미국의 새 사이버 전략과 CISA 인력 축소

새 전략을 실행할 조직과 자원을 살펴봤어요

3월 23일 이 원고를 쓰며 미국의 새 사이버 전략을 읽어봤어요. 문서가 내세운 목표와 함께, 그 일을 맡을 조직에는 어떤 변화가 생기고 있는지 살펴보고 싶었어요.

백악관은 2026년 3월 6일 **《President Trump’s Cyber Strategy for America》**를 공개했어요. PDF 전체가 7페이지로, 2023년 바이든 행정부의 39페이지짜리 전략보다 짧아요. 구체적인 실행 방안은 후속 정책으로 정하겠다는 방향 문서예요.

새 전략은 적의 네트워크를 교란하는 등 적극적인 대응을 강조해요. 대응 수단을 사이버 영역에 한정하지 않겠다는 문장도 있어요. 동시에 연방정부 네트워크 현대화, 핵심 기반시설 보호, 전문인력 양성도 주요 목표로 제시해요. 공격과 방어를 함께 강화하겠다는 구상이죠.

제가 주목한 것은 방어를 담당하는 CISA¹의 예산과 인력을 줄이려는 움직임이 이 구상과 어떻게 맞물리는가예요. 행정부의 2026회계연도 예산 요청에는 큰 폭의 감축안이 담겼고, 자발적 퇴직 등으로 실제 인력도 줄었다는 보도가 나왔어요. 방어를 강화한다는 목표를 어떤 자원으로 실행할지 확인할 필요가 있어요.

규제와 민간 책임을 보는 관점이 달라졌어요

미국의 사이버 전략은 방어·공격·민관 협력을 계속 다뤄왔어요. 행정부에 따라 어떤 수단과 책임을 강조하는지가 달라졌어요.

2003년 부시 행정부의 국가 사이버 전략은 정부와 민간의 협력을 강조했어요. 2018년 트럼프 1기에는 보다 적극적인 대응이 부각됐어요. 그해 국방부의 사이버 전략은 악성 활동을 발생 지점에서 교란하거나 중단하는 디펜드 포워드(Defend Forward)²를 내세웠어요. 이는 백악관의 국가 전략과 연결되지만 별도의 국방부 문서에서 제시한 개념이에요.

2023년 바이든 행정부의 전략은 핵심 기반시설 보호를 위한 규제와 소프트웨어 공급자의 보안 책임을 강조했어요. 개별 이용자에게 맡겨진 부담을 더 큰 역량을 가진 기업과 기관이 나눠 져야 한다는 방향이었죠. 적의 활동을 교란하는 적극적인 대응도 포함했어요.

2026년 전략은 규제 준수 부담을 줄이고 민간과의 협력을 확대하는 데 무게를 둬요. 정부의 공격·방어 수단을 동원해 적의 행동에 비용을 부과하겠다는 의지도 강하게 드러나요. 두 전략의 차이는 방어를 하느냐 공격을 하느냐보다, 규제와 기업의 책임, 정부의 개입을 어떻게 조합하느냐에 있어요.

사이버 위협의 규모를 보여주는 자료도 있어요. FBI 인터넷범죄신고센터(IC3)는 2024년에 신고 85만 9,532건을 받았고, 신고된 손실은 166억 달러로 전년보다 33% 늘었다고 발표했어요. 인터넷 사기 등을 포함한 신고 집계이며 국가 차원의 해킹 피해만을 센 수치는 아니에요. 한편 CISA·NSA·FBI는 중국과 연계된 볼트 타이푼(Volt Typhoon)이 미국의 통신·에너지·수도 등 기반시설의 IT망에 침투했다고 경고했어요.