← 보안 블로그로 돌아가기

트럼프 사이버 전략과 EU 규제: 미국은 규제를 완화하고 유럽은 NIS2 집행을 강화

백악관은 공세적 작전과 AI 도입, 규제 완화를 축으로 한 새 사이버 보안 전략을 발표했습니다. 규정 준수를 중시하는 유럽의 NIS2, DORA, AI Act 체계와 정면으로 충돌하는 방향입니다. Gemini AI Chrome 취약점, Microsoft Copilot DLP 변경, 3월 Patch Tuesday 전망도 함께 살펴봅니다.

---

🔴 속보: 트럼프 사이버 보안 전략 — 규정 준수보다 공세

백악관은 트럼프 대통령의 7쪽 분량 사이버 보안 전략을발표했습니다. Office of the National Cyber Director(ONCD)가 마련한 이 전략은 공세적 작전을 중심에 두고 규제 완화를 적극 추진한다는 점에서 미국 사이버 정책의 근본적 전환을 뜻합니다.

전략은 6개 축으로 구성됩니다.:

축	초점	핵심 의미
1. 적대자의 행동 변화 유도	공세적 사이버 작전	공격 전에 적대 네트워크를 선제적으로 무력화
2. "상식적" 규제 촉진	규제 완화	의무적 사이버 보안 기준 축소
3. 연방 네트워크 현대화	제로 트러스트, 포스트 양자, AI	클라우드 이전과 AI 기반 방어
4. 핵심 인프라 보호	필수 서비스 강화	적대국 공급업체 제거와 공급망 보호
5. 기술 우위 유지	AI, 양자 기술, 암호화폐·블록체인	암호화폐를 언급한 최초의 전략
6. 인재와 역량 구축	인력 양성 체계	학교·산업·군의 사이버 교육

FBI 도청 시스템 침해에 주는 의미

이 전략은 확인된 FBI 도청 시스템 침해 직후에 나왔으며 중국계 위협 그룹 Salt Typhoon의 개입이 의심됩니다. 문서는 다음과 같이 명시합니다. "우리의 적대자들은 자기 행동의 대가를 점점 더 체감하게 될 것이다. 우리는 네트워크를 해체하고 해커와 스파이를 추적할 것이다."

🇪🇺 EU와 미국: 규제 충돌로 향하는 길

미국의 규제 완화 기조는 사이버 보안 정책에서 전례 없는 대서양 양안의 격차를 만듭니다. 워싱턴이 의무 기준을 걷어내는 동안 브뤼셀은 집행을 가속하고 있습니다.

영역	미국(트럼프 전략)	EU(NIS2/DORA/AI Act)
접근법	자율적·시장 주도	의무적·제재 주도
규제	"부담스러운" 규제 완화	NIS2: 최대 1,000만 유로 벌금, DORA: 의무적 ICT 위험 관리
사고 보고	새 의무 없음	24시간 이내 의무 보고
AI 거버넌스	AI 도입 가속	EU AI Act: 위험 기반 분류
공급망	"적대국 공급업체" 제거	제21조: 공급망 전체에 대한 책임
암호화폐·블록체인	보호와 육성	MiCA 규제 체계

글로벌 조직에 미치는 영향

두 관할권 모두에서 사업하는 기업은 이제 이중 규정 준수 부담을안게 됩니다. 다음을 동시에 수행해야 합니다.

• EU 사업에서는 NIS2/DORA 의무 요건을 충족해야 하며 위반 시 최대 1,000만 유로 또는 전 세계 매출의 2%가 제재로 부과될 수 있습니다.
• 축소된 미국 연방 요건을 해석하면서도 보안 수준은 유지해야 합니다.
• AI 거버넌스 체계를 조율해야 합니다. EU AI Act의 위험 기반 접근법과 미국의 "도입 가속" 입장을 함께 다뤄야 합니다.
• 서로 다른 공급업체 제한 제도 아래에서 공급망 규정 준수를 관리해야 합니다.

🛡️ Gemini AI Chrome 취약점: CVE-2026-0628

Google은 CVE-2026-0628을 패치했습니다. Chrome에 통합된 Gemini AI의 권한 상승 취약점으로 CVSS 8.8(높음)입니다. Palo Alto Networks Unit 42가 발견한 이 결함을 이용하면 기본 권한만 가진 악성 확장 프로그램도 Gemini Live 브라우저 패널을 탈취할 수 있었습니다..

이 문제가 특히 우려스러운 이유는 다음과 같습니다.

• 취약점이 기존 브라우저 코드가 아니라 AI 계층에 존재했습니다.
• 최소 권한의 확장 프로그램도 AI 비서 제어 권한으로 상승할 수 있었습니다.
• 브라우저에 AI 비서가 통합되면서 생기는 새로운 공격 표면을 보여 줍니다.

가짜 AI 확장 프로그램: 커지는 위협

실제 취약점과 별개로 보안 연구자들은 앱 스토어에 가짜 "AI" 브라우저 확장 프로그램이 급증한다고 경고합니다. 이들은 인기 AI 도구를 흉내 내면서 몰래 사용자 데이터를 빼냅니다. AI 도구를 빨리 쓰고 싶어 하는 심리를 악용해 기존 보안 통제를 우회하는 사회공학 공격입니다.

📋 Microsoft Copilot DLP 변경 — 2026년 4월

Microsoft는 Copilot AI 비서의 중대한 공백을 보완하고 있습니다. 데이터 손실 방지(DLP) 정책이 적용되지 않았던 OneDrive와 SharePoint 외부 저장 파일이 문제였습니다. 이 때문에 Copilot이 로컬 파일의 기밀 정보를 답변에 포함할 수 있었습니다.

시행 시점: 2026년 4월Microsoft는 적절한 DLP 레이블이 없는 파일에 Copilot이 접근하지 못하도록 DLP 설정을 기본 적용합니다. 핵심 조치는 다음과 같습니다.

• 모든 민감한 Office 파일을 즉시 검토하고 DLP 레이블을 적용합니다.
• 4월 배포 전에 Copilot 접근 패턴을 감사합니다.
• NIS2 제21조에 따라 AI 도구의 데이터 처리는 의무적 위험 관리 대상입니다.

📅 2026년 3월 Patch Tuesday 전망

다음 주 Patch Tuesday 전망은 다음과 같습니다.

• Microsoft: 일반 OS와 ESU 업데이트가 예상됩니다. Office 2016과 2019도 계속 패치를 받습니다. .NET Framework, SQL Server, Exchange Server 업데이트를 주시해야 합니다.
• Adobe: Creative Cloud 순환 업데이트에는 Illustrator와 Photoshop이 포함될 가능성이 큽니다. Acrobat 분기 업데이트는 보통 4월에 나옵니다.
• Apple: 3월 4일 iOS와 macOS Tahoe 업데이트를 순차 배포했으며 나머지 지원 OS 업데이트도 임박했습니다.
• Google Chrome: Chrome 146 베타가 이번 주 공개됐습니다. 정식 업데이트가 Patch Tuesday 당일에 나오지 않을 수도 있습니다.
• Mozilla: Firefox 148, ESR 140.8, ESR 115.33과 Thunderbird 업데이트가 2월 24일 배포됐으므로 조용할 전망입니다.

📊 규제 일정: 앞으로 다가올 변화

날짜	규제	내용
현재	NIS2	EU 27개 회원국 중 23개국에서 집행 중
현재	DORA	금융 기관은 의무적 ICT 위험 관리를 포함해 규정을 준수해야 함
2026년 4월	Microsoft Copilot DLP	AI 비서의 파일 접근에 DLP를 기본 적용
2026년 8월	EU AI Act	고위험 AI 시스템 등록 기한
2026년 3분기	미국 사이버 전략	이행 각서와 예산 요청이 나올 전망
2027년	NIS2 전체 감사 주기	모든 회원국의 첫 집행 검토 주기

🔑 보안 팀의 핵심 요점

1. 미국의 규제 완화 때문에 경계를 낮추지 마십시오. 유럽에서 사업한다면 미국 정책 변화와 관계없이 NIS2와 DORA는 여전히 의무입니다.
2. AI 보안은 이제 실제 공격 표면입니다. CVE-2026-0628은 AI 통합이 새로운 취약점 유형을 만든다는 사실을 입증합니다. 기술 스택의 모든 AI 도구를 감사하십시오.
3. AI 인접 취약점도 긴급하게 패치하십시오. 브라우저 AI 확장 프로그램과 Copilot DLP 공백이 실제 공격에 악용되고 있습니다.
4. 4월 Copilot DLP 변경에 대비하십시오. Copilot 데이터 유출을 막으려면 지금 민감 파일에 레이블을 지정하십시오.
5. 적용 가능한 가장 엄격한 기준을 기본값으로 삼으십시오. NIS2 준수는 전 세계 사업의 보안 기준을 충족하는 데 도움이 됩니다.