주요 요구 사항

각서는 참여 기업에 대해 다음과 같은 여러 안전 장치를 규정합니다 :

• 100만 달러 에스크로 예치금 — 참여 기업은 100만 달러를 에스크로에 예치해야 하며, 정부가 프로그램 규칙 위반을 적발할 경우 몰수됩니다 .
• 법무부/국토안보부 공동 승인 — 모든 작전은 법무부(DOJ) 와 국토안보부(DHS) 의 '프로그램 집행 책임자'의 서면 승인을 받아야만 실행할 수 있습니다 .
• 미국인 또는 미국 내 시스템 표적 금지 — 각서는 어떤 작전도 미국인 또는 미국 내 시스템을 표적으로 삼지 못하도록 하는 절차를 명시합니다 .
• '중대한 결과' 기준 — 생명 손실이나 중대한 부상을 초래할 가능성이 있거나 국제법상 '무력 사용' 수준에 해당하는 작전은 별도 승인이 없는 한 금지됩니다 .
• 연례 보고 — 프로그램 집행 책임자는 180일 이내에, 그리고 이후 매년 국토안보 보좌관과 국가사이버국장에게 보고해야 합니다 .
• 계약 관계 공개 — 참여 기업은 표적이 된 범죄 조직과의 모든 계약 관계를 NCC에 공개해야 합니다 .

법적 및 정책적 전환

이 정책은 수십 년간 이어진 미국 사이버보안 정책의 역사적 반전을 의미합니다. 컴퓨터 사기 및 남용 방지법(CFAA) 에 따라 민간 기업은 다른 모든 사람과 마찬가지로 법원 명령 없이 무단 접속, 해킹 또는 교란 작전을 수행하는 것이 광범위하게 금지되어 왔습니다 . 여러 행정부를 거치며 유지된 미국 정부의 오랜 입장은 민간 부문이 들어오는 사이버 공격을 방어할 수는 있지만 공격적인 사이버 공격을 개시하거나 수행해서는 안 된다는 것이었습니다 .

이 각서는 연방 감독 하에 활동하는 검증된 계약자에 대해 이러한 금지를 사실상 철폐하여, 민간 기업에 공격적 사이버 권한을 위임하는 정부 통제형 '해킹백' 프로그램을 창설했습니다 . 백악관은 이 정책을 통해 연방 정부가 "민간 부문의 역량과 혁신을 활용"하여 랜섬웨어 공격, 금융 사기, 성착취 등 미국인을 표적으로 하는 사이버 범죄 및 위협에 대응할 수 있게 되었다고 밝혔습니다 .

비판과 우려

비판론자들은 이 정책이 법적 도전과 민간 기업이 정부 해킹 작전에 관여해서는 안 된다는 반대에 직면할 가능성이 높다고 경고했습니다 . 각서 자체도 위험을 인정하여, 참여 기업이 프로그램 규정을 위반할 경우 몰수될 수 있는 상당한 금액의 금융 담보를 유지하도록 요구합니다. 이 프로그램은 무제한적인 '해킹백' 작전을 승인하는 것이 아니며 모든 작전은 여전히 연방 승인을 받아야 하지만, 비판론자들은 민간 기업에 공격적 사이버 역량을 위임하는 것은 잠재적 남용과 갈등 확대의 새로운 통로를 만든다고 지적합니다 .

주요 요구 사항

각서는 참여 기업에 대해 다음과 같은 여러 안전 장치를 규정합니다 :

• 100만 달러 에스크로 예치금 — 참여 기업은 100만 달러를 에스크로에 예치해야 하며, 정부가 프로그램 규칙 위반을 적발할 경우 몰수됩니다 .
• 법무부/국토안보부 공동 승인 — 모든 작전은 법무부(DOJ) 와 국토안보부(DHS) 의 '프로그램 집행 책임자'의 서면 승인을 받아야만 실행할 수 있습니다 .
• 미국인 또는 미국 내 시스템 표적 금지 — 각서는 어떤 작전도 미국인 또는 미국 내 시스템을 표적으로 삼지 못하도록 하는 절차를 명시합니다 .
• '중대한 결과' 기준 — 생명 손실이나 중대한 부상을 초래할 가능성이 있거나 국제법상 '무력 사용' 수준에 해당하는 작전은 별도 승인이 없는 한 금지됩니다 .
• 연례 보고 — 프로그램 집행 책임자는 180일 이내에, 그리고 이후 매년 국토안보 보좌관과 국가사이버국장에게 보고해야 합니다 .
• 계약 관계 공개 — 참여 기업은 표적이 된 범죄 조직과의 모든 계약 관계를 NCC에 공개해야 합니다 .

법적 및 정책적 전환

이 정책은 수십 년간 이어진 미국 사이버보안 정책의 역사적 반전을 의미합니다. 컴퓨터 사기 및 남용 방지법(CFAA) 에 따라 민간 기업은 다른 모든 사람과 마찬가지로 법원 명령 없이 무단 접속, 해킹 또는 교란 작전을 수행하는 것이 광범위하게 금지되어 왔습니다 . 여러 행정부를 거치며 유지된 미국 정부의 오랜 입장은 민간 부문이 들어오는 사이버 공격을 방어할 수는 있지만 공격적인 사이버 공격을 개시하거나 수행해서는 안 된다는 것이었습니다 .

이 각서는 연방 감독 하에 활동하는 검증된 계약자에 대해 이러한 금지를 사실상 철폐하여, 민간 기업에 공격적 사이버 권한을 위임하는 정부 통제형 '해킹백' 프로그램을 창설했습니다 . 백악관은 이 정책을 통해 연방 정부가 "민간 부문의 역량과 혁신을 활용"하여 랜섬웨어 공격, 금융 사기, 성착취 등 미국인을 표적으로 하는 사이버 범죄 및 위협에 대응할 수 있게 되었다고 밝혔습니다 .

비판과 우려

비판론자들은 이 정책이 법적 도전과 민간 기업이 정부 해킹 작전에 관여해서는 안 된다는 반대에 직면할 가능성이 높다고 경고했습니다 . 각서 자체도 위험을 인정하여, 참여 기업이 프로그램 규정을 위반할 경우 몰수될 수 있는 상당한 금액의 금융 담보를 유지하도록 요구합니다. 이 프로그램은 무제한적인 '해킹백' 작전을 승인하는 것이 아니며 모든 작전은 여전히 연방 승인을 받아야 하지만, 비판론자들은 민간 기업에 공격적 사이버 역량을 위임하는 것은 잠재적 남용과 갈등 확대의 새로운 통로를 만든다고 지적합니다 .