중국, 수입 프린터 및 복합기에 대한 국가안보 조사 착수

중국 상무부는 8월 5일 수입 프린터와 복합기에 대한 국가안보 조사를 개시하며, 일반적인 사무기기에 탑재된 외국산 소프트웨어를 심사 대상으로 올렸다.

이번 조치는 수입 금지나 제품 리콜, 또는 특정 공급업체가 중국 네트워크를 침해했다는 판단이 아니다. 이는 수입품, 해외 의존도, 국내 생산, 정부 정책, 잠재적 국가안보 영향을 검토할 수 있는 사실 조사 절차를 시작한 것이다.

RSSHub의 36Kr 뉴스 피드는 이번 발표 확산에 도움을 줬지만, 근거가 되는 사건은 MOFCOM Announcement No. 33이다. 이 1차 문서는 조사와 그 범위를 규정한다.

핵심 갈등은 프린터를 넘어선다. 중국은 네트워크에 연결된 사무용 하드웨어 내부의 외국 통제 소프트웨어 의존을 무역 관련 안보 노출로 취급해야 하는지 시험하고 있다.

이러한 변화는 해외 장비 제조사, 중국 수입업체, 기업 구매자, 국내 대체재에 압박을 가한다. 이제 모두 소프트웨어 소유권, 업데이트 경로, 기술적 접근 권한, 부품 조달, 장기 지원에 관한 질문에 직면해 있다.

이번 조사는 어려운 균형 문제도 만든다. 해외에서 개발된 소프트웨어는 성숙한 기능, 유지보수, 호환성을 제공할 수 있지만, 해당 소프트웨어에 대한 외부 통제는 국가안보 보증을 복잡하게 만들 수 있다.

중국의 조사가 실제로 포괄하는 범위

이번 조사는 공개된 기업이나 국가 목록이 아니라 소프트웨어 및 공급망 범주를 겨냥한다.

MOFCOM은 조사 대상 제품을 외국 시스템 소프트웨어가 포함된, 인쇄 또는 복사 기능을 갖춘 수입 사무기기로 규정했다. 이 범주에는 프린터, 복합기, 다기능 장치가 포함될 수 있다.

발표문은 외국 시스템 소프트웨어를 외국 개인 또는 법인이 개발, 시험, 유지보수한 드라이버 소프트웨어나 임베디드 소프트웨어로 정의한다. 임베디드 소프트웨어는 장치 내부에 저장되어 핵심 작동을 제어하는 코드다.

이 정의가 중요한 이유는 기기가 명시된 범위에 포함되기 위해 외국 브랜드를 표시할 필요가 없기 때문이다. 소프트웨어 개발과 유지보수 관계는 기업, 공급업체, 국경을 넘나들 수 있다.

발표문은 Canon, Ricoh, Konica Minolta, Xerox, HP, Brother, Epson 또는 다른 제조업체를 지명하지 않는다. 또한 특정 제품에 취약점이나 숨겨진 기능이 포함됐다고 비난하지도 않는다.

따라서 이번 조치를 특정 공급업체에 대한 판단으로 취급하는 것은 공개된 증거를 넘어서는 해석이다. 상무부는 안보 판결이 아닌 조사를 발표했다.

MOFCOM은 예비 정보에 따르면 대상 장비가 대외무역과 연계된 국가안보 이익에 영향을 미칠 수 있다고 밝혔다. 다만 해당 예비 정보는 공개하지 않았고, 구체적 사건도 설명하지 않았다.

조사는 2026년 8월 5일 시작됐다. 정부는 특별한 상황에서 기간을 연장할 수 있지만, 개시 발표 후 12개월 이내에 마무리돼야 한다.

이해관계자는 공고일부터 30일 이내에 개시 결정과 조사 절차에 대한 서면 의견을 제출할 수 있다. 이 제출 기간은 제조사, 수입업체, 업계 단체 및 기타 영향을 받는 당사자에게 초기 대응 기회를 제공한다.

상무부는 서면 설문, 청문회, 현장 조사, 위탁 연구를 활용할 수 있다. 이후 조사 결과를 바탕으로 조사 보고서를 발행하거나 처리 결정을 내릴 수 있다.

조사는 일곱 가지 광범위한 영역을 포괄한다. 여기에는 수입 양상, 국가안보 영향, 국내 수요, 해외 의존도, 중국 산업의 현황이 포함된다.

조사관은 국내 기업이 현지 수요와 보안 요건을 충족할 수 있는지도 평가할 수 있다. 외국 정부 정책과 그 밖의 무역 관련 안보 요인도 범위에 포함된다.

이처럼 광범위한 범위는 조사 과정이 소프트웨어 취약점 이상을 검토할 수 있음을 의미한다. 시장 집중도, 업데이트 통제, 유지보수 접근 권한, 공급 연속성, 중국의 수입 시스템 대체 역량까지 고려할 수 있다.

발표문은 제조업체가 통과해야 할 시험 기준을 명시하지 않는다. 허용 가능한 소프트웨어 개발 지역, 소스코드 제공 방식, 감사 기준, 데이터 처리 통제도 제시하지 않았다.

또한 “외국 시스템 소프트웨어”의 실질적 해석도 열어 두고 있다. 한 장치가 여러 공급업체의 펌웨어를 포함하면서 별도의 지역 팀이 유지보수하는 드라이버에 의존할 수 있다.

조사관은 이러한 혼합형 구조가 정의에 어떻게 부합하는지 판단해야 한다. 그 해석에 따라 조사가 협소하게 유지될지, 수입 사무기기 시장의 상당 부분으로 확대될지가 결정될 수 있다.

조사와 제한 조치의 구분은 핵심적이다. 조달팀은 설치된 장비가 조사 대상 범주에 해당한다는 이유만으로 금지됐다고 가정해서는 안 된다.

동시에 공식 조사는 위험 계산을 바꾼다. 다년간 구매를 진행하는 구매자는 향후 조사 결과가 적격성, 지원 요건, 승인된 구성에 변화를 줄 수 있는지 고려해야 한다.

네트워크형 사무기기가 안보 문제를 만드는 이유

현대의 복합기는 문서를 처리하고, 데이터를 저장하며, 펌웨어를 실행하고, 외부 시스템과 통신하는 네트워크 연결 컴퓨터다.

프린터는 눈에 보이는 출력물이 여전히 종이라는 이유로 간과하기 쉽다. 내부적으로 다수의 기업용 모델에는 프로세서, 저장장치, 운영 환경, 네트워크 서비스, 관리 인터페이스, 원격 관리 기능이 포함된다.

다기능 장치는 기밀 계약서를 수신하고, 신분증을 스캔하며, 대기 중인 작업을 저장하고, 직원을 인증하고, 디렉터리에 연결하며, 파일을 이메일이나 클라우드 대상으로 전송할 수 있다.

이러한 기능은 장치를 조직의 정보시스템 일부로 만든다. 그 위험은 소프트웨어 설계, 구성, 네트워크 배치, 신원 통제, 업데이트 관행, 공급업체 지원에 따라 달라진다.

외국 소프트웨어의 존재 자체가 악의적 활동을 입증하는 것은 아니다. 소프트웨어의 출처는 한 가지 요인일 뿐이며, 현지에서 개발된 소프트웨어에도 결함이나 안전하지 않은 기본 설정이 있을 수 있다.

그러나 외국의 유지보수는 직접적인 보증을 추구하는 국가에 거버넌스 문제를 제기할 수 있다. 당국은 누가 업데이트에 서명하고, 코드를 검사하며, 텔레메트리에 접근하고, 인증서를 발급하거나 지원을 중단할 수 있는지 물을 수 있다.

펌웨어는 저수준 장치 동작을 제어하기 때문에 특히 중요하다. 손상된 펌웨어는 일반 애플리케이션 아래에서 지속될 수 있으며 관리자가 검사하기도 어렵다.

미국 국립표준기술연구소는 펌웨어 복원력 지침에서 세 가지 핵심 목표를 설명한다. 무단 변경 방지, 변경 탐지, 안전한 복구다.

이 원칙은 수입 프린터에 대한 증거가 아니다. 이는 정부와 기업 구매자가 임베디드 코드를 공급망 보안의 일부로 점점 더 취급하는 이유를 보여준다.

네트워크 노출은 또 다른 층위를 더한다. 프린터는 웹 관리, 무선 연결, 파일 전송 프로토콜, 원격 진단, 자동 업데이트를 지원할 수 있다.

각 서비스는 잠재적 가치와 잠재적 공격 표면을 동시에 만든다. 공격 표면은 공격자가 악용을 시도할 수 있는 인터페이스와 기능의 집합이다.

NIST는 연결 기기가 만드는 위험을 설명할 때 사무용 프린터를 구체적으로 사용했다. IoT 위험 지침은 조직이 장치를 네트워크에 연결하기 전에 사이버 보안과 개인정보 보호를 평가하라고 권고한다.

실질적 위험은 크게 달라진다. 분리된 네트워크에서 안전하게 구성된 장치는 오래된 펌웨어와 기본 자격 증명을 사용하는 인터넷 노출 장치와 다른 위험 프로필을 보인다.

네트워크 세분화는 장치를 통신 경로가 제한된 분리 네트워크 구역에 배치한다. 조직이 모든 구성 요소를 완전히 신뢰하지 않아도 손상된 프린터가 초래하는 피해를 줄일 수 있다.

접근 통제, 암호화된 관리, 서명된 업데이트, 비활성화된 레거시 프로토콜, 문서 보존 설정은 추가적인 보호 장치를 제공한다. 조달 규정은 이러한 기능에 대한 증거를 요구할 수 있다.

중국의 조사는 이러한 기술적 점검 목록보다 더 광범위해 보인다. MOFCOM은 국가 수요를 충족할 국내 산업의 역량과 함께 외국 상품, 기술, 서비스에 대한 의존도를 평가할 수 있다.

이는 서로 겹치는 두 가지 질문을 만든다. 첫 번째는 특정 장치가 안전하게 설계되고 운영되는지 묻는다.

두 번째는 중국이 정부, 기업, 연구기관 및 기타 민감한 환경 전반에서 사용되는 장비에 외국 통제 소프트웨어에 의존하는 것을 수용하는지 묻는다.

제조업체는 첫 번째 시험에서 좋은 성과를 내고도 두 번째 문제로 압박을 받을 수 있다. 강력한 제품 보안은 업데이트 권한, 관할권, 공급 중단에 대한 우려를 없애지 못한다.

반대로 국내 생산이 자동으로 보안을 입증하는 것도 아니다. 신뢰할 수 있는 정책이라면 여전히 모든 공급업체에 걸쳐 테스트, 취약점 관리, 접근 통제, 투명한 유지보수를 요구해야 한다.

조사의 궁극적 가치는 주로 출처에 기반한 가정과 측정 가능한 기술적 위험을 구분하는지에 달려 있다. 개시 발표문은 당국이 그 구분을 어떻게 할지 밝히지 않는다.

외국 소프트웨어 통제와 검증 가능한 장치 보안의 대립

결정적 쟁점은 중국이 측정 가능한 통제를 평가할지, 아니면 외국의 소프트웨어 통제 자체를 용납할 수 없는 의존으로 취급할지다.

위험 기반 절차는 장치 아키텍처, 데이터 흐름, 업데이트 서명, 취약점 처리, 원격 접근, 소프트웨어 구성 요소, 공급업체 감독을 검토할 것이다. 또한 제한 조치를 증거와 연결할 것이다.

출처 기반 절차는 소프트웨어를 개발하거나 유지보수하는 주체에 더 큰 비중을 둔다. 이 접근 방식은 의존도를 낮출 수 있지만, 개별 장치의 보안을 측정하는 방식으로는 덜 정밀하다.

MOFCOM의 발표문은 두 접근 방식을 모두 열어 두고 있다. 발표문은 국가안보 영향, 외국 기술 의존, 국내 산업, 외국 정부 조치를 명시적으로 포괄한다.

이것이 조사의 핵심 긴장이다. 보안 보증과 공급망 자율성은 겹치지만, 동일한 목표는 아니다.

제조업체는 기술적 증거로 보증 관련 우려에 대응할 수 있다. 소프트웨어 자재명세서, 업데이트 메커니즘, 암호화, 접근 통제, 텔레메트리 작동 방식, 취약점 대응 절차를 문서화할 수 있다.

소프트웨어 자재명세서는 소프트웨어 제품에 사용된 구성 요소의 목록이다. 이는 공유 종속성에서 취약점이 발생했을 때 고객이 영향을 받은 시스템을 식별하도록 돕는다.

공급업체는 현지 관리형 업데이트 인프라, 독립 테스트, 데이터 현지화 통제, 제한된 원격 관리도 제공할 수 있다. 중국 당국이 이러한 조치를 충분하다고 볼지는 아직 알려지지 않았다.

의존성 문제는 테스트만으로 해결하기 더 어렵다. 당국이 외국의 유지보수 권한 자체를 본질적인 위험으로 간주한다면, 양호한 보안 평가만으로는 문제가 해결되지 않을 수 있다.

따라서 이번 조사는 글로벌 제조업체들에 이례적으로 상세한 수준의 개발 체인 파악을 요구한다. 한 국가에서 조립된 기기에도 여러 다른 국가에서 유지관리되는 펌웨어 모듈이 포함될 수 있다.

드라이버는 또 다른 복잡성을 만든다. 프린터 드라이버는 운영체제와 기기를 연결하고, 애플리케이션 요청을 기기가 이해하는 명령으로 변환한다.

드라이버는 운영체제 채널, 기업 관리 도구 또는 공급업체 웹사이트를 통해 업데이트되는 경우가 많다. 드라이버의 보안 및 유지관리 체인은 프린터 내부의 임베디드 소프트웨어와 다를 수 있다.

조사는 궁극적으로 이러한 계층을 구분할 수 있다. 발표문에서 드라이버와 임베디드 코드를 모두 명시적으로 언급했기 때문에, 이를 함께 묶을 수도 있다.

기업 구매자들은 이 구분이 명확해질 필요가 있다. 운영체제 드라이버를 교체하는 일은 독점 임베디드 펌웨어나 전체 기기군을 교체하는 것보다 훨씬 쉬울 수 있다.

외국 공급업체들은 모회사가 절차를 통제하는 경우 현지 테스트가 외국 테스트로 간주되는지도 알아야 한다. 이는 합작법인, 계약업체, 제3자 부품 공급업체에도 동일하게 적용되는 질문이다.

MOFCOM이 설문지나 절차 자료를 공개하기 전까지 단정적인 답변은 추측에 불과하다. 최초 문서는 조사의 목적지를 설명할 뿐, 세부 평가 체계는 제시하지 않는다.

보안 논쟁에는 운영 측면도 있다. 공급업체들은 제품 수명 전반에 걸쳐 패치, 호환성 수정, 기기군 관리 도구 및 기술 지원을 제공한다.

외부 의존도를 줄이면 정책 통제력은 높아질 수 있지만, 성급한 교체는 새로운 위험을 만들 수 있다. 익숙하지 않은 제품, 서두른 마이그레이션, 분절된 지원 체계는 전환 기간의 보안을 약화시킬 수 있다.

따라서 조달팀은 연속성과 현지화 사이의 절충을 마주한다. 아직 작성되지 않은 규정에 대비하면서 현재 운영을 보호해야 한다.

신중한 대응은 즉각적인 교체보다 자산 목록 작성에서 시작한다. 조직은 보유한 수입 기기, 각 기기가 사용하는 소프트웨어, 그리고 해당 기기가 연결된 위치를 파악해야 한다.

또한 업데이트 출처, 지원 종료일, 원격 관리 설정, 문서 저장 방식 및 민감한 업무 흐름도 식별해야 한다. 이 정보는 향후 어떤 정책이 도입되더라도 보안 관리에 도움이 된다.

NIST의 현행 보호 정보 지침은 프린터, 스캐너, 복합기를 구성 가능한 시스템 구성요소로 본다. 해당 보안 통제는 제한적인 설정과 적시의 소프트웨어 또는 펌웨어 업데이트를 강조한다.

이러한 통제는 중요한 점을 보여준다. 규제 당국이 원산지가 추가적인 국가 안보 우려를 초래하는지 결정하기 전에도, 기기 위험은 아키텍처와 관리를 통해 줄일 수 있다.

글로벌 공급업체들은 인증서 이상의 자료를 요구받을 가능성에 대비해야 한다. 당국은 업데이트가 어떻게 생성·승인·배포·기록·철회되는지를 보여주는 운영 증거를 요구할 수 있다.

또한 기기가 중국 외부의 서버에 접속하는지, 어떤 데이터가 네트워크를 떠나는지, 누가 진단 정보에 접근할 수 있는지도 물을 수 있다. 이러한 요청은 아직 공개적으로 확인된 바 없다.

최종 정책은 문서 요건부터 테스트, 조달 조건, 현지화 의무, 수입 제한까지 다양할 수 있다. 발표문은 현재 중국이 그 어느 결과에도 확정적으로 나아간다고 밝히지 않았다.

이번 조사는 공급업체, 수입업체, 구매자에게 서로 다른 압박을 가한다

즉각적인 부담은 불확실성이며, 영향을 받는 각 집단은 서로 다른 형태의 불확실성을 관리해야 한다.

외국 제조업체에 첫 번째 과제는 범위다. 어떤 모델, 소프트웨어 패키지, 서비스 계약, 공급망 파트너가 조사 대상에 포함될 수 있는지 판단해야 한다.

두 번째 과제는 증거다. 공급업체들은 개발, 테스트, 유지관리, 데이터 흐름, 원격 접근, 업데이트 거버넌스를 다루는 중국어 기술 기록을 준비해야 할 수 있다.

프린터를 단순한 가전기기로 여기는 기업은 이 기록을 신속히 마련하는 데 어려움을 겪을 수 있다. 대형 기업용 공급업체는 보다 성숙한 보안 문서를 갖추고 있을 가능성이 높지만, 품질은 제품별로 다르다.

세 번째 과제는 제품 계획이다. 제조업체들은 조사가 끝나기 전에 소프트웨어 체계를 재설계할지, 더 명확한 요건을 기다릴지 결정해야 한다.

너무 이른 대응은 규제 당국을 만족시키지 못한 채 비용만 높일 수 있다. 너무 오래 기다리면 중국이 기술 또는 조달 조건을 부과할 경우 해당 모델이 준비되지 못할 수 있다.

수입업체는 해외 공급업체와 중국 시장을 연결하기 때문에 별도의 노출을 안고 있다. 이들은 신고 절차를 조율하고, 설문에 답하며, 기록을 보존하고, 제품 구성을 설명해야 할 수 있다.

이들은 상업적 불확실성에도 직면한다. 공식적인 제한이 존재하기 전에도 고객은 구매를 미루거나 계약상 보호장치를 요구하거나 국내 대체재를 요청할 수 있다.

중국의 기업 및 공공 부문 구매자들은 운영 연속성에 관한 문제를 마주한다. 프린터 기기군은 수년간 운용될 수 있으며 소모품, 교체 부품, 드라이버, 관리 소프트웨어에 의존한다.

따라서 조달 결정은 장기적인 지원 관계를 만든다. 외국 유지관리가 포함된 조사는 초기 하드웨어 구매 이상의 영향을 줄 수 있다.

구매자들은 계약에서 보안 업데이트 의무, 감사 지원, 데이터 처리, 원격 접근 및 규제 변경 조항을 검토해야 한다. 또한 브랜드의 국적을 제품 평가의 대체 수단으로 여겨서는 안 된다.

국내 제조업체는 관심을 얻을 수 있지만, 더 높은 기대에도 직면한다. 국가 안보가 조달 기준이 된다면 현지 공급업체는 정책적 선호에 의존하기보다 안전한 엔지니어링을 입증해야 한다.

이들은 서명된 업데이트, 취약점 공개, 접근 로그 기록, 강화된 기본 설정, 신뢰할 수 있는 패치 배포를 보여줘야 할 수 있다. 고객들은 여전히 기존 시스템 및 문서 업무 흐름과의 상호운용성을 필요로 한다.

이러한 압박은 소프트웨어 거버넌스를 중심으로 경쟁 구도를 바꿀 수 있다. 인쇄 품질, 속도, 소모품 경제성은 여전히 중요하지만, 구매자들은 코드 소유권과 유지관리 투명성에 더 큰 비중을 둘 수 있다.

공개 문서만으로는 시장 영향을 아직 측정할 수 없다. MOFCOM은 수입액, 공급업체 점유율, 제품 수량 또는 참여 기업 목록을 공개하지 않았다.

이번 조사가 모든 외국산 프린터에 영향을 미친다는 주장은 시기상조다. 정부 조달이나 기밀 정보를 다루는 기기만을 겨냥한다는 주장도 마찬가지다.

공개된 범주는 광범위하지만, 최종 구제 조치는 더 좁을 수 있다. 조사관들은 배치 환경, 기능, 소프트웨어 아키텍처 또는 위험 통제에 따라 제품을 구분할 수 있다.

현재 설치된 기기를 반드시 분리해야 한다는 공개적 징후도 없다. 조직은 공식 지침을 주시하면서 일반적인 취약점 관리를 계속해야 한다.

이는 지원되는 펌웨어 업데이트, 기본 자격 증명 변경, 관리 접근 제한, 미사용 서비스 비활성화, 그리고 실용적인 경우 프린터를 민감한 시스템과 분리하는 것을 의미한다.

보안팀은 기기가 문서 이미지나 작업 이력을 보관하는지 확인해야 한다. 저장 정책은 기기를 정비하거나 재배치·반납·폐기할 때 중요할 수 있다.

클라우드 인쇄는 문서 처리를 로컬 네트워크 밖으로 이동시킬 수 있으므로 별도의 검토가 필요하다. 구매자들은 데이터가 어디로 이동하는지, 어떤 서비스 약관이 이를 규율하는지 파악해야 한다.

원격 진단도 주의가 필요하다. 이는 신뢰성을 높일 수 있지만, 관리되지 않는 공급업체 접근은 엄격한 보안 또는 현지화 요건과 충돌할 수 있다.

이러한 관행은 조사 결과와 관계없이 합리적이다. 정책 입안자들이 더 광범위한 무역 및 의존성 문제를 검토하는 동안, 이는 기기 자체의 위험을 다룬다.

이번 조사의 시작은 정부가 국가 안보 체계를 통해 기술 제품을 평가하는 더 큰 흐름과도 닮아 있다. 중국은 이전에 핵심 정보 인프라에 사용되는 Micron 제품을 검토했다.

중국의 사이버보안 당국은 2023년 3월 해당 검토를 시작했고, 이후 제품이 심사를 통과하지 못했다고 밝혔다. Micron 결정은 핵심 인프라 운영자에게 조달 중단을 지시했다.

법적 근거와 제품 범주는 프린터 조사와 다르다. 따라서 Micron 사례는 결과 예측이 아니라 절차적 참고 사례로 활용해야 한다.

그럼에도 이는 중국의 기술 검토가 위험 평가에서 조달상의 결과로 이어질 수 있음을 보여준다. 이 전례는 제조업체와 구매자가 이번 조사를 면밀히 지켜봐야 할 이유가 된다.

발표문이 입증하지 않는 것

이번 조사는 검토 대상 범주를 식별하지만, 취약점, 침해, 데이터 유출 또는 적대적 공급업체 행위를 공개적으로 입증하지는 않는다.

이 검증 공백은 모든 해석의 기준이 되어야 한다. MOFCOM은 예비 정보를 언급하지만, 발표문은 기술 보고서, 영향을 받은 모델, 익스플로잇 또는 문서화된 사고를 제공하지 않는다.

그러한 증거가 없으면 독자는 심각도, 확산 정도, 악용 가능성 또는 완화 방안을 평가할 수 없다. 우려가 데이터 접근, 펌웨어 무결성, 공급 중단 또는 다른 위험과 관련되는지도 판단할 수 없다.

프린터는 침해되지 않았더라도 정당한 보안 우려를 제기할 수 있다. 부실한 구성, 오래된 펌웨어, 노출된 서비스, 취약한 자격 증명은 많은 국가의 제품 전반에 걸쳐 위험을 만들 수 있다.

외국 개발은 관할권 및 의존성 문제를 추가할 수 있다. 그렇다고 소프트웨어에 악의적 행위가 포함돼 있거나 공급업체가 접근 권한을 오용했다는 사실이 자동으로 입증되는 것은 아니다.

명시된 기업이 없다는 점도 경쟁 구도에 관한 결론을 제한한다. 이번 조사가 특정 제조업체를 중국 시장에서 배제하도록 설계됐다는 공개 증거는 없다.

발표문이 광범위한 현지화 의무를 보장하는 것도 아니다. 조사는 업계 제출 자료를 검토한 뒤 더 제한적인 보고, 테스트 또는 조달 요건을 도출할 수 있다.

또 다른 불확실성은 비례성에 관한 것이다. 국가 안보 규정은 위험을 줄일 수 있지만, 전환 비용, 호환성 문제, 지원 중단도 초래할 수 있다.

당국은 제안된 대응이 식별된 위험을 해결하는지 검토해야 한다. 기술적 증거로 구분이 가능할 경우, 제품별 통제가 포괄적인 원산지 규정보다 더 정밀할 수 있다.

투명성은 중요할 것이다. 제조업체는 제기된 주장에 답할 수 있을 만큼의 세부 정보를 필요로 하며, 구매자는 이를 조달 결정으로 전환할 수 있는 기준을 필요로 한다.

테스트 방법에 관한 공개 요약도 신뢰를 높일 수 있다. 보안상 이유로 완전한 공개가 불가능할 수는 있지만, 설명 없는 결론은 독립적인 평가를 어렵게 만들 수 있다.

12개월의 조사 기간은 증거 수집의 여지를 제공한다. 동시에 조달 주기와 제품 로드맵 전반에 걸쳐 불확실성을 연장한다.

영향을 받는 기업들은 민감한 제출 자료에 대해 비공개 처리를 요청할 수 있다. MOFCOM은 공개가 심각한 부정적 영향을 초래할 경우 당사자가 비밀유지를 요청할 수 있도록 한다.

요청이 수용되면 해당 당사자는 의미 있는 비기밀 요약을 제공해야 한다. 이 메커니즘은 독점적 보안 세부 정보를 노출하지 않으면서도 대중에게 일부 정보를 제공할 수 있다.

그러나 조사 기간 동안 공개될 유용한 자료의 양은 여전히 알 수 없다. 중요한 기술 증거는 비공개로 유지될 수 있다.

이 절차는 수입 제품을 대체할 중국의 국내 역량도 검토할 수 있다. 이 요소는 경제적으로 관련이 있지만, 그 자체만으로 보안 결함을 입증할 수는 없다.

신뢰할 수 있는 최종 결정은 산업 역량과 기기 수준의 위험을 구분해야 한다. 명확한 논리 없이 이 문제들을 섞으면 보안 기준을 평가하기가 더 어려워질 것이다.

외국 정부 정책도 열거된 조사 대상 중 하나다. 이에 따라 중국의 제품 및 기술 접근에 영향을 미치는 외부 규제나 전략적 조치도 조사에서 검토할 수 있다.

이 조사는 기기 자체가 안전하더라도 공급망 회복력을 다룰 수 있다. 신뢰할 수 있는 제품이라도 수출 통제, 제재 또는 공급업체의 결정으로 이용할 수 없게 될 수 있다.

이는 이번 사안이 취약점 테스트보다 더 큰 범위에 있다는 점을 보여준다. 중국은 기술 자체의 보안과 해당 기술에 대한 지속적 접근의 보안을 모두 검토하고 있다.

이들 목표는 서로 다른 대응책으로 이어질 수 있다. 기술적 위험에는 테스트, 패치, 망 분리 또는 원격 접근 제한이 필요할 수 있다.

공급 위험에는 조달처 다변화, 현지 유지보수, 대체 제품 또는 국내 개발이 필요할 수 있다. 정부는 어느 우려에 더 큰 비중을 둘지는 밝히지 않았다.

독자들은 결과가 이미 정해졌다는 주장을 경계해야 한다. 현재 확보된 가장 강력한 근거는 공식 조사 개시 공고이며, 이는 아직 진행 중인 절차를 설명할 뿐이다.

중국이 결정을 내리기 전에 주목할 점

향후 세 가지 신호는 이것이 제한적인 보안 검토에 그칠지, 더 광범위한 기술 현지화 조치로 확대될지를 보여줄 것이다.

첫 번째 신호는 조사 설문지 또는 기타 절차 지침이다. 질문 내용은 MOFCOM이 어떤 증거를 관련성 있는 것으로 보는지 보여줄 것이다.

펌웨어 서명, 원격 접근, 텔레메트리, 취약점, 문서 저장에 초점을 둔 설문지는 기술 보안 평가를 시사한다. 소유 구조와 개발 위치에 관한 상세한 요청은 의존성 우려를 가리킬 수 있다.

وزارة가 시장 점유율, 국내 대체, 외국 정부 정책을 광범위하게 묻는다면 산업 회복력이 핵심이 될 것이다. 이런 주제들 사이의 비중은 최초 헤드라인보다 이번 사안을 더 명확하게 규정할 것이다.

두 번째 신호는 참여 당사자의 구성이다. 주요 제조업체, 수입업체, 산업 협회 또는 기업 구매자의 명시된 제출 자료는 시장 영향 범위를 보여줄 것이다.

기업의 답변은 어떤 제품이 조사 대상에 포함된다고 기업들이 보는지도 명확히 할 수 있다. 기밀 협의가 이뤄질 수 있으므로 침묵이 제외를 입증하는 것은 아니다.

현지 테스트, 현지화된 유지보수, 소스 코드 검토, 제한된 클라우드 연결 또는 중국이 통제하는 업데이트 서비스와 관련된 공개 약속에 주목할 필요가 있다. 이러한 조치는 공급업체들이 소프트웨어 거버넌스가 결과를 좌우할 것으로 예상하고 있음을 시사할 수 있다.

세 번째 신호는 임시 조달 지침 또는 최종 처리 결정이다. 새로운 구매 조건은 포괄적인 수입 제한 이전에 시장에 영향을 줄 수 있다.

제품 인증, 소프트웨어 공개, 승인된 업데이트 채널 또는 배포 제한은 규정 준수 경로를 만들 수 있다. 광범위한 금지는 원산지와 의존성이 기기별 완화 조치보다 더 크게 작용했음을 시사할 것이다.

조사의 예정 종료일은 연장되지 않는 한 2027년 8월이다. 결정은 그보다 일찍 나올 수 있지만, 공고에는 중간 일정이 제시되지 않았다.

조직은 공식 사건 공고, 무역구제조사국, 그리고 공급업체의 규정 준수 관련 커뮤니케이션을 모니터링해야 한다.

또한 지금 정확한 기기 인벤토리를 구축해야 한다. 모델 번호, 펌웨어 버전, 드라이버, 네트워크 연결, 업데이트 출처, 지원 종료일 및 배포 환경을 기록해야 한다.

이 인벤토리는 기술 보안 업무와 이후의 규제 대응을 뒷받침한다. 또한 어떤 장비에 외국에서 유지관리되는 소프트웨어가 포함돼 있는지에 대한 불완전한 가정을 바탕으로 성급한 결정을 내리는 일을 막을 수 있다.

보안팀은 대기 기간 동안 망 분리를 테스트하고, 사용하지 않는 프로토콜을 제거하며, 관리 권한을 제한하고, 저장 문서 설정을 검토할 수 있다. 조달팀은 신규 계약에서 더 명확한 소프트웨어 거버넌스 조건을 요구할 수 있다.

외국 공급업체는 일반적인 보장과 검증 가능한 통제를 구분하는 증거를 준비해야 한다. 구매자가 보안 논리를 진지하게 받아들인다면 중국 공급업체에도 같은 기준이 적용될 것으로 예상해야 한다.

RSSHub의 36Kr 유통은 많은 독자에게 이 이야기를 처음 알렸을 수 있지만, 피드의 반복만으로 결정적인 질문에 답할 수는 없다. 위험을 규정할 수 있는 것은 공식 절차와 기술적 증거뿐이다.

중국이 공급업체가 신뢰할 수 있는 소프트웨어를 입증할 수 있는 기준을 공개할 것인가, 아니면 외국의 유지관리 자체가 결격 요인이 될 것인가? 그 답은 이것이 보안 규정 준수 사안인지, 아니면 사무용 기술 조달의 지속적인 변화인지 결정할 것이다.