CISA
더 많은 작업
CISA(Cybersecurity and Infrastructure Security Agency, 미국 사이버보안·인프라보안청)는 미국 국토안보부 산하의 연방기관으로, 연방 민간정부 정보시스템의 사이버보안 강화와 국가 핵심기반시설의 물리적·사이버 보안 및 복원력 확보를 담당한다.
CISA는 미국의 국가 사이버보안과 핵심기반시설 보호를 담당하는 기관이다. 2018년 11월 16일 「Cybersecurity and Infrastructure Security Agency Act of 2018」에 따라 기존 국토안보부(DHS)의 국가보호프로그램국(NPPD)을 개편하여 설립되었다.
CISA는 연방 민간 행정부 기관의 정보시스템 보호, 민간 핵심기반시설 운영자와의 협력, 사이버 위협정보 공유, 취약점 관리, 침해사고 대응 지원, 선거 인프라 보호 및 국가적 위기 상황의 대응 조정 등을 수행한다.
| 항목 | 내용 |
|---|---|
| 정식 명칭 | Cybersecurity and Infrastructure Security Agency |
| 한국어 명칭 | 미국 사이버보안·인프라보안청 |
| 약칭 | CISA |
| 설립 | 2018년 11월 16일 |
| 소속 | 미국 국토안보부(Department of Homeland Security) |
| 국가 | 미국 |
| 본부 | 미국 워싱턴 D.C. 권역 |
| 주요 업무 | 사이버보안, 핵심기반시설 보호, 위협정보 공유, 사고대응, 취약점 관리 |
| 관할 영역 | 연방 민간정부 정보시스템 및 국가 핵심기반시설 관련 보안 업무 |
| 공식 홈페이지 | https://www.cisa.gov/ |
CISA는 미국의 모든 사이버보안 업무를 독점하는 기관은 아니다. 군사 영역은 미국 국방부와 사이버사령부, 해외 정보수집과 신호정보 분야는 국가안보국(NSA), 사이버범죄 수사는 연방수사국(FBI) 등이 담당한다.
CISA는 이들 기관과 협력하면서 민간 기반시설과 연방 민간정부의 방어적 사이버보안에 중점을 둔다.[1]
2001년 9·11 테러 이후 미국은 국가안보와 핵심기반시설 보호체계를 개편했다.
2002년 「Homeland Security Act」가 제정되었고, 2003년 국토안보부가 출범했다. 국토안보부는 테러 대응과 국경보안뿐 아니라 국가 핵심기반시설 보호 및 사이버보안 업무도 담당하게 되었다.
이후 인터넷과 정보통신기술에 대한 사회적 의존도가 증가하면서 전력망, 통신망, 금융시스템, 교통시설 등 핵심기반시설에 대한 사이버 위협이 국가안보의 중요한 문제로 부상했다.
CISA의 전신은 국토안보부 산하 국가보호프로그램국(National Protection and Programs Directorate, NPPD)이다.
NPPD는 사이버보안과 기반시설 보호, 연방정부 네트워크 보안 및 관련 위험관리 업무를 수행했다.
그러나 사이버 위협이 증가하면서 관련 업무를 전담하는 기관의 위상과 권한을 강화해야 한다는 요구가 제기되었다.
2018년 11월 16일 도널드 트럼프 대통령이 「Cybersecurity and Infrastructure Security Agency Act of 2018」에 서명하면서 CISA가 공식 출범했다.
이 법률은 NPPD를 CISA로 개편하고 사이버보안과 기반시설 보안 업무를 담당하는 기관의 법적 지위를 명확히 했다.[2]
2020년대에는 랜섬웨어, 소프트웨어 공급망 공격, 국가 배후 사이버 공격 및 핵심기반시설 침해 위험이 증가하면서 CISA의 역할이 확대되었다.
특히 2020년 SolarWinds 공급망 침해사고는 미국 연방정부와 민간기업의 소프트웨어 공급망 보안에 대한 경각심을 높였다.
2021년에는 미국 연방정부의 사이버보안 현대화 정책과 함께 CISA의 취약점 관리, 위협 탐지 및 사고 대응 역할이 강화되었다.
2022년에는 사이버사고 보고체계 강화를 위한 「Cyber Incident Reporting for Critical Infrastructure Act of 2022」(CIRCIA)가 제정되었다.
2023년에는 소프트웨어 제조사가 제품의 보안 책임을 강화해야 한다는 Secure by Design 정책을 본격적으로 추진했다.
CISA는 미국 연방 민간 행정부 기관(Federal Civilian Executive Branch, FCEB)의 사이버보안 강화를 지원한다.
연방정부 기관의 정보시스템에 대한 취약점 관리, 사이버 위협 탐지, 사고 대응 및 보안정책 이행 지원 등이 주요 업무이다.
CISA는 법률상 권한에 따라 연방 민간 행정부 기관에 구속력 있는 운영지침(Binding Operational Directive, BOD)을 발령할 수 있다.
이러한 지침은 연방정부 기관이 특정 사이버보안 위험을 줄이기 위해 필요한 조치를 이행하도록 하는 수단이다.
다만 국방부와 정보기관 등에는 별도의 법률 및 권한체계가 적용될 수 있으므로 모든 연방기관이 동일한 CISA 지침의 적용을 받는 것은 아니다.
CISA는 미국의 국가 핵심기반시설(Critical Infrastructure)에 대한 사이버 및 물리적 위험관리와 복원력 확보를 지원한다.
미국은 국가 핵심기반시설을 16개 부문으로 구분한다.
| 부문 | 주요 대상 |
|---|---|
| 화학 | 화학물질 생산·저장·유통시설 |
| 상업시설 | 대형 상업시설, 경기장, 숙박시설 등 |
| 통신 | 유무선 통신망 및 관련 시설 |
| 핵심 제조업 | 주요 산업 제조시설 |
| 댐 | 댐 및 수자원 통제시설 |
| 방위산업 기반 | 방위산업 관련 시설 및 공급망 |
| 긴급서비스 | 경찰, 소방, 응급대응 |
| 에너지 | 전력, 석유, 천연가스 |
| 금융서비스 | 은행, 증권, 결제 및 금융시장 기반시설 |
| 식품·농업 | 식품 생산·가공·유통 및 농업 |
| 정부시설 | 정부청사 및 관련 시설 |
| 의료·공중보건 | 병원, 의료서비스 및 보건체계 |
| 정보기술 | 정보기술 서비스 및 주요 디지털 인프라 |
| 원자로·핵물질·폐기물 | 원자력시설 및 관련 물질 |
| 교통시스템 | 항공, 철도, 도로, 해운 등 |
| 상하수도 | 식수 공급 및 폐수처리 시설 |
CISA는 이들 부문에 대한 위험평가와 위협정보 공유, 보안 가이드라인 제공 및 사고 대응을 지원한다.
그러나 모든 핵심기반시설을 CISA가 직접 운영하거나 규제하는 것은 아니다. 각 부문에는 관련 연방기관과 규제기관, 민간 운영자가 별도로 존재한다.[3]
CISA는 정부기관과 민간기업 사이에서 사이버 위협정보를 공유하는 역할을 수행한다.
주요 공유정보에는 악성 IP 주소, 도메인, 악성코드 해시, 침해지표(IOC), 공격자의 전술·기술·절차(TTP), 취약점 악용 동향 및 대응 권고사항 등이 포함된다.
이러한 정보는 조직이 사이버 공격을 조기에 탐지하고 방어체계를 개선하는 데 활용된다.
CISA는 다른 정부기관 및 민간 보안기업과 공동으로 사이버보안 권고문을 발표하기도 한다.
CISA는 연방 민간정부 기관의 주요 사이버 침해사고에 대응하고 민간 핵심기반시설 운영자의 사고 대응을 지원한다.
사고 대응 과정에서는 공격 경로 분석, 침해 범위 확인, 악성코드 분석, 피해 확산 방지 및 복구 지원 등을 수행할 수 있다.
CISA는 모든 민간기업의 사고를 직접 수사하는 기관은 아니다. 범죄수사는 FBI 등 법집행기관의 권한에 해당한다.
Known Exploited Vulnerabilities Catalog는 실제 공격에 악용된 사실이 확인된 취약점의 목록이다.
일반적인 취약점 데이터베이스가 알려진 취약점 전반을 다루는 것과 달리 KEV는 실제 악용 여부를 중요한 등재 기준으로 활용한다.
KEV 목록에는 일반적으로 다음과 같은 정보가 포함된다.
- CVE 식별번호
- 제조사 및 제품명
- 취약점 명칭
- 취약점 설명
- 목록 등재일
- 연방기관 조치기한
- 권고 조치
- 랜섬웨어 공격 관련 악용 여부 등 추가 정보
KEV는 취약점 관리의 우선순위를 정하는 데 널리 활용된다.
예를 들어 CVSS 점수가 매우 높더라도 실제 악용 정황이 확인되지 않은 취약점과, 이미 공격에 활용되는 취약점은 대응 우선순위가 달라질 수 있다.
KEV 등재는 후자의 위험을 판단하는 중요한 근거가 된다.[4]
BOD 22-01은 CISA가 2021년 11월 발표한 연방 민간정부 기관 대상 구속력 있는 운영지침이다.
정식 명칭은 「Reducing the Significant Risk of Known Exploited Vulnerabilities」이다.
이 지침은 연방 민간정부 기관이 KEV 목록에 포함된 취약점을 정해진 기한 내에 조치하도록 요구한다.
기본적으로 2021년 이전에 CVE가 부여된 기존 취약점에는 6개월, 그 이후 취약점에는 2주의 조치기한이 적용되는 체계를 도입했다.
다만 개별 취약점에는 별도의 조치기한이 지정될 수 있으므로 실제 이행 시에는 KEV 목록의 해당 항목을 확인해야 한다.
민간기업에는 BOD 22-01이 직접적인 일반 법적 의무로 적용되지 않지만, CISA는 민간조직에도 KEV를 활용한 우선순위 기반 취약점 관리를 권고한다.[5]
Secure by Design은 소프트웨어 제조사가 제품의 설계와 개발 단계부터 보안을 고려하고, 보안 취약점으로 인한 부담을 최종 사용자에게 일방적으로 전가하지 않도록 하는 접근방식이다.
CISA는 2023년 Secure by Design 관련 지침을 발표하고 소프트웨어 제조사의 책임 강화를 강조했다.
핵심 원칙은 다음과 같다.
- 고객이 별도 비용이나 복잡한 설정 없이 안전한 기본값을 이용할 수 있도록 설계
- 다중요소인증 등 주요 보안기능의 기본 제공
- 제품의 취약점과 보안 문제에 대한 제조사의 책임 강화
- 보안 설계와 개발 과정의 투명성 확대
- 반복적으로 발생하는 취약점 유형의 구조적 제거
- 제품 수명주기 전반의 보안 유지
Secure by Design은 제품이 출시된 이후 취약점을 발견해 패치하는 방식만으로는 충분하지 않다는 문제의식에서 출발한다.
특히 소프트웨어 공급망 공격과 대규모 취약점 악용에 대응하기 위해 제조사의 보안 책임을 강조한다.[6]
Shields Up은 사이버 위협이 증가한 상황에서 조직의 방어태세 강화를 촉구하기 위한 CISA의 캠페인이다.
2022년 러시아의 우크라이나 침공을 전후하여 사이버 공격 위험에 대한 경고와 대응 권고를 제공하면서 널리 알려졌다.
주요 권고사항에는 다중요소인증 적용, 중요 취약점 패치, 보안 로그 모니터링, 백업 및 복구계획 점검, 사고 대응체계 강화 등이 포함된다.
Cross-Sector Cybersecurity Performance Goals(CPGs)는 다양한 핵심기반시설 운영자가 우선적으로 이행할 수 있는 기본적인 사이버보안 목표를 제시한다.
CPGs는 조직이 제한된 예산과 인력으로도 중요한 보안위험을 줄일 수 있도록 실용적인 통제를 강조한다.
주요 영역에는 계정 및 접근관리, 취약점 관리, 네트워크 보안, 사고 대응, 데이터 보호 및 복구능력 등이 포함된다.
CPGs는 모든 조직에 동일하게 적용되는 법적 규제가 아니라, 위험 기반 보안 개선을 지원하는 공통 기준으로 활용된다.[7]
Cyber Incident Reporting for Critical Infrastructure Act of 2022(CIRCIA)는 미국 핵심기반시설의 주요 사이버사고 및 랜섬웨어 지급에 관한 보고체계를 마련하기 위해 제정된 법률이다.
CIRCIA는 법률상 적용 대상인 핵심기반시설 운영자에게 일정한 사이버사고와 랜섬웨어 지급 사실을 CISA에 보고하도록 하는 체계를 규정한다.
법률에서 정한 기본 보고기한은 다음과 같다.
| 구분 | 법률상 기본 기한 |
|---|---|
| 적용 대상의 중대한 사이버사고 | 해당 사고가 발생했다고 합리적으로 판단한 시점부터 72시간 이내 |
| 랜섬웨어 지급 | 지급 후 24시간 이내 |
다만 실제 보고 의무의 적용 대상, 보고 대상 사고의 구체적인 범위 및 시행 절차는 관련 최종 시행규칙의 발효 여부와 내용에 따라 결정된다.
따라서 법률상 기본 보고기한이 존재한다는 사실만으로 2026년 11월 현재 모든 민간기업에 동일한 보고의무가 이미 시행되고 있다고 해석해서는 안 된다.[8]
CISA는 소프트웨어 및 정보시스템의 취약점이 발견되었을 때 연구자와 제조사 사이의 조정 역할을 수행할 수 있다.
취약점 조정 공개(Coordinated Vulnerability Disclosure, CVD)는 취약점 정보를 무조건 즉시 공개하는 대신, 제조사가 문제를 확인하고 수정할 수 있도록 관계자 사이의 공개 일정을 조정하는 절차이다.
일반적인 과정은 다음과 같다.
- 보안 연구자가 취약점을 발견한다.
- 제조사 또는 조정기관에 취약점을 신고한다.
- 취약점의 재현 가능성과 영향을 검증한다.
- 제조사가 수정방안을 개발한다.
- 패치 또는 완화조치를 준비한다.
- 관계자들이 조정된 일정에 따라 취약점 정보를 공개한다.
이러한 절차는 취약점 공개를 통한 보안 개선과 공개 직후 악용될 위험 사이의 균형을 확보하기 위한 것이다.
CVE(Common Vulnerabilities and Exposures)는 공개적으로 알려진 보안 취약점에 식별번호를 부여하는 체계이다.
반면 KEV는 실제 악용 사실이 확인된 취약점을 선별하여 제공하는 목록이다.
| 구분 | CVE | KEV |
|---|---|---|
| 목적 | 취약점의 고유 식별 | 실제 악용 취약점의 우선 관리 |
| 범위 | 공개된 다양한 보안 취약점 | 실제 악용 근거가 확인된 취약점 |
| 주요 활용 | 취약점 식별 및 정보 연계 | 위험 기반 패치 우선순위 결정 |
| 운영 주체 | CVE 프로그램 | CISA |
KEV에 등재되지 않았다고 해서 해당 취약점이 안전하거나 악용될 가능성이 없다는 의미는 아니다.
CISA는 해외 정부기관과 사이버보안 협력을 수행한다.
주요 협력 분야에는 사이버 위협정보 공유, 공동 보안 권고문 발표, 핵심기반시설 보호, 사고 대응 및 공급망 보안 등이 포함된다.
미국은 영국, 캐나다, 호주, 뉴질랜드 등과 긴밀한 사이버보안 협력체계를 유지하고 있으며, CISA도 관련 기관들과 공동 권고문을 발표한다.
한국에서는 한국인터넷진흥원(KISA), 국가정보원 및 금융보안원 등 기관이 각각의 법적 권한과 담당 영역에 따라 사이버보안 업무를 수행한다.
CISA와 한국의 특정 기관을 일대일로 대응시키기는 어렵다. CISA는 민간 핵심기반시설 보호와 연방 민간정부 사이버보안을 함께 담당하기 때문이다.
랜섬웨어는 조직의 데이터나 시스템을 암호화하거나 정보를 탈취한 뒤 금전을 요구하는 사이버 공격이다.
CISA는 랜섬웨어 대응을 위해 정부기관 및 민간기업에 보안 권고와 대응자료를 제공한다.
주요 대응방안에는 중요 취약점 패치, 다중요소인증, 백업 분리, 원격접속 통제, 침해지표 모니터링 및 사고 대응훈련 등이 포함된다.
소프트웨어 공급망 공격은 개발도구, 오픈소스 라이브러리, 소프트웨어 업데이트 체계 또는 외부 서비스 제공자를 침해하여 최종 사용자에게 영향을 미치는 공격이다.
CISA는 공급망 공격에 대응하기 위해 소프트웨어 제조사의 보안 책임과 개발과정의 투명성, 취약점 관리 및 안전한 배포체계의 중요성을 강조한다.
Secure by Design은 이러한 공급망 보안 정책과 밀접하게 연결된다.
운영기술(Operational Technology, OT)은 산업시설과 물리적 장비를 제어하거나 감시하는 기술을 말한다.
전력망, 상하수도, 제조시설 및 교통시스템 등에서 사용되는 산업제어시스템(ICS)이 대표적인 사례이다.
OT 환경에서는 일반적인 정보시스템과 달리 물리적 안전과 설비 가용성이 중요한 요소이다.
CISA는 OT 및 ICS 보안과 관련된 취약점 권고문과 기술자료를 제공한다.
CISA는 다른 미국 정부기관과 함께 국가 배후 사이버 공격에 대한 공동 권고문을 발표한다.
이러한 공격은 정보수집, 중요정보 탈취, 기반시설 침투 및 위기 상황에 대비한 사전 접근 확보 등을 목적으로 할 수 있다.
국가 배후 공격에 대한 귀속 판단은 기술적 증거와 정보기관의 분석, 외교·안보적 판단 등이 결합되는 영역이다.
따라서 특정 공격에 대한 CISA의 권고문은 기술적 침해지표와 대응방안뿐 아니라 공동 발표기관 및 귀속 판단의 근거를 함께 검토할 필요가 있다.
| 기관 | 주요 역할 |
|---|---|
| CISA | 연방 민간정부 사이버보안, 핵심기반시설 보호, 위협정보 공유 및 사고 대응 지원 |
| FBI | 사이버범죄 수사 및 법집행 |
| NSA | 신호정보 수집, 국가안보 관련 암호 및 사이버보안 업무 |
| 미국 사이버사령부(USCYBERCOM) | 군사 사이버작전 |
| NIST | 사이버보안 표준, 지침 및 기술적 기준 개발 |
| 국토안보부(DHS) | 국토안보 정책 및 산하기관 총괄 |
CISA와 NIST는 모두 미국의 사이버보안에 중요한 역할을 하지만 기능은 다르다.
NIST는 사이버보안 프레임워크와 기술 표준 및 지침을 개발하는 데 중점을 두며, CISA는 위협 대응과 보안 개선을 위한 운영적 지원 및 연방 민간정부 관련 권한을 수행한다.
- ↑ CISA, About CISA, https://www.cisa.gov/about, 확인: 2026-11-14. 원문 직접 열람 제한.
- ↑ 미국 의회, Cybersecurity and Infrastructure Security Agency Act of 2018, Public Law 115-278, https://www.congress.gov/115/plaws/publ278/PLAW-115publ278.pdf, 2018-11-16.
- ↑ CISA, Critical Infrastructure Sectors, https://www.cisa.gov/topics/critical-infrastructure-security-and-resilience/critical-infrastructure-sectors, 확인: 2026-11-14. 원문 직접 열람 제한.
- ↑ CISA, Known Exploited Vulnerabilities Catalog, https://www.cisa.gov/known-exploited-vulnerabilities-catalog, 확인: 2026-11-14. 원문 직접 열람 제한.
- ↑ CISA, Binding Operational Directive 22-01: Reducing the Significant Risk of Known Exploited Vulnerabilities, https://www.cisa.gov/news-events/directives/bod-22-01-reducing-significant-risk-known-exploited-vulnerabilities, 2021-11-03.
- ↑ CISA, Secure by Design, https://www.cisa.gov/securebydesign, 확인: 2026-11-14. 원문 직접 열람 제한.
- ↑ CISA, Cross-Sector Cybersecurity Performance Goals, https://www.cisa.gov/cross-sector-cybersecurity-performance-goals, 확인: 2026-11-14. 원문 직접 열람 제한.
- ↑ 미국 의회, Cyber Incident Reporting for Critical Infrastructure Act of 2022, https://www.congress.gov/117/plaws/publ103/PLAW-117publ103.pdf, 2022-03-15.