유의사항
본 글은 2026년 8월 14일 기준 공개된 미국 백악관의 「Expanding Capabilities to Combat Transnational Cyber-Enabled Crime」 국가안보 대통령 각서와 미국 정부 자료, FBI의 「2025 IC3 Annual Report」를 바탕으로 작성되었습니다. DANA NOTES의 분석이 함께 포함되어 있습니다.
이 글에서 다루는 내용
2026년 8월 12일 트럼프 미국 대통령은 민간기업을 정부의 사이버 작전에 참여시키는 프로그램을 만들도록 지시하는 국가안보 대통령 각서(National Security Presidential Memorandum)에 서명했습니다. 백악관이 Presidential Memoranda로 분류해 공개한 공식 대통령 문서로, 이번 각서에서는 법무부와 국토안보부를 비롯한 관계 기관에 프로그램 구축과 운영절차 마련을 지시했습니다.
여기서 참여기업이 할 수 있는 일은 단순한 보안 자문이나 공격자 추적에 그치지 않습니다.
정부가 승인한 범위에서는 정보를 수집하기 위해 상대 시스템에 접근하는 Cyber Surveillance Operation과 시스템·네트워크를 조작하거나 교란하고, 접근을 막거나 성능을 저하시키며, 경우에 따라 파괴까지 포함하는 Cyber Effects Operation을 수행할 수 있습니다.
하지만 이것을 일반 기업에게 자유로운 보복 공격, 즉 Hack Back을 허용한 것으로 이해하면 안 됩니다.
이번 정책에서 더 중요한 변화는 민간기업에 공격 권한을 풀어주는 것이 아니라, 민간이 보유한 사이버 기술과 인력을 미국 정부의 지휘체계 안에서 국가 임무에 활용하는 구조를 만든다는 점입니다.
민간기업이 마음대로 ‘Hack Back’을 할 수 있게 된 것은 아니다
Hack Back은 사이버공격을 받은 조직이 공격을 차단하는 데서 그치지 않고 공격자의 시스템이나 인프라에 접근해 추적하거나 교란하는 적극적인 대응을 의미합니다.
이번 프로그램은 이와 비슷한 기술을 사용할 수 있지만 작전 구조는 다릅니다.
참여기업은 미국 법무부(DOJ) 또는 국토안보부(DHS)와 계약해야 하고, 모든 작전은 미국 연방정부를 대신해 정부의 감독과 법적 권한 아래 수행하도록 규정되어 있습니다.
프로그램은 법무부와 국토안보부가 각각 지정한 공동 책임자가 관리합니다. 모든 사이버 작전 패키지는 정부 책임자의 검토를 거쳐야 하며, 참여기업은 서면 승인과 지시를 받은 뒤에야 작전을 실행할 수 있습니다.
따라서 구조는
민간기업이 공격자 판단 → 독자적으로 반격
이 아니라
정부가 대상과 작전 범위 결정 → 민간기업이 승인된 임무 수행
에 가깝습니다.
민간 사이버보안 기업의 기존 역할이 사라지거나 보안기업 전체가 공격기업으로 바뀌는 것도 아닙니다. 대통령 각서는 참여기업이 프로그램 밖에서 기존의 합법적인 방어적 사이버 활동을 계속할 수 있다고 명시하고 있습니다.
이번 정책에서 달라지는 것은 민간기업의 역할 자체보다 미국 정부가 민간의 사이버 역량을 사용하는 범위입니다.
미국 정부는 왜 민간 사이버 역량을 끌어들이려 할까?
미국이 이런 구조를 만들려는 배경에는 커지고 있는 사이버 범죄 피해와 민간에 이미 축적된 전문 역량이 함께 있습니다.
FBI의 「2025 IC3 Annual Report」에 따르면 2025년 인터넷범죄신고센터(IC3)에 접수된 신고는 100만 8,597건, 신고된 피해액은 약 208억 7,700만 달러였습니다. 피해액은 2024년보다 26% 증가했습니다.
다만 이 숫자를 미국을 대상으로 한 모든 사이버공격 건수가 증가했다는 의미로 해석해서는 안 됩니다.
IC3는 피해자 등이 신고한 인터넷 범죄와 사이버 범죄 정보를 집계하기 때문에 모든 공격을 포괄하는 통계가 아닙니다. 그럼에도 신고된 경제적 피해만 200억 달러를 넘어섰다는 점은 미국 정부가 사이버 범죄를 단순한 기업 보안 문제가 아니라 경제와 국가안보 문제로 보고 있는 배경을 보여줍니다.
미국 정부의 대응 방향도 이미 바뀌고 있었습니다.
2026년 3월 트럼프 대통령이 서명한 행정명령 14390은 해외 초국가적 범죄조직의 사이버 범죄에 대응하면서 상업용 사이버보안 기업과 다른 비연방기관이 보유한 기술 역량, 위협정보와 작전 경험을 활용해 공격자의 식별·추적·교란 능력을 높이도록 지시했습니다.
같은 달 공개된 미국의 「Cyber Strategy for America」도 정부와 민간 부문의 협력을 확대하고 미국의 사이버 역량을 방어와 공격 임무 양쪽에 활용한다는 방향을 제시했습니다.
이번 8월 대통령 각서는 그 방향을 실제 민간기업 참여 프로그램으로 구체화한 것입니다.
백악관은 이번 각서에서 미국 민간 부문의 규모, 속도와 역량이 미국의 공격적 사이버 우위를 구성하는 중요한 자원이지만, 범죄 네트워크를 식별하고 교란하는 데 민간의 역량이 충분히 활용되지 못했다고 설명했습니다.
즉 미국 정부가 선택한 방법은 모든 공격 기술과 전문인력을 정부 안에 직접 확보하는 것만이 아닙니다.
민간에 이미 존재하는 능력을 선별하고, 필요할 때 정부의 지휘와 통제 아래 국가 임무에 투입할 수 있는 구조를 만드는 것입니다.
이런 관점에서 보면 민간기업의 기술도 하나의 국가 사이버 자원이 될 수 있습니다.
중요한 것은 정부가 그 기술을 직접 소유하고 있는지가 아니라, 필요한 순간 어떤 기업에 필요한 능력이 있는지 찾아내고 이를 안전하게 국가 작전에 연결할 수 있는가입니다.
대기업이 아니어도 능력이 있다면 국가 임무에 참여할 수 있다
정부가 민간기업을 국가 사이버 작전에 참여시키면 대형 방산업체나 대규모 정부 계약업체가 먼저 떠오를 수 있습니다.
그러나 이번 대통령 각서는 참여 기준을 만들면서 대기업과 소규모 기업을 모두 고려하라고 명시했습니다.
대기업은 대규모 인력과 자원을 공급할 수 있는 능력(capacity)이 있지만, 작고 민첩한 기업은 특정 전문 임무나 제한된 작업에 더 적합할 수 있다는 것입니다.
이는 단순히 중소기업에도 참가 자격을 준다는 의미보다 중요합니다.
국가에 필요한 특정 능력을 가지고 있다면 기업의 크기가 아니라 실제 임무를 수행할 수 있는가가 참여기업 선정의 중요한 기준이 될 수 있기 때문입니다.
특정 악성코드나 공격기법을 오랫동안 분석한 기업, 특정 범죄조직의 인프라를 추적해 온 전문 보안기업, 좁은 기술 분야에서 높은 전문성을 가진 소규모 기업도 국가 임무에 참여할 가능성이 열립니다.
물론 아직 어떤 기업이 실제 계약을 체결할지, 계약 규모가 얼마나 될지는 공개되지 않았습니다.
하지만 프로그램을 설계하는 단계부터 소규모 전문기업의 참여를 명시했다는 점에서 정부 사이버 계약 시장의 공급자 범위가 대형 기업에만 한정되지 않을 가능성은 확인할 수 있습니다.
미국 정부는 어떤 민간기업을 사이버 작전에 참여시키려 할까?
기술력이 있다고 해서 바로 국가 사이버 작전을 맡을 수 있는 것은 아닙니다.
대통령 각서는 참여기업이 갖춰야 할 최소 기준에 다음과 같은 요소를 포함하도록 했습니다.
- 기술적 숙련도
- 실제 사이버 작전 수행 실적
- 시설 보안
- 인력 검증
- 업무 수행 능력
- 신뢰성
정부가 해당 기업이 프로그램의 임무를 성공적으로 수행할 수 있다고 높은 수준으로 신뢰할 수 있는지를 확인하기 위한 기준입니다. 참여 후에도 최소 연 1회 계속 프로그램에 참여할 자격이 있는지 다시 평가하도록 했습니다.
여기서 눈여겨볼 부분은 시설 보안과 인력 검증, 신뢰성입니다.
국가 사이버 작전에서는 공격 기술만 공유되는 것이 아닙니다.
어떤 조직을 조사하고 있는지, 어떤 시스템에 접근할 것인지, 어느 시점에 어떤 작전을 수행할 것인지와 같은 민감한 정보가 민간기업에 전달될 수 있습니다. 실제 운영절차의 일부도 공개 문서가 아니라 기밀 부속문서(classified annex)에 따라 마련하도록 되어 있습니다.
따라서 국가가 원하는 기업은 단순히 ‘해킹을 가장 잘하는 회사’라고 보기 어렵습니다.
기술력을 갖추면서도 내부 인력과 정보를 관리하고, 정부가 정한 작전 범위를 지키며, 문제가 발생했을 때 정확하게 보고할 수 있는 기업이어야 합니다.
사이버 작전에서는 능력과 신뢰가 함께 국가 계약의 경쟁력이 될 수 있는 것입니다.
민간기업은 실제로 어디까지 할 수 있을까?
이번 대통령 각서는 민간기업이 참여할 수 있는 작전을 크게 두 가지로 정의합니다.
Cyber Surveillance Operation
상대 정보시스템이나 네트워크에 접근해 정보와 첩보를 수집하는 작전입니다.
앞으로 수행할 Cyber Effects Operation에 필요한 정보를 얻는 것도 포함되며, 시스템 소유자나 운영자의 허가 없이 접근하거나 허가된 범위를 넘어 접근하는 행위도 정의에 포함됩니다. 작전 수행에 필요한 제한적인 조작이나 일시적 교란도 일정 범위에서 포함될 수 있습니다.
Cyber Effects Operation
정보시스템이나 네트워크에 영향을 주는 보다 적극적인 작전입니다.
대통령 각서는 이를 조작(manipulation), 교란(disruption), 거부(denial), 성능 저하(degradation), 파괴(destruction)를 발생시키는 활동으로 정의합니다.
따라서 단순히 공격자의 위치를 찾아 정부에 알려주는 정도가 아닙니다.
정부가 승인한다면 민간기업이 실제 상대 시스템의 작동에 영향을 미치는 단계까지 참여할 수 있습니다.
다만 사람의 사망이나 심각한 부상을 초래할 가능성이 있거나 국제법상 무력사용 또는 무력공격 수준에 이를 가능성이 있는 결과는 Critical Outcome으로 따로 분류됩니다. 일반적인 프로그램 책임자가 이런 결과를 발생시키는 작전을 승인할 수 있도록 한 구조는 아닙니다.
공격적인 작전을 허용하면서도 그 범위를 무제한으로 열어둔 것은 아닌 것입니다.
실제 공격 대상과 작전 범위는 정부가 결정한다
민간기업이 기술을 실행하더라도 공격 대상을 고르는 권한까지 민간기업에 넘기는 것은 아닙니다.
이번 프로그램의 대상은 Cyber-Enabled Transnational Criminal Organization, CE-TCO로 정의된 해외 조직입니다.
미국 정부, 미국인 또는 미국의 이익을 대상으로 사이버 범죄를 수행하는 해외 조직이 대상이며, 외국 정부기관의 일부이거나 외국 정부의 지시에 의해 전적으로 운영되는 조직은 이 정의에서 제외됩니다.
모든 작전은 정부가 마련하는 대상 판정 체계를 거쳐야 하고, 개별 작전 패키지 역시 정부 책임자의 검토와 서면 승인을 받아야 합니다. 다른 연방 법집행기관과 외교·정보 관련 정부 활동과 충돌하지 않도록 작전을 조정하는 절차도 만들도록 했습니다.
즉 민간기업이
“이 조직이 미국을 공격했으니 우리가 공격하겠다”
고 판단하는 것이 아니라,
미국 정부가 공격 대상을 판단하고 작전을 승인한 뒤 민간기업이 정해진 범위의 임무를 수행하는 구조입니다.
그런데 ‘범죄조직’과 ‘국가’를 명확하게 나눌 수 있을까?
문서상 기준은 비교적 명확합니다.
외국 정부 자체는 이번 프로그램의 공격 대상이 아닙니다.
하지만 현실의 사이버 공간에서는 국가와 범죄조직의 관계가 언제나 깔끔하게 분리되는 것은 아닙니다.
2026년 3월 미국 정부의 행정명령에서도 일부 해외 정권이 사이버 범죄와 각종 사기 활동에 적극적 또는 묵시적인 지원을 제공하는 경우가 있다고 설명했습니다.
정부기관에 정식으로 소속되지는 않았지만 특정 정부의 지원을 받는 조직이 있을 수 있고, 범죄를 통해 돈을 벌면서 동시에 정부와 이해관계를 공유할 수도 있습니다.
이번 대통령 각서에는 이 문제와 관련해 특히 눈에 띄는 기준이 하나 있습니다.
명확한 정보가 존재하지 않는 한 해당 해외 조직을 외국 정부의 일부이거나 외국 정부의 지시에 의해 전적으로 운영되는 조직이 아닌 것으로 추정하도록 했습니다.
따라서 국가 자체를 공격하도록 허용한 정책은 아니지만 실제 운영에서는
이 조직은 독립적인 범죄조직인가, 국가가 통제하는 조직인가, 아니면 그 사이에 있는 조직인가
를 판단해야 하는 상황이 발생할 수 있습니다.
이 구분을 잘못하면 범죄조직을 무력화하는 작전이 다른 국가와의 외교·안보 문제로 확대될 가능성도 배제하기 어렵습니다.
그래서 대통령 각서는 단순히 공격 기술만 정하지 않고 대상 판정 체계와 정부기관 간 작전 조정 절차까지 요구하고 있습니다.
이 프로그램에서 중요한 국가 역량은 공격 기술만이 아니라 공격해야 할 대상을 정확하게 구분하는 정보 능력이기도 합니다.
작전 실패와 계약 위반은 같은 문제일까?
국가 사이버 작전이라고 해서 모든 작전이 반드시 성공한다고 가정할 수는 없습니다.
상대가 시스템을 변경하거나 예상하지 못한 방어체계를 사용하고 있을 수도 있고, 작전 과정에서 새롭게 확인되는 정보 때문에 원래 계획을 중단해야 할 수도 있습니다.
이번 대통령 각서에는 작전이 목표를 달성하지 못했다는 이유만으로 참여기업을 금전적으로 제재한다는 규정은 없습니다.
대신 법무부와 국토안보부가 계약 조건으로 참여기업에 최소 100만 달러의 bond 또는 escrow를 요구할 수 있도록 하고, 참여기업이 계약을 준수하지 않을 경우 이를 몰수할 수 있도록 했습니다.
따라서 공개된 문서만 기준으로 보면 작전 실패와 계약 위반은 구분해야 합니다.
예를 들어 작전 중 승인받은 범위를 벗어난 활동이 발생했다는 사실을 발견하면 참여기업은 작전을 중단하고 영향을 최소화한 뒤 즉시 정부에 보고해야 합니다. 미국의 중요 기반시설을 대상으로 한 임박한 공격을 발견하거나 작전이 중대한 결과를 발생시킬 수 있다고 판단한 경우에도 즉시 보고해야 합니다.
이런 통제 절차를 지키는 문제와 작전 목표를 달성했는지는 서로 다른 평가 대상이 될 수 있습니다.
동시에 정부는 모든 참여기업을 최소 연 1회 재평가하도록 했고, 처음 참여기업을 선정할 때부터 실제 사이버 작전 수행 실적과 능력, 신뢰성을 평가하도록 했습니다.
따라서 반복적인 작전 실패나 수행능력 부족이 향후 프로그램 참여나 정부 계약에 아무런 영향을 주지 않을 것이라고 보기도 어렵습니다.
다만 이 부분은 아직 세부 운영절차와 계약 조건이 공개되지 않았기 때문에 어떤 실패가 단순한 작전 결과이고 어떤 문제가 계약상 책임으로 이어지는지는 앞으로 확인해야 합니다.
DANA NOTES가 보기에는 이 구조에서 국가가 평가하게 될 것은 단순한 성공률만은 아닐 가능성이 높습니다.
작전에 실패하더라도 승인된 범위 안에서 움직였는지, 실패 원인을 정확하게 파악했는지, 정부에 필요한 정보를 제대로 보고했는지, 같은 문제가 반복되지 않도록 개선할 수 있는지 역시 해당 기업을 다시 국가 임무에 투입할 수 있는지를 판단하는 요소가 될 수 있습니다.
국가가 원하는 기업은 실패하지 않는 기업이라기보다, 높은 기술력을 가지고 있으면서도 실패와 돌발상황까지 통제 가능한 방식으로 처리할 수 있는 기업일 수 있습니다.
새로운 정부 계약 시장도 만들어질 수 있다
이번 프로그램에서 민간기업은 법무부 또는 국토안보부와 계약을 체결해야 합니다. 즉 민간의 공격적 사이버 역량을 활용하는 것이 단순한 정보 공유나 자발적인 협력을 넘어 정부가 민간기업의 작전 수행 능력을 계약으로 조달하는 구조로 이어집니다.
아직 참여기업과 계약 규모, 예산은 공개되지 않았기 때문에 시장 규모를 계산할 단계는 아닙니다. 대통령 각서 역시 프로그램의 집행을 관련 법률과 사용 가능한 예산 범위 안에서 수행하도록 규정하고 있습니다.
그럼에도 새로운 종류의 정부 수요가 발생할 가능성은 있습니다.
기존처럼 보안 시스템이나 소프트웨어를 납품하는 것뿐 아니라 특정 사이버 임무를 수행할 기술과 전문인력을 제공하는 계약이 만들어질 수 있기 때문입니다.
특히 미국 정부가 소규모 전문기업의 참여까지 명시적으로 고려했다는 점은 이 시장의 경쟁 구도를 볼 때 중요합니다.
대규모 정부 시스템을 구축할 능력은 없어도 특정 공격기법, 범죄조직, 악성코드 또는 공격 인프라를 분석하는 데 높은 전문성을 가진 기업이라면 특정 국가 임무에서는 경쟁력을 가질 수 있습니다.
반면 진입장벽 역시 일반적인 보안 계약과 다를 수 있습니다.
기술만 증명하는 것이 아니라 시설 보안, 인력 검증, 실제 작전 실적, 신뢰성, 정부의 통제 준수와 보고 체계까지 갖춰야 하기 때문입니다.
결국 이 시장에서 경쟁력을 갖는 기업은 단순히 기술적으로 뛰어난 기업이 아니라 국가가 민감한 임무를 맡길 수 있을 만큼 기술과 조직을 함께 관리할 수 있는 기업이 될 가능성이 있습니다.
정부와 민간 사이의 경계가 달라진다
이번 정책을 민간 사이버보안 기업의 역할이 방어에서 공격으로 바뀌는 사건으로 보는 것은 정확하지 않습니다.
민간 보안기업의 기존 방어·분석·조사 업무는 그대로 존재합니다.
달라지는 것은 정부가 그 민간 역량을 국가 사이버 작전의 실행 단계까지 끌어들일 수 있게 된다는 점입니다.
프로그램 참여기업은 민간기업이나 연방·주·지방정부 기관 등에서 위협정보를 받아 이를 토대로 NCC에 새로운 사이버 작전을 제안할 수도 있습니다. 최종적인 대상 판단과 작전 승인은 정부가 하지만 민간에서 발견된 위협이 정부 작전 제안으로 연결되는 통로도 만들어지는 것입니다.
이 구조가 실제로 정착한다면 한 국가의 사이버 역량을 평가하는 기준도 조금 달라질 수 있습니다.
정부기관이 직접 보유한 인력과 기술뿐 아니라 국가가 필요할 때 활용할 수 있는 민간의 기술과 전문인력까지 얼마나 효과적으로 연결할 수 있는가도 중요해질 수 있습니다.
DANA NOTES 해설
이번 대통령 각서의 핵심은 민간기업에게 자유롭게 해외 해커를 공격할 권한을 주었다는 데 있지 않습니다.
오히려 반대에 가깝습니다.
미국 정부는 민간의 공격 기술을 사용하되 대상 선정, 작전 승인과 통제권은 정부가 가지고 가는 구조를 만들고 있습니다.
여기에서 흥미로운 것은 국가 사이버 역량의 범위를 바라보는 방식입니다.
모든 기술과 전문인력을 정부가 평상시부터 직접 보유할 필요는 없습니다.
특정 임무에 필요한 능력을 가진 기업을 찾아내고, 해당 기업이 국가 임무를 맡길 만큼 안전하고 신뢰할 수 있는지 검증한 뒤, 필요할 때 정부의 지휘체계 안으로 편입할 수 있다면 그 민간 역량도 실질적으로는 국가가 활용할 수 있는 사이버 자원이 됩니다.
특히 이번 정책이 대기업뿐 아니라 특정 임무에 강한 소규모 기업까지 처음부터 참여 대상으로 고려한다는 점은 중요합니다.
사이버 분야에서는 조직의 규모와 특정 기술의 전문성이 반드시 비례하지 않습니다. 좁은 영역을 오랫동안 추적해 온 작은 기업이나 팀이 특정 임무에서는 대기업보다 더 적합할 수도 있습니다.
따라서 이 프로그램이 실제로 운영되기 시작하면 미국 정부가 어떤 능력을 국가가 직접 보유하고, 어떤 능력을 민간에서 조달할 것인지도 볼 필요가 있습니다.
동시에 민간을 국가 작전에 깊게 편입할수록 더 어려운 문제가 생깁니다.
기밀정보를 어느 수준까지 민간과 공유할 것인지, 국가와 연결된 범죄조직을 어떻게 구별할 것인지, 민간기업이 승인된 범위를 벗어나지 않도록 어떻게 통제할 것인지, 작전 실패와 계약 위반의 책임을 어떻게 구분할 것인지가 함께 해결되어야 합니다.
민간기업의 기술을 국가 역량으로 활용하는 것은 기술을 빌려오는 것만으로 완성되지 않습니다.
그 기술을 가진 기업을 찾아내고, 검증하고, 신뢰하고, 통제하며, 정확한 임무에 투입할 수 있는 체계까지 갖춰져야 합니다.
이번 대통령 각서가 실제로 바꾸려는 것은 바로 그 구조입니다.
앞으로 확인해야 할 변수
이번 정책은 아직 실제 민간기업의 작전 성과를 평가할 단계가 아닙니다.
대통령 각서는 발표일로부터 60일 이내에 구체적인 운영절차를 마련하도록 했습니다. 이 절차에는 참여기업 기준, 대상 판정, 작전 패키지 작성과 승인, 보고, 정부기관 간 조정 등이 포함되어야 합니다.
앞으로는 다음을 확인할 필요가 있습니다.
- 실제 참여기업은 누구인가
대형 방산·보안기업뿐 아니라 각서가 언급한 소규모 전문기업이 실제로 선정되는지가 중요합니다. - 정부는 어떤 기술을 가장 필요로 하는가
악성코드 분석, 공격 인프라 추적, 침투, 정보수집, 시스템 교란 등 실제 계약에서 어떤 역량에 수요가 생기는지 확인해야 합니다. - 시설 보안과 인력 검증 기준은 얼마나 엄격한가
기술력이 있어도 국가 기밀과 작전정보를 맡길 수 있는 조직이어야 하는 만큼 실제 진입장벽을 결정할 수 있습니다. - 국가와 연결된 범죄조직을 어떻게 판정하는가
CE-TCO와 외국 정부가 통제하는 조직 사이의 회색지대를 어떤 정보와 기준으로 구분하는지가 핵심입니다. - 작전 실패와 계약 위반을 어떻게 구분하는가
bond·escrow가 실제로 어떤 계약 위반에 적용되는지, 수행능력 부족이 재계약과 프로그램 재평가에 어떻게 반영되는지 확인해야 합니다. - 실제 Cyber Effects Operation이 어디까지 수행되는가
정보수집과 추적이 중심이 되는지, 시스템 교란·성능 저하·파괴까지 실제 민간기업이 수행하는 사례가 나타나는지가 중요합니다. - 프로그램이 실제 정부 계약 시장으로 얼마나 커지는가
참여기업 수, 계약 규모와 예산이 공개되기 시작하면 미국 정부가 민간 사이버 역량을 어느 정도까지 국가 작전에 활용하려는지 보다 구체적으로 판단할 수 있습니다.
대통령 각서는 프로그램 책임자에게 180일 이내 첫 운영 현황 보고서를 제출하고 이후 매년 보고하도록 요구하고 있습니다. 실제 참여기업과 계약, 작전이 시작된다면 이 보고가 프로그램이 계획에서 실제 국가 사이버 역량으로 넘어가고 있는지를 판단할 첫 기준 가운데 하나가 될 수 있습니다.
