내년에 여러분의 회사가 해킹을 당한다면, 준비가 되어 있든 아니든 연방 정부에 신고할 시간이 정확히 72시간밖에 없을 수도 있습니다.
이것이 바로 워싱턴에서 절차를 밟고 있는 새로운 연방 규정, 즉 핵심 인프라를 위한 사이버 침해 신고법(Cyber Incident Reporting for Critical Infrastructure Act, CIRCIA)의 핵심입니다. 발전소나 파이프라인에만 적용되는 규정처럼 들리지만 실제로는 그렇지 않습니다. CISA는 이 규정이 결국 30만 개가 넘는 조직에 적용될 것으로 추산하고 있으며, 그중 상당수는 지금까지 누구에게도 침해 사고 보고서를 제출해 본 적이 없는 중소기업입니다.
이 규정은 아직 확정되지 않았습니다. 공표 시기가 몇 차례 미뤄졌고, 이제는 2026년 가을쯤으로 예상되고 있습니다. 하지만 규정의 핵심인 두 가지 기한, 즉 중대한 사이버 침해 사고를 신고해야 하는 72시간과 랜섬 지불금을 신고해야 하는 24시간은 의회가 통과시킨 법률에 직접 명시되어 있습니다. 규정 제정 과정이 아무리 더 지연되더라도, 규정이 발효된 이후에는 이 시계를 완화할 방법이 없습니다. 여러분의 사업이 이 규정의 적용을 받을 가능성이 조금이라도 있다면, 힘들게 뒤늦게 알게 되기보다는 올해 안에 미리 대비하는 것이 좋습니다.
CIRCIA가 실제로 요구하는 것
용어의 껍데기를 벗겨보면 CIRCIA는 "적용 대상 기관(covered entity)"에게 두 가지 의무를 부과합니다.
- 중대한 사이버 침해 사고를 합리적으로 인지한 시점으로부터 72시간 이내에 CISA에 신고해야 합니다.
- 랜섬웨어 지불금을 지급한 시점으로부터 24시간 이내에 신고해야 합니다. 이는 사고 자체가 "중대한" 수준에 미치지 못하더라도 마찬가지입니다.
이는 관리자에게 하는 내부 통지나 "적절한 시점에" 정도로 두루뭉술하게 처리할 수 있는 신고가 아닙니다. 시계는 사고가 발생했다고 합리적으로 인지한 순간부터 작동하기 시작하며, 조사를 마치거나 전체 범위를 확인하거나 변호사를 선임한 시점이 아닙니다. 이 차이는 소상공인에게 엄청나게 중요합니다. 72시간은 침해를 봉쇄하고, 무슨 일이 일어났는지 파악하고, 연방 기관에 제출할 만큼 정확한 보고서를 작성하는 일을 동시에 해내기에는 결코 넉넉한 시간이 아니기 때문입니다.
실제로 "적용 대상"에 해당하는 기업
바로 이 지점에서 CIRCIA는 대부분의 소상공인이 생각하는 것보다 훨씬 넓게 적용됩니다. 적용 여부는 두 가지 별도의 경로를 통해 판단되며, 둘 중 하나에만 해당해도 적용 대상이 됩니다.
규모 기준 적용. 여러분의 사업이 연방 정부가 지정한 16개 핵심 인프라 분야 중 하나에 속하고, 중소기업청(SBA)이 정한 규모 기준(업종별로 다르지만 대체로 직원 1001,500명, 또는 연매출 약 225만4,700만 달러 범위)을 초과한다면, 스스로 얼마나 대단치 않은 사업이라고 느끼든 상관없이 적용 대상일 가능성이 높습니다.
업종 기준 적용. 병원, 은행 및 신용조합, 통신사업자, 공공서비스 기업, 연방 계약업체 등 특정 유형의 기관은 규모와 무관하게 무조건 적용 대상입니다.
16개 분야는 일상적인 대화에서 "핵심 인프라"라는 말이 주는 인상보다 훨씬 폭넓습니다.
- 화학
- 상업 시설
- 통신
- 핵심 제조업
- 댐
- 국방 산업 기반
- 응급 서비스
- 에너지
- 금융 서비스
- 식품 및 농업
- 정부 서비스 및 시설
- 보건 의료 및 공중 보건
- 정보 기술
- 원자로, 핵물질 및 폐기물
- 교통 시스템
- 상하수도
지역 IT 관리 서비스 제공업체, 식료품 체인에 납품하는 중견 제빵업체, 전문 금융회사, 의료 청구 대행업체, 규제 대상 화물을 운송하는 물류 회사 등은 모두 스스로를 "핵심 인프라"라고 여기기 훨씬 전에 이들 분야 중 하나에 들어갈 가능성이 충분합니다. 여러분의 사업이 금융 서비스, IT, 의료, 식품 공급망, 정부 계약과 조금이라도 관련이 있고 최소한의 인력 규모를 넘어섰다면, 이 규정이 남의 이야기라고 넘겨짚기보다는 실제로 SBA 규모 기준 계산을 해보는 것이 좋습니다.
신고 대상 사고의 범위
CIRCIA가 규정하는 발단 사건은 "중대한 사이버 침해 사고"이며, 전면적인 랜섬웨어 셧다운보다 훨씬 넓은 범위를 포괄합니다. 여기에는 다음이 포함됩니다.
- 정보 시스템이나 데이터의 기밀성, 무결성, 가용성에 대한 심각한 손실
- 운영 시스템의 안전성과 복원력에 대한 심각한 영향
- 재화나 서비스를 제공하는 능력의 중단
- 공급망 침해로 인한 무단 접근 — 여러분이 의존하는 협력업체, 관리 서비스 제공업체, 클라우드 플랫폼에서 발생한 침해를 포함합니다.
마지막 항목이 사람들을 가장 당황하게 만드는 부분입니다. CIRCIA 하에서는 사고가 반드시 자사 네트워크에서 발생할 필요가 없습니다. 여러분이 의존하는 클라우드 제공업체나 소프트웨어 벤더가 침해를 당하고 그것이 여러분의 시스템이나 데이터에 실질적인 영향을 미친다면, 그것은 상대방만의 사고가 아니라 여러분이 신고해야 할 사고가 될 수 있습니다.
규정 시행이 계속 미뤄지는 이유 — 그리고 그것이 여러분에게 도움이 되지 않는 이유
의회는 원래 CISA가 2025년 10월까지 CIRCIA 최종 규정을 공표하도록 정했습니다. CISA는 이 기한을 놓쳤고, 목표를 2026년 5월로 미뤘다가 그마저도 놓쳤으며, 반복된 예산 공백으로 규정 제정 작업이 지연되었다는 이유를 들며 이제는 2026년 가을 어딘가를 목표로 하고 있습니다. CISA는 또한 규정이 확정되기 전에 핵심 인프라 이해관계자들의 의견을 수렴하기 위해 여름 내내 일련의 타운홀 세션을 진행해 왔습니다.
기한이 계속 미뤄지는 것을 보고 이 문제의 우선순위를 낮춰도 된다고 생각하기 쉽습니다. 하지만 그것은 착각입니다. 지연되고 있는 것은 규정 제정 과정, 즉 정확한 제출 형식, 정밀한 기준, 절차적 세부 사항을 확정하는 부분입니다. 72시간과 24시간이라는 시계 자체는 CISA의 규정이 아니라 근거 법률에서 의회가 정한 법정 기한입니다. 최종 규정이 발효되면 그 시계는 즉시 작동하기 시작하며, 이론상으로는 72시간이지만 실제로는 좀 더 느슨하게 적용되는 유예 기간 같은 것은 없습니다. 공표일이 미뤄진다는 것은 준비할 시간이 더 많아진다는 뜻일 뿐, 의무가 줄어든다는 뜻이 아닙니다.
랜섬 지불금 신고 시계는 별개이며, 더 짧습니다
랜섬웨어 지불금 신고 요건은 따로 짚고 넘어갈 가치가 있습니다. 72시간 사고 신고 기한에 집중하다 보면 이 부분을 놓치기 쉽기 때문입니다. 여러분의 회사가 랜섬을 지불한다면, 그 지불금은 24시간 이내에 신고해야 합니다. 이는 사고 신고 시계보다 무려 48시간이나 더 촉박하며, 근본 사고 자체가 "중대한" 기준에 미치지 못하더라도 적용됩니다. 랜섬웨어 공격을 당한 많은 소상공인은 실제로 지불이 이루어지는 시점에도 여전히 보험사와 협상 중이거나, 지불 여부를 저울질하거나, 외부 자문 변호사와 작업하고 있는 경우가 많습니다. 조직 내에서 랜섬 지불을 승인할 권한이 있는 사람은, 그 결정에 대한 신고 시계가 사고 자체에 대한 신고 시계보다도 훨씬 더 여유가 없다는 사실을 미리 알고 있어야 합니다.
걸려 있는 것은 처벌만이 아닙니다
CISA의 집행 절차는 미준수 기관에 대해 정보 요청에서 시작해 소환장 발부로 격상되며, 소환장에 응하지 않으면 법무부(DOJ) 회부로 이어질 수 있습니다. 직접적인 처벌 외에도 연방 계약업체는 미준수 시 자격 정지(debarment) 위험에 직면하는데, 이는 많은 소상공인에게 벌금보다 훨씬 큰 위협입니다. 정부 매출원 자체가 완전히 끊길 수 있기 때문입니다.
하지만 대부분의 소상공인에게 더 큰 재정적 위험은 규제상의 처벌이 아니라 사고 그 자체입니다. 최근 업계 데이터에 따르면 소상공인이 겪는 공격에 대한 평균 사고 대응 및 복구 비용은 조사와 복구만으로도 수만 달러에 이르며, 심각한 침해에 대한 전체 해결 비용은 종종 여섯 자릿수에 달합니다. 중소기업을 겨냥한 랜섬 요구액 자체도 이제 복구 비용이 더해지기 전 단계에서 평균 수만 달러에 이릅니다. 그리고 널리 인용되는 추정치에 따르면 중대한 공격을 당한 소상공인 대다수는 그 이후 6개월을 넘기지 못하고 사업을 접습니다. 신고 기한은 컴플라이언스 문제입니다. 침해 사고 그 자체는 생존 문제입니다. 그리고 이 두 가지는 동시에 여러분의 책상 위에 놓입니다.
규정이 확정되기 전에 미리 준비하는 방법
규정은 아직 발효되지 않았지만, 이를 순조롭게 넘길 기업은 이 지연 기간을 기다릴 이유가 아니라 준비할 시간으로 활용하는 기업입니다.
1. 실제로 적용 대상인지 확인하세요. 감으로 판단하지 마세요. 여러분의 사업이 16개 분야 중 하나에 속하는지 확인한 다음, 여러분의 구체적인 NAICS 코드에 대해 실제 SBA 규모 기준 테스트를 실행해 보세요. "핵심 인프라"처럼 느껴지지 않는 많은 사업이 실제로는 해당됩니다.
2. 시계가 돌아가지 않는 지금, 사고 대응 계획을 미리 작성하세요. 검증된 사고 대응 계획은 침해 사고가 발생했을 때 비용을 가장 크게 줄여주는 요소 중 하나로 꾸준히 꼽힙니다. 압박 속에서 가장 많은 시간을 잡아먹는 결정들, 즉 누구에게 연락할지, 무엇을 보존해야 할지, 누가 판단할 권한이 있는지가 위기의 첫 시간 동안 실시간으로 논의되는 대신 이미 사전에 정해져 있기 때문입니다.
3. 여러분의 사업에서 "합리적 인지"가 무엇을 의미하는지 미리 정하세요. 시계가 시작되기 전에 완전한 포렌식 결론을 기다릴 수는 없습니다. 조직 내에서 누가 신고 대상 사고가 발생했다는 판단을 내릴 권한이 있는지 미리 정해두어, 그 판단이 실제 사건이 진행되는 도중 처음으로 내려지는 일이 없도록 하세요.
4. 협력업체와 클라우드 의존 관계를 지도로 그려보세요. 협력업체나 클라우드 제공업체의 침해가 여러분의 신고 대상 사고가 될 수 있으므로, 여러분의 핵심 시스템 중 어떤 것이 다른 회사의 인프라 위에서 돌아가고 있는지 파악하고, 그 협력업체들이 여러분의 72시간 시계에 맞출 수 있을 만큼 빠른 자체 침해 통지 약속을 갖추고 있는지 확인하세요.
5. 압박 속에서도 빠르게 움직일 수 있을 만큼 기록을 깔끔하게 유지하세요. 사고가 발생하면 조사관과 보험사는 어떤 시스템이 어떤 데이터를 다루는지, 정상적인 거래는 어떤 모습인지, 무엇이 달라졌는지에 대한 명확한 그림을 원할 것입니다. 재무 및 운영 기록이 이미 잘 정리된 기업은 이런 질문에 몇 시간 안에 답할 수 있습니다. 반면 침해와 싸우는 동시에 엉망으로 뒤엉킨 비공식 장부를 풀어내야 하는 기업은 "정상"이 어떤 모습이었는지 재구성하는 데만 72시간이라는 소중한 시간을 허비하게 됩니다.
마지막 항목은 곱씹어볼 가치가 있습니다. 이런 컴플라이언스 기한을 순전히 법률이나 IT 문제로만 생각하기 쉽기 때문입니다. 실제로는 침해 조사가 회계 담당자가 다루는 것과 똑같은 기록을 살펴봅니다. 누가 무엇에 접근할 수 있는지, 거래가 언제 발생했는지, 조사관이 비정상을 포착할 수 있도록 평소의 운영 패턴이 어떤 모습인지 말입니다. 이미 투명하고 잘 정리된 재무 기록을 유지하는 기업은 감사받기 쉬울 뿐만 아니라, 문제가 생겼을 때 조사받는 속도도 더 빠릅니다. 이는 시계가 주 단위가 아니라 시간 단위로 측정될 때 엄청나게 중요한 차이를 만듭니다.
다음에 무슨 일이 닥치든 재무 기록을 준비된 상태로 유지하세요
사이버 침해 조사는 빠르게 진행되며, 이를 잘 처리하는 기업은 대개 아무 일도 일어나기 전에 이미 기록이 잘 정리되어 있던 기업입니다. Beancount.io는 여러분의 재무 내역을 투명하고, 버전 관리가 가능하며, 감사 가능한 형태로 제공하는 평문 회계 도구입니다. 블랙박스도 없고, 벤더 종속도 없으며, 압박 속에서 풀어내야 할 것도 없습니다. 무료로 시작하기를 통해 사업의 다른 모든 영역만큼이나 검증에 대비된 장부를 유지하세요.