Offcanvas
Some text as placeholder. In real life you can have the elements you have chosen. Like, text, images, lists, etc.
Offcanvas
1111Some text as placeholder. In real life you can have the elements you have chosen. Like, text, images, lists, etc.
글로벌 트렌드 / 보안

미 법무부 “선의의 보안 연구는 위법 아니다”…CFAA 개정

Michael Hill | CSO 2022.05.24
미국 법무부가 ‘선의의 보안 연구’는 연방 법률을 위반하는 것이 아니라고 판단해 컴퓨터 사기 및 남용에 관한 법률(Computer Fraud and Abuse Act, CFAA) 관련 정책을 개정했다. 연방 검사는 즉시 발효된 새로운 정책에 따라 CFAA 위반 사건을 기소해야 하며, 기소 전에는 미 사이버범죄수사국(Criminal Division’s Computer Crime and Intellectual Property Section, CCIPS)과 협의해야 한다. 아울러 미 법무부는 보안 연구를 수행한다고 주장하는 것이 악의적인 행위자에게 ‘무임승차권’이 되는 것은 아니라는 점도 인정했다.
 
ⓒ Getty Images Bank


‘선의의 보안 연구’는 사이버보안 발전 요소

미 법무부 홈페이지에 게재된 보도자료에서 법무차관 리사 O. 모나코는 “컴퓨터 보안 연구는 사이버보안 발전을 견인하는 핵심 요소다. 법무부는 선의의 컴퓨터 보안 연구를 결코 범죄로 간주한 적이 없다. 따라서 오늘 발표로 공동의 선을 위해 취약점을 근절하고자 하는 선의의 보안 연구원을 명확하게 정의해 사이버보안 발전을 촉진하고자 한다”라고 말했다. 

미 법무부의 정의에 따르면, ‘선의의 보안 연구원’은 “오로지 선의의 목적으로 보안 결함/취약점을 테스트, 조사 및 수정하기 위해 컴퓨터에 접근한다. 또한 이런 행위를 개인이나 공공에 해가 되지 않는 방식으로 수행하며, 이런 활동으로 얻은 정보는 기기와 장비, 컴퓨터로 접근하는 온라인 서비스의 안전과 이들 기기 사용자를 위한 보안을 촉진하는 데 사용하는” 사람이다. 

미 법무부는 개인, 네트워크 소유자, 운영자, 그 외 시스템에 저장된 정보의 무결성·가용성·기밀성을 확보하고자 하는 사람의 법적 권리를 확인함으로써 개인정보보호 및 사이버보안을 촉진하고자 하는 목적을 개정 정책에 반영했다. 


CFAA에 저촉되는 것은 '접근 권한 위반'

법을 개정하면서 미 법무부는 CFAA 위반 혐의를 충족하지 않는 몇 가지 사례도 함께 제시했다. 다음과 같은 행위는 연방 법률을 위반한다고 볼 수 없으므로 처벌 대상에서 제외된다. CFAA 정책은 피고가 컴퓨터 접근 권한이 없거나 컴퓨터의 특정한 부분(예를 들어 1개의 이메일 계정)에만 접근 권한이 있는 것을 인지하면서 접근 권한이 없는 부분(다른 사용자의 이메일 계정)에 접근하는 행위에 집중한다.
 
  • 온라인 데이트 웹사이트의 서비스 약관에 반하여 온라인 데이트 프로필을 꾸미는 행위
  • 대여/채용/숙박시설 웹사이트에 허위 계정을 생성하는 행위
  • 직장에서 스포츠 경기 점수를 확인하거나 공과금을 제출하거나, 서비스 약관에 포함된 접근 제한을 위반하는 행위

또한 미 법무부는 새로운 정책이 악용될 가능성도 있음을 인정했다. 법무부는 “예컨대 갈취 목적으로 기기의 취약점을 발견하는 행위는 아무리 ‘연구 활동’이라고 주장하더라도 선의의 목적이 아니다”라고 덧붙이며 개정 정책이 악의적인 활동을 위한 ‘무임승차권’이 아니라고 덧붙였다.
editor@itworld.co.kr
 Tags CFAA 미국법무부 화이트해커
Sponsored
IDG 설문조사

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2022 International Data Group. All rights reserved.