침해 사고 없어도 계약 의무 위반하거나 허위 보고하면 과징금

[보안뉴스 김형근 기자] 미국 법무부가 2021년 발족한 ‘민사 사이버 부정 행위 이니셔티브’(CCFI)의 일환으로 연방 계약 사업자의 사이버 보안 제품 조달 관행에 대한 조사를 강화하고 있다.


[자료: 연합뉴스]

이는 허위청구법(FCA) 조항에 따라 정부 계약자 및 보조금 수혜자의 사이버 보안 관련 부정 행위를 단속하기 위한 것이다.

최근 다수 합의 사례들은 사이버 침해 사고가 실제로 발생하지 않았더라도, 계약상의 사이버 보안 의무를 이행하지 않거나 허위 보고하면 법무부의 처벌 대상이 됨을 명확히 보여준다.

7월 사이버 보안 컨설팅 기업 힐어소시에이츠는 연방조달청(GSA)의 기술 평가 기준을 충족하지 못했음에도 GSA에 서비스 비용을 청구한 부정행위가 적발돼 1475만달러를 배상했다.

같은 달 생명공학 업체 일루미나는 사이버 보안 취약점이 있는 유전체 염기서열 분석 시스템을 연방 기관에 판매한 혐의로 980만달러의 합의금을 지불했다. 일루미나는 사이버 보안 표준 준수 허위 진술, 소프트웨어 설계시 보안 고려 사항 무시 등의 혐의를 받았다.

또 군용 항공기 엔진 및 부품 업체 에어로터빈과 사모펀드 투자사 갈란트캐피탈파트너스는 국방부와 계약에서 NIST SP 800-171 보안 요건을 이행하지 않은 혐의로 175만달러의 합의금을 냈다.

9월엔 조지아텍 연구 법인이 국방부 계약에서 안티바이러스 도구를 적용하지 않고 오해의 소지가 있는 보안 평가 점수를 제출한 혐의로 87만5000달러를 지불했다.

[김형근 기자(editor@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>