CISA 사고 대응 플레이북 공백, 미국 사이버 방어 체계의 숙제로

미국 연방 사이버보안 당국인 CISA가 민감한 접근 정보 노출 사고를 처리하는 과정에서 사전 대응 절차가 충분히 준비되지 않았다고 인정했다. 미국 정부 네트워크와 핵심 기반시설 보호를 담당하는 기관이 실제 사고 초기에 대응 플레이북을 현장에서 새로 만들어야 했다는 점이 드러나면서, 공공 부문 사이버 방어 체계의 준비 수준이 다시 도마에 올랐다.

TechCrunch에 따르면 CISA는 7월 10일 공개한 사후 검토 보고서에서 지난 5월 발생한 보안 사고 당시 필요한 대응 절차가 미리 정리돼 있지 않았다고 밝혔다. 이 사고는 CISA 계약업체 직원이 미국 정부 시스템 접근에 쓰일 수 있는 키와 인증 정보를 공개 GitHub 저장소에 올려두면서 시작됐다. 보안업체 GitGuardian 소속 연구자가 이를 발견해 외부에 알렸고, 독립 보안기자 브라이언 크렙스가 CISA에 연락한 뒤 저장소 삭제와 인증 정보 교체가 이뤄졌다.

사고 중에 만들어진 대응 절차

CISA는 보고서에서 사고 초기에 직원들이 대응 방식을 정리하는 데 시간을 써야 했다고 설명했다. 조직이 예상 가능한 사고 유형별로 절차를 미리 마련해 두지 않으면, 실제 침해나 노출이 발생했을 때 기술적 조치뿐 아니라 의사결정과 책임 분담도 늦어질 수 있다는 의미다.

이번에 노출된 정보가 실제 악용됐다는 내용은 공개되지 않았다. CISA는 고객 데이터나 임무 관련 데이터가 노출되지는 않았다고 밝혔다. 다만 접근 키와 인증 정보가 공개 저장소에 있었던 사안인 만큼, 저장소를 내리고 관련 자격 증명을 폐기·교체하는 조치가 신속하게 이뤄져야 했다. 민감 정보 노출 사고에서는 공격자가 해당 정보를 언제 복사했는지 알기 어렵기 때문에, 발견 즉시 무효화와 영향 범위 확인을 병행하는 것이 중요하다.

더 큰 문제는 신고 채널의 불명확성이다. 보안 연구자는 먼저 계약업체 측에 알리려 했지만 응답을 받지 못했고, 이후 언론인을 거쳐 CISA에 전달된 것으로 전해졌다. CISA도 연구자들이 잠재적 사고를 알릴 수 있는 경로가 충분히 명확하지 않았다고 인정했다. 보안 취약점 신고 체계가 복잡하거나 응답이 늦으면, 선의의 제보가 실제 보호 조치로 이어지는 시간이 길어진다.

공공기관 보안 운영의 구조적 부담

CISA는 미국 국토안보부 산하 기관으로 연방기관 사이버 방어, 중요 인프라 보호, 민간 부문 보안 권고 등 폭넓은 임무를 맡고 있다. 이런 기관에서 사고 대응 플레이북이 준비되지 않았다는 사실은 단일 실수보다 넓은 운영상의 부담을 보여준다. 기관 내부 인력, 계약업체 관리, 취약점 신고 접수, 인증 정보 관리가 하나의 체계 안에서 움직여야 하기 때문이다.

계약업체 보안 관리도 핵심 쟁점으로 떠올랐다. 정부 시스템과 연결되는 업무를 맡은 외부 인력이 민감한 키를 공개 저장소에 올렸다면, 저장소 사용 정책과 비밀 정보 탐지, 사전 차단 도구, 코드 검토 절차가 제대로 작동했는지 살펴봐야 한다. 민간 기업에서도 비슷한 사고가 반복돼 왔지만, 정부 시스템 접근 정보는 파급 범위가 더 넓을 수 있다.

CISA는 이번 일을 계기로 연구자 신고 절차를 더 쉽고 빠르게 만들기 위한 변화를 적용했다고 밝혔다. 그러나 사후 조치만으로는 충분하지 않다. 기관은 사고 유형별 의사결정표, 연락망, 권한 회수 절차, 외부 제보 접수 방식, 계약업체 책임 범위를 문서화하고 반복 훈련해야 한다. 플레이북은 위기 상황에서 새로 쓰는 문서가 아니라, 평시에 검증해 둔 실행 계획이어야 한다.

이번 사례는 사이버보안에서 기술 장비만큼 절차와 조직 운영이 중요하다는 점을 보여준다. 노출된 비밀번호를 바꾸는 일은 비교적 분명한 조치지만, 누가 먼저 판단하고 누구에게 통보하며 어떤 시스템을 우선 격리할지 정해져 있지 않으면 대응 속도는 떨어진다. CISA의 인정은 실수 공개라는 점에서 의미가 있지만, 동시에 공공기관 전체가 같은 문제를 점검해야 한다는 신호로 읽힌다.