책할 것을 요구하는 내용이 포함되어 있습니다. 제안된 규정에 따르면, 주요 위험 시나리오는 계약업체가 정부 데이터에 정보나 자료를 추가하거나, 계약업체의 무단 민감 정보 유출로 발생하는 경우가 대표적입니다. 특히, 본 제안은 계약업체가 '정부 계약업체 방어(Government Contractors Defense)'를 포함한 일체의 방어 논리를 전적으로 포기할 것을 의무화하고 있어, 사이버 공격·데이터 유출 등 보안 사고 발생 시 계약업체에 중대한 책임이 발생할 수 있음을 의미합니다.
새로운 사이버보안 요건 대비 방안
이 두 가지 사이버보안 규정의 시행일이 임박한 것으로 보이지는 않습니다. 의견 수렴 마감(2월 2일) 이후, FAR 위원회를 구성하는 기관들과 FAR 관리 책임 기관들은 제출된 의견을 검토 및 분석하게 됩니다. 이 분석 절차가 끝나야만 최종 규정 공표 여부를 결정하며, 최종 규정이 발행된다 해도 최소 60일 이상의 유예 기간이 주어집니다. (규정 규모·중요도에 따라 이 기간은 최대 120일 이상까지 연장될 수 있습니다.)
규제 입법 절차의 길이 및 여러 단계를 감안할 때, 연방 계약업체들은 FAR Case 2021-017 및 2021-019와 그에 따라 발생할 수 있는 신규 의무사항을 충분히 검토할 여유가 있습니다. 그럼에도 이 제안된 규정의 적용 대상이 되는 기업이라면 실제 시행 가능성에 충분히 대비해야 합니다. 최근 급증하는 심각한 사이버 공격과 바이든 대통령의 2021년 행정명령을 감안하면, 이번 사이버보안 요건 또는 유사 규정이 조만간 법적 의무로 자리할 것이라는 점을 의심할 이유가 없습니다.
규제 입법 절차의 길이와 각 단계의 특성을 감안할 때, 연방 계약업체는 FAR Case 2021-017 및 FAR Case 2021-019가 부과할 수 있는 신규 의무를 검토할 여유가 있습니다.
