법무부, 허위청구법 적용을 통한 사이버보안 집행 의지 표명

한때 허위청구법(FCA) 조사 및 집행 조치는 주로 의료 및 국방 계약에 집중되었습니다. 이 두 분야가 여전히 FCA의 주요 영역을 차지하고 있지만, 사이버보안은 내부고발자뿐만 아니라 미국 법무부(DOJ) 검사들에게도 주목받는 분야로 부상했습니다. 최근 몇 가지 동향은 이러한 추세를 보여주며, FCA를 통한 사이버보안 집행이 더욱 강화될 것임을 시사합니다.

2021년 법무부는 정부 계약업체 및 보조금 수령자가 저지른 사이버 보안 관련 사기 행위를 기소하기 위해 허위청구방지법(FCA)을 활용하는 민사 사이버 사기 방지 계획을 시행했습니다. 시행 이후 법무부는 허위청구방지법에 따른 다수의 합의안을 발표했습니다.

다음과 같은 최근 동향은 법무부가 이 분야에 관심을 갖고 있음을 보여줍니다:

• 올해 초, 법무부는 두 명의 내부 고발자가 제기한 허위청구방지법(FCA) 사건에 개입했습니다. 해당 사건은 조지아 공과대학 연구 법인(Georgia Tech Research Corporation)과 조지아 공과대학(Georgia Institute of Technology, Georgia Tech)이 국방부 계약의 일부인 다양한 사이버 보안 요건을 위반했다고 주장했습니다.

• 2024년 5월, 법무부는 인사이트 글로벌 LLC와 270만 달러의 합의금을 발표했습니다. 이 사건은 회사가 코로나19 접촉자 추적 과정에서 수집된 건강 정보를 보호하기 위한 충분한 사이버 보안 조치를 시행하지 않았다는 내부 고발자의 주장을 다루었습니다. 이러한 실패는 허위청구방지법(FCA) 위반으로 주장되었으며, 회사가 보안 실패와 관련해 내부에서 제기된 우려 사항에 적시에 대응하지 않았다는 주장도 포함되었습니다. 특히 문제의 계약은 연방 자금을 사용한 주 정부 계약이었다.

• 2024년 6월, 법무부는 연방 임대 지원 신청을 촉진하기 위한 연방 자금 지원 주 계약의 일환으로 사이버 보안 요건을 준수하지 않아 허위청구방지법(FCA)을 위반한 혐의를 받는 두 컨설팅 회사와 1,130만 달러의 합의금을 발표했습니다. 이 사건 역시 내부 고발자의 신고로 시작되었습니다.

FCA 내에서 사이버 보안이 중점 분야로 부상함에 따라, 조직은 사이버 보안 규정 준수를 강화하고 FCA 위험을 줄이기 위해 다음 실행 항목에 집중해야 합니다:

1. 정부가 부과한 모든 사이버 보안 기준을 목록화하고 준수 여부를 모니터링합니다. 이는 조직의 계약에 대한 지속적인 이해뿐만 아니라, 취약점을 식별 및 패치하고 해당 계약상 사이버 보안 기준 준수 여부를 평가하기 위해 조직의 사이버 보안 프로그램을 지속적으로 모니터링하고 평가하는 것을 포함합니다.
2. 견고하고 효과적인 규정 준수 프로그램을 개발하고 유지합니다. 이러한 프로그램에서는 직원들이 우려 사항을 보고하도록 장려하며, 해당 우려 사항은 신속히 조사되고 적절한 경우 상급자에게 보고됩니다.
3. 사이버 보안 표준을 준수하지 않는 것이 확인된 경우 조직은 잠재적인 다음 단계를 평가해야 합니다. 여기에는 해당 사안을 정부에 공개하고 정부 조사관에게 협조할지 여부가 포함됩니다. 조직은 이와 관련하여 경험이 풍부한 변호사와 협력해야 합니다. 잠재적인 규정 위반을 조사하고 대응하기 위한 전략을 사전에 수립하면 프로세스에 규율을 확립하고 조직의 접근 방식을 간소화할 수 있습니다.