미국 수자원 시설로의 사이버 공격으로 인한 규제 논쟁 및 워터 워치 센터(Water Watch Center) 설립

이란 관련자로 의심되는 조율된 일련의 사이버 공격이 최소 12개 주에 걸쳐 식수 및 폐수 처리 시스템을 대상으로 삼았으며, 이는 새로운 민간 부문 방어 이니셔티브와 사이버 보안 의무화에 대한 입법적 갈등을 다시 불러일으켰습니다. DEF CON 컨퍼런스에서 국립 농촌 수자원 협회(NRWA)와 DEF CON Franklin은 인구 10,000명 미만의 소규모 시설에 관리형 탐지 및 대응 서비스를 제공하기 위해 '워터 워치 센터(Water Watch Center)'를 설립했습니다. 한편, 의회에서는 이번 공격으로 인해 규제에 대한 논쟁이 다시 점화되었습니다. 애덤 시프(Adam Schiff)와 에이미 클로버샤(Amy Klobuchar) 민주당 상원의원은 EPA에 사이버 보안 표준을 강제할 수 있는 권한을 부여하는 2026년 수자원 사이버 쉴드 법(Water Cyber Shield Act of 2026)을 발의했습니다. 반면, 업계 단체와 공화당은 하향식 연방 정부의 강제 조치보다는 자원 기반의 또는 업계 주도의 협력적 접근 방식을 선호합니다.

// 배경

미국 수자원 부문은 약 150,000개의 식수 및 폐수 처리 시스템으로 구성되어 매우 파편화되어 있으며, 이들 중 대다수는 제한된 예산과 전담 사이버 보안 인력이 부족한 소규모 농촌 지역 시설입니다. 바이든 행정부가 EPA를 통해 사이버 보안 표준을 의무화하려 했던 이전의 시도들은 공화당 성향의 주들과 업계의 소송으로 인해 저지되었습니다. 현재 수자원 정보 공유 및 분석 센터(WaterISAC)가 위협 공유를 위한 자발적 허브 역할을 하고 있지만, 참여 비용으로 인해 그 회원사는 부문 전체의 1% 미만입니다.

// 주요 동향

• 미네소타주의 30개 이상의 지역사회 수자원 시스템과 다른 11개 주의 유틸리티 기업들이 일련의 지속적인 사이버 공격의 표적이 되었습니다.
• 새롭게 출범한 워터 워치 센터(Water Watch Center, WWC)는 전국 지역사회 수자원 시스템의 91%를 차지하는 10,000명 미만의 인구에 서비스를 제공하는 소규모 유틸리티 기업들을 대상으로 합니다.
• Defendify, Legato Security, L1 Secure, Rapid7, Sentinel Technologies 등 5개 사이버 보안 기업이 WWC 이니셔티브 하에 직접적인 서비스를 제공할 예정입니다.
• 밴더빌트 대학교는 WWC와 협력하여 자동화된 AI 기반 방어 체계를 테스트하기 위한 수자원 시스템의 '디지털 트윈'을 구축할 예정입니다.
• 쉬프 상원의원과 클로버처 상원의원은 EPA에 사이버 보안 평가를 의무화하고 취약점을 해결할 수 있는 권한을 부여하는 2026년 수자원 사이버 쉴드 법안(Water Cyber Shield Act of 2026)을 발의했습니다.
• 릭 크로포드 하원의원이 발의한 업계 지원 대안 법안은 중소규모 및 대규모 유틸리티 기업을 위한 표준을 설정하는 NERC와 유사한 독립 기구를 설립하는 내용을 담고 있습니다.