연방 정부는 또 다른 Security Patch가 아니라 Technical Bankruptcy가 필요하다

발행: 1개월 전 (2026년 1월 1일 오전 11:05 GMT+9)

17 분 소요

Source: Dev.to

번역을 진행하려면 번역하고자 하는 전체 텍스트를 제공해 주시겠어요? 텍스트를 주시면 요청하신 대로 한국어로 번역해 드리겠습니다.

연방 사이버 보안 위기

연방 사이버 보안이 위기에 처한 상황에서 CISA가 전체 인력의 3분의 1 이상을 잃었다는 소식이 전해졌습니다.
연방 정부는 기술 파산을 선언하고 처음부터 다시 시작해야 합니다. 개혁도, 현대화도, “디지털 전환”도 아닙니다. 현재 연방 IT 인프라를 실제와 같이 바라보는 완전한 아키텍처 재설계가 필요합니다: 연령, 복잡성, 누적된 기술 부채 때문에 보안이 수학적으로 불가능할 정도로 손상된 시스템들의 집합입니다.

CISA의 임시 국장이 **“핵심 임무 영역 전반에 걸친 40 % 공석률”**을 인정하면서 동시에 **“혁신을 가속화하고 있다”**고 주장할 때, 우리는 수십 년에 걸쳐 수십억 달러가 투입됐지만 방어 자세를 실질적으로 개선하지 못한 보안 연극의 최종 단계에 직면하고 있는 것입니다.

레거시 시스템 규모

연방 정부는 수백 개 기관에 걸쳐 6,000개의 서로 다른 소프트웨어 시스템을 운영하고 있습니다.
많은 시스템이 인터넷이 존재하기 전에 작성된 코드를 기반으로 실행되며, 원래 아키텍처가 알아볼 수 없을 정도로 패치와 재패치를 거듭했습니다.
이러한 시스템은 현재 직면한 위협을 위해 설계되지 않았기 때문에 보안을 염두에 두고 설계되지 않았습니다. **“air gap”**이 보안 조치가 아니라 물리적 현실이던 시기에 구축되었습니다.

수학적 복잡성

“수학을 고려해 보세요: 각 시스템은 여러 종속성, 통합 지점 및 공격 표면을 가지고 있습니다. 복잡성은 각 연결마다 지수적으로 증가합니다.”

단일 연방 기관이 1980년대 메인프레임을 지난 주에 배포된 클라우드 서비스와 연결하여 운영할 수 있으며, 이 모든 것은 시스템을 다른 계약업체에게서 배우고, 그 계약업체는 다시 은퇴한 사람들로부터 배운 계약업체가 관리합니다.

핵심 포인트: 이것은 사이버 보안 문제를 가장한 아키텍처 문제입니다.

민간 부문의 교훈

Netflix는 DVD‑우편 시스템에서 글로벌 스트리밍 플랫폼으로 전환하기 위해 기존 시스템을 고치려 하지 않았습니다. 해결해야 할 문제에 맞게 완전히 새로운 아키텍처를 구축했습니다.
Amazon은 원래 웹사이트를 점진적으로 개선하지 않았습니다; 규모가 커짐에 따라 전체 인프라를 여러 차례 재구축했습니다.

핵심: 민간 기업은 고장 난 시스템을 유지하는 것이 더 비용이 많이 들고 더 위험하다는 것을 이해하고 있습니다. 장기적인 안정성과 보안을 위해 단기적인 혼란을 감수할 수 있습니다.

정부의 인센티브 불일치

정치 지도자들은 전환 과정에서의 시스템 중단에 대해 처벌받지만, 고장 난 시스템을 유지함으로써 누적된 보안 부채에 대해서는 거의 책임을 묻지 않는다.
그 결과 솔루션보다 패치, 수술보다 임시방편을 선호하게 된다.

이러한 역학은 보안 전문가들이 **“security theater”**라고 부르는 현상을 만든다: 실제로 보안 태세를 개선하지 않으면서 이해관계자들에게 안심감을 주는 눈에 보이는 투자. 새로운 모니터링 도구, 추가적인 컴플라이언스 프레임워크, 확대된 보안 팀 모두 실패를 더 철저히 문서화할 뿐, 이를 방지하지는 않는다.

CISA 현재 사명의 불가능성

CISA는 수백 개 기관에 걸쳐 수천 개의 시스템을 보호하는 임무를 맡고 있으며, 각 기관은 고유한 레거시 인프라, 계약업체 관계 및 기술 부채를 가지고 있습니다.
인력이 충분하더라도, 이 임무는 보안 전문가들이 자신이 구축하지 않았고, 완전히 이해할 수 없으며, 의미 있게 변경할 권한도 없는 시스템에 대한 전문가가 되도록 요구합니다.

기관 자체가 **“약 40 %의 공석률에 의해 제약받고 있다”**고 인정하면서 “국가 안보 필수 과제를 지원하려고” 하는 것은 현재 접근 방식의 근본적인 불가능성을 드러냅니다. 이해할 수 없는 것을 보호할 수 없으며, 이렇게 복잡하고 파편화된 시스템을 이해할 수도 없습니다.

전 회계감독관 Gene Dodaro가 **“우리는 CISA에서 가속 페달을 떼고 있다”**고 경고한 것은 더 깊은 문제를 놓치고 있습니다: 절벽 위를 달리고 있을 때 가속 페달을 더 세게 밟는다고 도움이 되지 않는다는 점을 간과한 것입니다. 그가 언급한 점진적인 진전은 보안에 대한 실제 진전이 아니라, 우리 취약점에 대한 더 나은 문서화에 대한 진전이었습니다.

기술 파산이 어떻게 보일까

매몰 비용을 인정한다
- 레거시 시스템을 확보하는 데 투자된 수십억 달러는 투자된 돈이 아니라 소비된 돈이다. 이 시스템들은 보안이 불가능하기 때문에 절대 안전해질 수 없다. 이를 패치하는 데 쓰인 1달러는 대체 시스템을 구축하는 데 쓰이지 않은 달러이다.
현재 위협 환경에 맞게 설계한다
- 지속적인 침해를 가정하고 제로‑트러스트 아키텍처로 운영하며, 실패를 자동으로 격리한다. 이는 네트워크 연결이 비싸고 드물던 시절에 설계된 시스템으로는 불가능하다.
대체 시스템을 병행해서 구축한다
- 적절한 테스트, 단계적 마이그레이션, 그리고 프로젝트가 제대로 작동하지 않을 경우 포기할 수 있는 옵션을 제공한다. 가장 중요한 것은 수십 년간 연방 IT 현대화를 정의해 온 수천 개의 패치에 의한 사망 접근 방식을 피하는 것이다.

국방부는 Enterprise DevSecOps Reference Design을 통해 이를 입증했다. 기존 개발 프로세스를 보호하려 애쓰는 대신, 경쟁적인 환경에서 지속적인 배포가 가능하도록 설계된 새로운 프로세스를 구축했다. 결과는 스스로 말한다: 더 빠른 배포, 향상된 보안, 그리고 낮은 운영 비용.

정당한 우려에 대한 대응

클린‑슬레이트 접근법을 비판하는 사람들은 운영 연속성에 대한 정당한 우려를 제기합니다. 연방 시스템은 대체 시스템이 구축되는 동안 단순히 오프라인 상태가 될 수 없으며—시민들은 이러한 서비스에 의존하고, 국가 안보는 능력 공백을 용납할 수 없습니다.

이러한 우려는 현실적이지만, 더 큰 위험을 간과하고 있습니다: 현재 접근법은 실패를 보장합니다.

결론

연방 사이버 보안 환경은 단순히 자금이 부족하거나 인력이 부족한 것이 아니라 근본적으로 구조적으로 파손되었습니다. 기술 파산을 선언하고 처음부터 다시 구축하는 것이—고통스럽고 정치적으로 위험하지만—진정으로 안전하고 회복력 있으며 미래에도 대비할 수 있는 연방 IT 생태계를 위한 유일한 길입니다.

점진적인 패치를 위한 시기는 지나갔습니다. 이제는 깨끗한 슬레이트, 제로‑트러스트, 병행‑개발 전략을 실행할 때입니다.

연속성은 신화 – 연방 사이버 보안은 전면 교체가 필요하다

OPM에서 SolarWinds에 이르기까지 모든 사례는 공격자들이 패치와 재패치를 거듭해 인식하기 어려울 정도로 복잡하고 누적된 취약점을 악용했기 때문에 성공했습니다.

“연속성” 논리의 결함

논리는 성공적인 연방 기관 교체 사례를 무시합니다:
- 특허청 – 전체 심사 시스템을 교체했습니다.
- FAA – 항공 교통 관제 시스템을 현대화했습니다.

이러한 프로젝트는 수년과 수십억 달러가 소요됐지만, 리더십이 점진적 개선보다 교체를 선택했기 때문에 성공했습니다.

왜 점진적 수정이 실패하는가

연속성의 착각 – 결국 악용될 때 전체 기관을 무너뜨릴 수 있는 단일 실패 지점을 만듭니다.
실제 질문은 우리가 이 시스템들을 교체할 여력이 있는가가 아니라 교체하지 않을 여력이 있는가입니다.

다양한 청중을 위한 시사점

1. 사이버보안 전문가(연방 또는 파트너 기관)

보안이 불가능한 아키텍처에 최적화를 중단하십시오.
보안 임시방편보다 아키텍처 솔루션을 옹호하십시오.
또 다른 모니터링 도구나 컴플라이언스 프레임워크를 추가하라는 요청을 받을 때, 다음과 같이 질문하십시오:

그 자원을 처음부터 보안을 염두에 두고 설계된 교체 시스템에 투자하는 것이 더 나을까요?

2. 기관 리더십

현재 사이버보안 투자가 대부분 낭비된 자금임을 받아들여야 합니다.
레거시 시스템을 보호하는 데 수십억 달러를 쓴 결과, 시스템은 더 복잡해지고 교체가 어려워졌을 뿐입니다.

3. 의회 및 감독 기관

사이버보안 지출 측정에서 아키텍처 교체 진행 상황 측정으로 초점을 전환하십시오.
GAO의 “공개 권고”(Dodaro가 인용한)는 실패하는 접근 방식의 증상일 뿐이며, 기관들이 충분히 노력하지 않았다는 증거는 아닙니다.

The Counterproductive Cycle

Every added security tool → more complexity → harder to replace.
Every new compliance framework → institutional resistance to architectural change.
Every incremental improvement → deeper commitment to insecure legacy systems.

Global Context

China designs government IT assuming constant foreign interference.
Russia builds systems for resilience under active attack.
The U.S. is still trying to secure systems designed when the biggest threat was a floppy‑disk theft.

CISA의 인력 위기

일시적인 차질이 아니라; 현재 접근 방식이 한계에 도달했음을 나타냅니다.
우리는 할 수 없습니다:
- 부서진 시스템을 보호할 충분한 인력을 채용할 수 없습니다.
- 그 복잡성을 이해할 만큼 사람들을 충분히 빠르게 교육할 수 없습니다.
- 공격자가 새로운 취약점을 발견하는 속도보다 빠르게 패치를 적용할 수 없습니다.

Source:

기술적 부채는 실패가 아니다

가장 책임 있는 행동은 좋은 돈을 나쁜 곳에 계속 쓰는 것을 멈추고, 실제로 작동할 수 있는 무언가를 구축하는 것임을 인식하는 것입니다.

연방 정부는 다음을 할 수 있는 사이버 보안 리더가 필요합니다:

현재 접근 방식이 실패했음을 인정한다.
안전하고 교체 가능한 아키텍처로 과감히 새롭게 시작한다.

우리가 보고 있는 대안

근대화라는 이름으로 위장된 느린 붕괴이며, 각 “개선”이 근본적인 문제를 해결하기 더 어렵게 만듭니다.

Tags: cybersecurity, federal-government, technical-debt, infrastructure, policy