美 기업들「보안감사 강화 입법안 막자」

한 미국 하원의원이 "상장기업들은 매년 컴퓨터 보안에 관한 감사 실시를 증명하는 자료를 갖춰야 한다"는 내용을 골자로 하는 입법초안을 작성하자 업계에서 이를 막으려는 움직임을 보이고 있다.

플로리다주 공화당 하원의원이며 기술분과 위원장인 아담 퍼트냄 의원이 준비중인 입법 초안은 컴퓨터 보안 감사는 독립적인 기관에서 실시해야 한다는 것과, 감사는 불법적인 접근이 발생했을 경우 이로 인한 위험과 피해에 대한 평가도 포함시켜야 한다는 점을 명시하고 있다.

퍼트냄은 발표문에서 “오늘날 보안 취약성으로 인한 위험을 생각해볼 때, 우리는 반드시 정보 네트워크의 보안 개선에 관해 적극적이고 상호협력적인 방법으로 접근해야 한다”고 강조했다. 퍼트냄은 기존의 FISA 법안은 단체가 준수해야 할 보안 규정에 관해 자세히 밝히고 있지만 사유 기업에 해당되는 의무 조항은 전혀 없음을 지적했다.

퍼트냄의 ‘기업정보보안책임법안(CISAA)’이 채택될지 여부는 아직 불확실하다. 정부의 적극적인 규제와 까다로운 의무 조항을 달가워하지 않는 기업들이 퍼트냄이 이 초안을 제출하지 않도록 물밑작업을 벌이고 있기 때문이다.

업계에서 영향력 있는 인사들 몇명이 6일 퍼트냄의 제안을 대신할 수 있는 초안을 구상하기 위한 회의를 가졌다. 비공식적인 이 그룹 회원들은 미상공회의소, 비즈니스소프트웨어연합(BSA), 미제조업협회(NAM), 미정보기술협회(ITAA) 등에서 파견됐다.

해리스 밀러 ITAA 회장은 7일 “2004년초 퍼트냄 의원을 만나 구체적인 내용을 건의할 계획”이라며 “기업들의 사이버보안에 관한 노력을 강화시킨다는 것이 우리 회의에서 모든 사람들이 동의한 공통 목표라는 점을 내세울 것”이라고 말했다. 밀러는 이 그룹의 최종 건의안은 입법안, 규정, 기업 자체 권고규정 등을 포함할 것이라고 밝혔다.

퍼트냄 의원의 초안과 관련, 밀러는 “대부분 기업들이 이에 대해 좀더 신중한 검토가 필요하다고 생각한다는 것 외에 달리 할 말은 없다”고 전했다.

현재 미국 기업들은 미증권거래위원회(SEC)에 연간 정기보고서를 제출할 때 세부적인 SEC 규정을 따라야 한다. CNET 뉴스닷컴이 확인한 퍼트냄의 초안에 따르면 기업들은 SEC에 제출하는 연간 정기보고서에 보안 감사내용까지 포함시켜야 한다.

한편 초안은 “기업이 보유한 독자적 정보, 또 회사 컴퓨터상의 특정 취약점이 어떤 것인지 알 수 있는 정보는 포함시키지 않도록 한다”고 제한을 뒀다.

기업 컴퓨터 보안 감사를 의무화 하는 것은 국가 보안에 있어서 상당히 중요한 문제라는 것이 퍼트냄의 생각이다.

퍼트냄은 지난 4월 분과위원회를 대상으로 열린 청문회에서 “연방 및 주정부, 그외 자치구역 경찰들은 국민을 보호하기 위해 교량, 철도, 도로를 지킨다. 해커의 침입과 악의적 바이러스, 더 나쁘게는 심각한 사이버테러로부터 국가를 안전하게 지키려면 핵심 사이버 인프라도 그와 같은 수준의 보호를 받아야 한다”고 주장했다.

한편 퍼트냄이 제시한 초안은 상장 기업들만 대상으로 한다는 점에서 한계를 드러낸다. 이 초안이 현재 내용대로 통과된다면 수도·전력회사, 협동조합, 그리고 수많은 비상장 중소기업들은 의무적인 보안 평가를 실시할 필요가 없다.