“허위 보고 용납 없다!” 美 법무부, 보안 제품 조달 관행 점검 강화

침해 사고 없어도 계약 의무 위반하거나 허위 보고하면 과징금

[보안뉴스 김형근 기자] 미국 법무부가 2021년 발족한 ‘민사 사이버 부정 행위 이니셔티브’(CCFI)의 일환으로 연방 계약 사업자의 사이버 보안 제품 조달 관행에 대한 조사를 강화하고 있다.

이는 허위청구법(FCA) 조항에 따라 정부 계약자 및 보조금 수혜자의 사이버 보안 관련 부정 행위를 단속하기 위한 것이다.

최근 다수 합의 사례들은 사이버 침해 사고가 실제로 발생하지 않았더라도, 계약상의 사이버 보안 의무를 이행하지 않거나 허위 보고하면 법무부의 처벌 대상이 됨을 명확히 보여준다.

7월 사이버 보안 컨설팅 기업 힐어소시에이츠는 연방조달청(GSA)의 기술 평가 기준을 충족하지 못했음에도 GSA에 서비스 비용을 청구한 부정행위가 적발돼 1475만달러를 배상했다.

같은 달 생명공학 업체 일루미나는 사이버 보안 취약점이 있는 유전체 염기서열 분석 시스템을 연방 기관에 판매한 혐의로 980만달러의 합의금을 지불했다. 일루미나는 사이버 보안 표준 준수 허위 진술, 소프트웨어 설계시 보안 고려 사항 무시 등의 혐의를 받았다.

또 군용 항공기 엔진 및 부품 업체 에어로터빈과 사모펀드 투자사 갈란트캐피탈파트너스는 국방부와 계약에서 NIST SP 800-171 보안 요건을 이행하지 않은 혐의로 175만달러의 합의금을 냈다.

9월엔 조지아텍 연구 법인이 국방부 계약에서 안티바이러스 도구를 적용하지 않고 오해의 소지가 있는 보안 평가 점수를 제출한 혐의로 87만5000달러를 지불했다.

[김형근 기자(editor@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다