미 GAO, 항공 사이버보안 공백 지적…FAA 핵심 목표 7개 중 3개 완전 이행

미국 정부책임처(GAO)가 16일 공개한 공식 보고서에 따르면 연방항공청(FAA)과 교통안전청(TSA)은 항공 사이버보안을 위해 협력하고 있지만, 전략과 책임 체계에는 핵심 공백이 남아 있다. GAO는 TSA의 로드맵이 최신 국토안보부 전략과 맞지 않고 FAA도 네트워크 보호 목표 7개 중 3개만 완전 이행했다고 평가했다.

민간 항공 운항은 항공기 내부의 항공전자장비와 지상 관제시설, 공항·운항사 시스템이 서로 연결된 구조에 의존한다. GAO는 이런 상호연결성이 운항 효율을 뒷받침하는 동시에 악의적 행위자가 노릴 수 있는 공격면을 넓힌다고 설명했다. FAA와 TSA는 미국 국가공역체계의 보안과 복원력을 담당하는 핵심 연방기관이다.

TSA는 2018년 사이버보안 로드맵에서 교통 부문 보안을 우선 과제로 제시했지만, GAO는 이 문서가 더 이상 최신 국토안보부 사이버보안 전략과 정렬돼 있지 않다고 지적했다. 로드맵에는 실행 책임 부서가 명시되지 않았고 공항과 항공운송사업자 보안 프로그램을 감독할 때 TSA가 맡을 역할과 책임도 충분히 정의되지 않았다. 책임 주체가 불명확하면 관련 기관과 사업자의 이행 여부를 점검하기 어렵고, 지속적인 개선에도 제약이 생긴다는 판단이다.

FAA의 전략 이행도 부분적인 수준에 머물렀다. GAO가 네트워크와 시스템 보호 목표 아래 놓인 7개 세부 목표를 평가한 결과, 위협정보 수집·공유와 내외부 위협 탐지·완화, 사이버보안 연구개발 활용 등 3개는 완전 이행됐다. 반면 보안 모니터링·대응 역량, 특권 사용자 통제, 최신 표준과의 정렬, 제로트러스트 구현은 부분 이행으로 평가됐다.

항공기 인증과 시스템 보안 승인 절차에서는 상대적으로 긍정적인 평가가 나왔다. GAO는 FAA의 현행·예정 절차가 항공전자장비와 지상 시스템 위험을 낮추기 위해 선정한 연방 및 산업 관행과 모두 일치한다고 봤다. 다만 FAA의 제로트러스트 전환 계획에는 연구개발 운영환경의 구체적인 전환 단계가 없었고, 미국 국립표준기술연구소(NIST)가 제시한 7개 전환 관행 가운데 3개에만 완전히 부합했다.

사이버보안 예산의 전체 규모를 파악하기 어렵다는 문제도 제기됐다. FAA는 2024~2026 회계연도에 사이버보안 전략을 수행하는 7개 조직의 사업과 비용을 대통령 예산요구안에 설명했지만, 연구개발을 지원하는 정보보안·사이버보안 프로그램 지출은 예산관리국 보고에 포함하지 않았다. GAO는 지출 정보가 빠지면 의회와 정책 담당자가 향후 필요한 보안 재원을 충분히 판단하기 어렵다고 설명했다.

FAA는 2026년 3월 사이버보안 전략을 개정해 중앙화된 이행계획과 성과지표를 만들겠다는 방침을 담았다. GAO는 과거에는 전략 이행을 종합적으로 감시하고 평가하는 절차가 부족했고, 적용 대상 7개 조직 가운데 모니터링 요건 이행을 입증한 곳은 한 곳뿐이었다고 밝혔다. 새 계획이 실제 점검 체계로 이어지는지가 항공 시스템 현대화 과정의 위험 관리 수준을 좌우할 전망이다.

이번 보고서는 2024년 FAA 재승인법에 따른 의회 요구로 작성됐다. GAO는 FAA·TSA 전략을 NIST 사이버보안 프레임워크 2.0과 비교하고 예산 자료, 인증·보안 승인 절차, 제로트러스트 계획을 검토했다. 항공업계 단체와 항공전자장비 제조사, 국내 항공사, 연구기관의 의견도 수집했다. 보고서가 지적한 것은 관리·감독 체계의 취약점이며, 실제 항공 시스템 침해나 운항 장애가 발생했다는 결론은 아니다.

출처: 미국 정부책임처 https://www.gao.gov/products/gao-26-107693 · 보고서 PDF https://www.gao.gov/assets/gao-26-107693.pdf