[관점]
국내 사고 대응 계획에는 협상 국면이 거의 없다. 지급은 논의 대상이 아니라는 전제가 깔려 있어 절차 자체를 만들지 않는다. 그런데 실제 상황에서 그 전제가 유지되지 않는 경우가 생기고, 그때 판단은 준비 없이 이루어진다.
이 문서가 유용한 이유는 협상법을 알려 주기 때문이 아니다. 협상에 도달하기 전에 결정되는 것이 대부분이라는 구조를 보여 주기 때문이다. 지급 여부를 미리 정하라는 말이 아니라, 누가 무엇을 언제 판단할지를 미리 정해 두라는 말이다.
이 문서는 법적·윤리적 경고와 프레임워크의 한계를 먼저 밝히고 시작한다. 지급 관련 판단이 관할과 상황에 따라 달라지며, 이 문서가 법률 자문을 대신하지 않는다는 점을 명시한 뒤 본문으로 들어간다.
구성은 단계별이다. 예방과 준비, 복구, 그리고 최후 수단으로서의 협상 순서다. 협상이 마지막에 놓여 있고 앞의 두 단계가 문서의 대부분을 차지한다.
준비 단계의 비중
준비 단계는 통제를 계층으로 구분한다.
| 계층 | 내용 |
|---|---|
| 1 | 백업 구조 — 타협 불가 항목으로 규정 |
| 2 | 접근 통제와 인증 |
| 3 | 단말과 네트워크 보호 |
백업을 「타협 불가」로 못 박은 점이 이 구성의 핵심이다. 협상 국면의 선택지는 결국 복구 가능 여부에서 나오며, 복구가 되면 협상은 협상이 아니라 통보로 바뀐다.
국내 적용 관점
의사결정 경로를 사고 대응 계획에 넣어야 한다. 지급 여부를 미리 정하라는 뜻이 아니다. 누가 판단하고, 누구에게 보고하며, 어느 시점에 외부 전문가와 수사기관을 부를지를 정해 두라는 뜻이다. 이 경로가 없으면 상황 발생 시 며칠이 소요되고, 그 며칠이 협상 조건을 악화시킨다.
법무·홍보·경영진이 함께 참여하는 절차로 설계해야 한다. 정보보호 조직 단독으로 결정할 수 있는 사안이 아니다. 국내에서는 개인정보 유출 신고 의무와 공시 판단이 함께 걸리므로, 관련 부서가 처음부터 같은 절차 안에 있어야 한다.
지급 관련 법률 검토를 사전에 받아 두어야 한다. 상황이 발생한 뒤 검토를 시작하면 늦다. 제재 대상 여부 확인, 자금 이동의 적법성, 보고 의무 같은 항목을 평시에 정리해 두고 갱신하는 편이 낫다.
백업 검증을 훈련 항목으로 두어야 한다. 백업이 존재한다는 사실과 정해진 시간 안에 복구된다는 사실은 다르다. 국내 조직 다수가 백업 정책은 갖고 있으나 복구 소요 시간을 측정한 기록은 없다. 이 숫자가 협상 국면에서 판단의 근거가 된다.
보험 약관과 절차를 미리 맞춰 두어야 한다. 사이버 보험에 가입한 조직이라면 사고 시 통지 시점과 지정 대응 업체 사용 여부가 약관에 규정되어 있다. 이를 확인하지 않고 대응을 시작하면 보상 범위가 달라질 수 있다.
검토 회의에서 확인할 항목
질문 1 협상 국면의 의사결정 권한이 누구에게 있는지 문서에 있는가?
질문 2 법무·홍보·경영진의 참여 시점이 절차에 규정되어 있는가?
질문 3 지급 관련 법률 검토를 평시에 받아 두었는가?
질문 4 핵심 시스템의 복구 소요 시간을 측정한 기록이 있는가?
질문 5 보험 약관의 통지 기한과 지정 업체 조건을 확인했는가?출처 · SOCRadar, Advanced Ransomware Negotiation Framework (2026-02). 이 글은 지급을 권고하지 않으며, 지급 여부는 법률·규제 검토가 선행되어야 하는 사안이다.