사이버보안의 무게중심이 조달로 옮겨간다

사후 대응이 아니라 조달 단계에서 걸러낸다

이번 뉴욕주 사이버안전법의 중요한 함의는, 뉴욕주와 산하 지방정부가 사이버보안을 사고 발생 이후의 대응 영역(post-incident response)이 아니라 조달과 설계 단계에서 선제적으로 제거해야 할 구조적 위험(preemptive risk management)으로 다시 정의했다는 데 있다.

이는 “취약점이 발견되면 수정한다”는 기존의 기술적 사후대응 중심 접근을 넘어, 취약점이 은폐·조작·통제될 수 있는 공급망 자체를 공공 인프라에서 배제하겠다는 정책적 선언에 가깝다.

연방의 논리가 주 정부 조달로 내려왔다

이러한 접근은 연방 차원에서 이미 작동해 온 FedRAMP의 논리를 주(州) 정부 조달 영역으로 확장한 사례다. 사이버안보를 기술 문제이자 동시에 안보·산업·조달 거버넌스 문제로 통합해 다루기 시작했음을 보여준다.

특히 ‘적대국가 연계 기술’ 배제는 국적 차별이 아니라, 외부에서 검증할 수 없고 통제할 수도 없다는 구조적 리스크를 미리 차단하려는 제도적 판단이라는 점에서 상징성이 크다.

공공부문은 최종 안보 수탁자가 되었다

결국 이번 법은 공공부문이 더 이상 취약점의 “피해자”나 “사후 복구 주체”에 머무르지 않고, 공급망 단계에서부터 위험을 판별하고 배제할 책임을 지는 최종 안보 수탁자로 자리매김했음을 의미한다. 그런 점에서 이는 사이버안보의 무게중심이 기술 대응에서 조달 규칙과 신뢰 가능한 생태계 설계로 이동하고 있음을 보여주는 신호로 평가할 수 있다.

달리 말한다면, 적어도 민간 화이트 해커의 검증을 견디지 못하는 기술은 공공 인프라에 들어올 수 없게 만들겠다는 뜻이기도 하다.

美 뉴욕주, 새로운 ‘사이버 안전법’ 서명… 안보위협 적대국 기술 퇴출 발판 마련