이번 주, Health-ISAC®'s 해킹 헬스케어® 의회 예산 승인으로 76일간의 셧다운 사태가 종료된 후, 사이버보안 및 인프라 보안국(CISA)에서 일어나고 있는 일들을 여러분께 신속하게 알려드리고자 합니다.
상기시켜드리자면, 이것은 Hacking Healthcare 블로그의 공개 버전입니다. 심층적인 분석과 의견을 더 알아보려면 H-ISAC의 회원이 되어 이 블로그의 TLP Amber 버전을 받으세요(회원 포털에서 이용 가능).
PDF 버전 :
텍스트 버전:
Hacking Healthcare에 다시 오신 것을 환영합니다.® !
아메리카스 하비 엑서케이션 2026
오늘 기사에 앞서, 제7회 미주 지역 의료 비상 대응 훈련(Americas Hobby Exercise)이 곧 개최될 예정이며, Health-ISAC 회원 여러분의 참여 의사를 미리 등록해 주시기를 권장합니다. 이 훈련은 Health-ISAC 회원, 미국 정부 기관, 그리고 기타 중요 인프라 부문 관계자들이 참여하는 하루 종일 진행되는 워크숍 및 탁상 훈련입니다. 훈련의 목적은 대규모 사고 발생 시 및 발생 후 의료 부문이 직면하는 문제에 대한 인식을 제고하고, 의료 부문 및 정부 기관 간의 지속적인 협력 관계를 구축하여 이해 증진, 대응 및 복구 계획 수립 및 활동을 강화하는 것입니다.
올해 취미 박람회는 6월 24일 워싱턴 D.C.에서 개최됩니다. 회원 여러분께서는 여기에서 참가 신청을 해주시기 바랍니다.
https://portal.h-isac.org/s/community-event?id=a1YVn000005srUHMAY.
더 자세한 내용을 알고 싶으신 분들은 작년 보고서를 다음 링크에서 확인하실 수 있습니다: https://health-isac.org/2025-americas-hobby-exercise-after-action-report/
장기간 폐쇄 이후 CISA 평가
76일간의 정부 셧다운 끝에 4월 30일, 트럼프 대통령은 국토안보부(DHS) 예산을 확보하는 의회 합의안에 서명했습니다. 이 예산 지원으로 사이버보안 및 인프라 보안국(CISA)은 정상적인 운영 상태로 복귀하기 위한 준비를 시작했습니다. 따라서 지금은 CISA가 오랫동안 기다려온 (그리고 사실상 이미 늦어진) 중요 인프라 사이버 사고 보고법(CIRCIA) 최종 규칙과 관련하여 어떤 진전을 이루었는지, 그리고 중요 인프라 부문에서 CISA가 새롭게 도입한 "CI Fortify" 이니셔티브를 어떻게 활용해야 하는지 평가하기에 적절한 시기입니다.
CIRCIA 업데이트
2022년에 제정된 이 법의 주요 목적은 다양한 대상 기관에 걸쳐 사이버 공격 사고 및 랜섬웨어 지불에 대한 보고 요건을 확립하는 것이었습니다. 이러한 보고는 CISA가 필요에 따라 대응하는 데 도움이 될 뿐만 아니라 정책 입안자들에게 전반적인 위협 환경과 대상 기관에 미치는 영향에 대한 더 명확한 정보를 제공할 것으로 기대됩니다. CIRCIA 최종 확정 과정에서 CISA의 역할에는 CIRCIA의 여러 기술적 세부 사항을 명확히 하는 최종 규칙을 개발하는 것이 포함됩니다.
CIRCIA 법안의 조항은 궁극적으로 CISA가 작년 10월까지 최종 규칙을 발표하도록 규정했습니다. CISA가 이 기한을 지키지 못하자, 2025년 봄에 발표될 예정이었던 규제 및 규제 완화 조치 통합 의제에서 5월경 발표될 가능성을 시사한 점을 근거로 새로운 목표 시점이 2026년 봄이 될 것이라는 추측이 나왔습니다. 그러나 CISA가 올해 2월, CIRCIA의 "범위와 부담"을 "세부화"하기 위해 이해관계자들의 의견을 수렴하고자 3월과 4월에 일련의 타운홀 미팅을 개최할 계획이라고 발표하면서, 이 새로운 목표 시점에 대한 회의론이 더욱 커졌습니다.[I] 정부 셧다운으로 모든 비필수 업무가 중단되면서 이러한 노력은 차질을 빚게 되었습니다.
셧다운이 종료됨에 따라 현재 CISA가 CIRCIA 웹페이지에서 제공하는 정보는 다음과 같습니다.[II] 그들은 여전히 이러한 주민 공청회를 개최할 의향이 있음을 나타내며, 이번 셧다운으로 인해 "CIRCIA 최종 규칙 발표가 지연될 가능성이 높다"고 지적했습니다.[iii]
확고히 하다!
정부 셧다운이 최근에야 종료되었음에도 불구하고, CISA는 국가 핵심 인프라 기관의 복원력을 강화하기 위한 새로운 계획을 시작했습니다. 5월 5일, CISA는 "CI Fortify"라는 제목의 보도자료를 발표했습니다.[iv] CISA는 이 노력을 "모든 부문의 중요 인프라(CI) 기관이 위기나 분쟁 상황에서도 운영을 준비하고, 시스템이 공격을 받는 중에도 필수 서비스 제공을 지속할 수 있도록 지원하는 지침"이라고 설명하며, "...사이버 공격 중에도 CI 기관과 파트너가 핵심 서비스의 연속성을 유지할 수 있도록 복원력을 강화하고 지원하는 것"이라고 덧붙였습니다.[V]
해당 계획의 현재 웹페이지는 특히 "더 광범위한 지정학적 갈등"의 맥락에서 국가 행위자들이 핵심 기반 시설에 가하는 위협을 강조합니다. 이 계획은 "지정학적 갈등 상황에서 필수 운영을 유지하기 위한 수단"으로서 "격리" 및 "복구" 역량에 초점을 맞추는 것으로 보입니다.[바이] 격리란 필요에 따라 제3자와의 연결을 선제적으로 차단하고 장기간(수개월) 동안 필수 서비스를 제공할 수 있는 능력을 유지하는 것을 의미합니다. 복구란 적절한 문서화, 백업 확보, 그리고 통신 의존성 문제를 해결하는 것을 의미합니다.
또한 운영자가 아닌 사람들을 위한 "행동 촉구"도 포함되어 있어 어떻게 해야 하는지 파악하는 데 도움이 됩니다. 산업 자동화 제어 시스템 공급업체 및 벤더, 관리형 서비스 제공업체 및 시스템 통합업체, 보안 공급업체예산 및 자원 봉사자 노력에 도움이 될 수 있습니다.
현재로서는 CI Fortify와 관련된 구체적인 목표, 일정, 자금 또는 새로운 자원은 없는 것으로 보입니다.
액션 & 분석
**Health-ISAC 멤버십에 포함됨**
[I] https://www.federalregister.gov/documents/2026/02/13/2026-02948/cyber-incident-reporting-for-critical-infrastructure-act-circia-rulemaking-town-hall-meetings
[II] https://www.cisa.gov/topics/cyber-threats-and-advisories/information-sharing/cyber-incident-reporting-critical-infrastructure-act-2022-circia
[iii] https://www.cisa.gov/topics/cyber-threats-and-advisories/information-sharing/cyber-incident-reporting-critical-infrastructure-act-2022-circia
[iv] https://www.cisa.gov/news-events/news/cisa-unveils-new-initiative-fortify-americas-critical-infrastructure
[V] https://www.cisa.gov/news-events/news/cisa-unveils-new-initiative-fortify-americas-critical-infrastructure
[바이] https://www.cisa.gov/topics/industrial-control-systems/ci-fortify
[vii] https://health-isac.org/health-isac-hacking-healthcare-2-19-2026/
[viii] https://www.cisa.gov/topics/cyber-threats-and-advisories/information-sharing/circia/faqs
[ix] https://www.cisa.gov/topics/cyber-threats-and-advisories/information-sharing/circia/faqs
[X] https://www.cisa.gov/news-events/news/cisa-unveils-new-initiative-fortify-americas-critical-infrastructure
[xi] https://www.cisa.gov/news-events/news/cisa-unveils-new-initiative-fortify-americas-critical-infrastructure
- 관련 리소스 및 뉴스
- 트럼프의 AI 관련 행정명령이 의료 부문에 미치는 영향은 무엇인가?
- 보건의료 및 사회복지 위협 환경 보고서
- 의료 분야에서 에이전트형 AI를 도입하는 것은 위험한 발상이다
- Live@eXchange 2일차 – Health-ISAC 의료기기 보안 분석가
- 건강-ISAC 해킹 헬스케어 6-3-2026
- 의료 산업을 겨냥한 새로운 취약점 발견
- 월간 뉴스레터 - 2026년 XNUMX월
- 안전한 의료 서비스를 위해 진정으로 필요한 것
- 새로운 HIPAA가 시행되면 기기 목록 관리와 개인 건강 정보(PHI) 매핑이 가장 어려운 과제가 될 것입니다.
- Verizon DBIR: 의료 분야, 증가하는 소셜 엔지니어링 공격에 대응