국토안보부 데이터 유출로 4만 1,000명 이상 인사 기록 노출된 것으로 전해져

국토안보부 데이터 유출로 직원과 계약업체 관계자 4만 1,000명 이상의 정보가 노출된 것으로 알려지면서, 공적 책임성과 인력 안전이 충돌하는 양상이 나타나고 있다. 10월 28일 보도에 따르면, Department of Peace를 자칭하는 단체가 해당 기록을 언론사들에 제공했다. 공개된 것으로 전해진 자료에는 ICE로 알려진 Immigration and Customs Enforcement와 CBP인 Customs and Border Protection 관련 인물들이 포함돼 있다.

핵심 쟁점은 이름의 수를 넘어선다. 조직 기록은 개인을 상사, 사무실, 내부 그룹과 연결할 수 있다. 이런 연결은 취재 단서를 제공하는 동시에 신중함이 요구되는 업무를 맡은 사람들에게 위험을 초래할 수 있다. 다만 이번 공개만으로 명단의 모든 사람이 여전히 재직 중이거나 기록된 모든 배치 정보가 정확하다는 사실이 입증되지는 않는다.

상반된 입장은 이미 분명하다. 투명성 옹호자들은 정부 운영을 조사할 기회로 보는 반면, DHS는 자사 인력에 대한 위협을 강조해 왔다. 한편, 주장된 기술적 유출 경로는 여전히 논쟁의 대상이다. 이 사건을 이해하려면 공개된 정보, 해커들의 설명, 그리고 독립적 증거가 더 필요한 결론을 구분해야 한다.

국토안보부 데이터 유출에 실제로 포함된 내용

보도된 공개 자료는 인사 정보와 조직적 맥락을 결합하고 있어, 단순한 연락처 목록보다 더 광범위한 의미를 갖는다.

Unicorn Riot는 Icepick으로 불린 이번 공개 자료에 인사 기록 집계가 41,191건 포함됐다고 보도했다. 세부 내역에는 CBP 항목 21,329건, ICE 항목 6,598건, Homeland Security Investigations로 별도 분류된 항목 3,421건이 포함됐다. 이 수사 부서는 ICE 소속이므로, 총계를 비교할 때 분류 기준이 중요하다.

이는 현재 노출된 직원 수를 독립적으로 확정한 수치가 아니라, 보도된 데이터베이스 건수다. 디렉터리에는 계약업체 관계자, 전직 직원, 오래된 배치 정보 또는 중복된 신원이 포함될 수 있다. 기록을 정리하고 통합하는 과정에서도 추가 침입이 없었더라도 언론사의 집계가 달라질 수 있다.

이러한 구분은 헤드라인 수치를 신중하게 다뤄야 하는 이유를 보여 준다. 기록은 시스템 내 하나의 항목을 뜻한다. 사람은 여러 항목에 정보가 나타날 수 있는 개인을 의미한다. 특히 자료가 서로 다른 기간을 아우를 경우, 현재 재직 여부는 별도의 확인이 필요하다.

보도는 그룹 멤버십과 감독 관계도 설명한다. 그룹 멤버십은 계정이 흔히 접근 권한이나 커뮤니케이션을 정리하는 데 사용되는 관리상 집합에 포함돼 있음을 의미한다. 이것만으로 그 사람이 무엇을 했는지, 어떤 정보를 열람했는지, 어떤 작전에 참여했는지가 자동으로 입증되지는 않는다.

예를 들어 애플리케이션과 연결된 그룹은 해당 애플리케이션 사용 자격을 의미할 수 있다. 실제 사용 여부는 애플리케이션 기록이나 기타 인증된 문서 등 추가 증거가 있어야 확인할 수 있다. 이런 범주들을 동일한 것으로 취급하면 취재 단서가 근거 없는 비난으로 바뀔 수 있다.

사무실 정보에도 같은 주의가 필요하다. 관리상 배치 정보는 특정인이 특정 날짜에 그 장소에서 근무했다는 사실을 입증하지 않는다. 또한 해당 사무실이 더 광범위한 작전을 지원했다는 이유만으로, 어떤 현장 상황에 관여했음을 입증할 수도 없다.

공개 날짜도 같은 수준의 정확성이 필요하다. 10월 28일은 보도와 공개 활동을 통해 이 사건이 대중에게 알려진 시점을 가리킨다. 그 자체로 무단 접근이 언제 시작됐는지, 얼마나 오래 지속됐는지, 각 기록이 언제 수집됐는지를 확정하지는 않는다.

따라서 국토안보부 데이터 유출은 엄격한 증거상의 한계를 지닌 중요한 취재 기회를 제시한다. 연구자들은 이번 공개 전체를 현재 진행 중인 운영에 대한 검증된 설명으로 취급하지 않으면서도 조직 관계를 조사할 수 있다.

즉각적인 변화는 대중의 접근 가능성이다. 이전에는 내부 행정을 위해 정리됐던 정보가 외부 해석에 이용될 수 있게 된 것으로 전해진다. 모든 항목의 정확성은 여전히 확인되지 않았지만, 그 불확실성이 공개의 결과를 없애지는 않는다.

영향을 받은 사람들에게는 오래된 기록도 관심을 끌 수 있다. 조사자에게는 진본 기록도 잘못된 결론을 뒷받침할 수 있다. 두 우려 모두 검증 자체가 이 이야기의 일부가 되게 한다.

DHS, 인력 보호와 노출 경위 설명 압박에 직면

DHS는 잠재적인 인력 위험에 대응하는 동시에, 자체 대응이 책임 있게 평가될 수 있을 만큼 충분한 정보를 제공해야 한다.

DHS는 잠재적 침해를 인지하고 있음을 인정했다. 별도로 전 DHS 고위 관리 John Sandweg는 직원 안전 우려 관련 보도에서 인력과 수사에 대한 위험을 경고했다. 이런 발언은 이번 공개에 관한 모든 주장을 확인하지는 않으면서도, 기관의 보안 우려를 보여 준다.

압박은 집단마다 다른 방식으로 작용한다. 직원들은 자신의 정보가 포함됐는지, 고용주가 무엇을 확인했는지 이해해야 한다. 보안팀은 접근이 여전히 가능한지 판단해야 한다. 부처 지도부는 추가 민감 정보를 공개하지 않으면서 무슨 일이 있었는지 설명해야 한다.

이 책임들은 겹치지만 서로 다른 답을 요구한다. 직원 보호에 관한 공개 성명은 침입 경로를 설명하지 않는다. 차단 조치에 관한 기술적 성명은 노출된 배치 정보가 정확한지 직원에게 알려주지 않는다.

효과적인 대응은 관련된 정보 범주를 구분해야 한다. 업무 연락처, 개인 연락처, 접근 기록, 운영상 배치 정보는 서로 다른 함의를 지닌다. “직원 데이터”와 같은 포괄적 표현은 이런 차이를 가릴 수 있다.

상사나 내부 팀을 설득력 있게 언급하는 가상의 사칭 시도를 생각해 볼 수 있다. 수신자는 그 세부 사항을 알아보고 요청이 정당하다고 여길 수 있다. 이는 조직 정보 노출의 가능한 결과를 보여 주는 사례일 뿐, 이 사건에서 실제로 그런 시도가 발생했다는 증거는 아니다.

같은 정보는 대응 기간의 소통을 복잡하게 만들 수도 있다. 예상치 못한 메시지를 받는 직원들은 공식 안내와 외부 연락을 구분할 믿을 만한 방법이 필요하다. 불명확한 통지 관행은 사람들이 그 판단을 스스로 내리게 만들 것이다.

대외 소통도 또 다른 과제다. DHS는 영향을 받은 개인을 식별하지 않으면서 조사 범위를 설명할 수 있다. 또한 불확실성을 포괄적인 대응으로 삼기보다, 확인된 사실과 검토 중인 주장을 구분할 수 있다.

부처의 인력 보호 논리는 그 자체로 검토받을 가치가 있다. 위험에 대한 주장은 가능한 경우 우려의 일반적 성격을 밝혀야 한다. 그렇다고 해서 사건 보도가 공익에 부합하는지 여부가 자동으로 결정돼서는 안 된다.

마찬가지로 이민 단속에 대한 비판이 개인 노출 문제를 해결하지는 않는다. 누군가가 디렉터리에 등장한다고 해서 논쟁적인 정책이나 행동에 대한 책임이 입증되는 것은 아니다. 제도적 책임성에는 결정, 권한, 행위를 연결하는 증거가 필요하다.

DHS 인사 정보 침해는 이런 요구를 동시에 제기한다. 이 기관은 직원 보호에 관한 즉각적인 질문과 정보 관리에 관한 장기적인 질문에 직면해 있다. 한쪽에 답한다고 해서 다른 쪽의 문제가 사라지는 것은 아니다.

대응의 실질적 기준은 구체성일 것이다. 독자들은 영향을 받은 시스템, 확인된 정보 범주, 시정 조치에 대한 명확한 설명을 살펴봐야 한다. 일반적인 보장만으로는 근본 문제가 바뀌었는지 판단할 근거가 거의 없다.

공적 책임성과 개인 노출은 서로 다른 편집 판단이다

정부 감독에 대한 공익은 인사 기록 보관소의 모든 세부 정보를 공개하는 일이 똑같이 유용하다는 뜻은 아니다.

CyberScoop은 인사 검증 보도에서 현직 사이버보안 기관 직원과 전직 지도부 인사를 함께 확인했다고 밝혔다. 또한 투명성 옹호자 Ryan Shapiro가 연락처 정보가 연구자들이 더 정확한 정보공개 청구를 작성하는 데 도움이 된다고 주장했다고 보도했다. 이는 이번 공개가 지닌 것으로 주장되는 조사상 가치를 구체적으로 설명한다.

특정 정책에 관한 커뮤니케이션을 찾는 연구자는 관련 사무실과 의사결정자를 식별해야 한다. 조직 관계는 그 조사의 범위를 좁히는 데 도움이 될 수 있다. 일반적인 질문을 명확히 규정된 책임과 연결된 요청으로 바꿀 수 있다.

그러나 그러한 관계의 가치가 연결된 모든 연락처 필드를 공개하는 가치까지 입증하는 것은 아니다. 조사는 관련 없는 개인 정보를 재현하지 않고도 누가 결정을 승인했는지 설명할 수 있다. 정보가 입수 가능해진 뒤에도 편집 판단은 여전히 필요하다.

이것이 국토안보부 데이터 유출의 핵심적인 상충 관계다. 정부 책임성은 권한과 행위에 대한 증거에서 이익을 얻는다. 광범위한 인사 정보 노출은 조사 대상 사안과의 연결을 먼저 확립하지 않은 채 많은 사람에 관한 정보를 배포한다.

이 차이는 행정 직원과 계약업체 관계자에게 특히 중요하다. 기관과의 연결이 그 기관의 단속 우선순위에 영향을 미쳤음을 보여 주지는 않는다. 시스템 내 계정의 존재는 계정 보유자의 실제 책임에 관한 보도를 대신할 수 없다.

검색 가능성은 이해관계를 바꾼다. 검색 가능한 보관소는 외부인이 정보를 빠르게 연결하도록 돕지만, 약한 연관성도 더 쉽게 퍼지게 한다. 구조가 있다는 인상은 데이터베이스 검색 결과를 실제 근거가 뒷받침하는 수준보다 더 확정적인 것처럼 보이게 할 수 있다.

예를 들어 조직도는 보고 관계를 식별하는 데 도움이 될 수 있다. 하지만 상사가 부하 직원이 취한 모든 조치를 알고 있었다는 사실을 입증할 수는 없다. 그런 결론에는 해당 행위를 다루는 문서, 증언 또는 기타 증거가 필요하다.

비슷한 구분은 수사 기술에도 적용된다. 그룹 라벨은 소프트웨어 접근에 관한 유용한 조사 방향을 시사할 수 있다. 그러나 명단에 있는 모든 사람이 해당 소프트웨어를 사용했거나, 배포를 승인했거나, 논쟁적인 수사에 참여했다는 사실을 입증할 수는 없다.

가장 강력한 책임성 보도는 기록을 활용해 더 나은 질문을 던질 것이다. 이어 독립 문서, 관련 기관의 답변, 실제 사건의 맥락을 통해 그 질문들을 검증할 것이다.

이 접근법은 정정도 강화한다. 결론이 여러 문서화된 단계에 근거하면 독자는 어느 단계가 바뀌었는지 이해할 수 있다. 결론이 단지 디렉터리 일치에만 근거하면, 신원 정정 하나로 전체 서사가 무너질 수 있다.

따라서 인력 안전과 정부 투명성은 서로 다른 수준의 결정을 요구한다. 기관은 자신의 행위를 설명해야 한다. 언론사는 특정 식별 정보가 왜 어떤 사실을 입증하는 데 필요한지 설명해야 한다.

이번 공개는 조사 가능성을 만들어 냈다. 그 가능성이 의미 있는 감독으로 이어질지는 초기 공개의 범위만이 아니라, 이후 축적되는 증거에 달려 있다.

주장된 로그인 시스템 침해는 여전히 확인되지 않았다

고객의 로그인 서비스와 관련된 주장이 서비스 제공업체의 자체 인프라가 침해되었다는 사실을 입증하지는 않는다.

CyberScoop에 따르면 평화부는 해당 기록이 Okta를 사용하는 DHS 서비스에서 나온 것이라고 밝혔다. Okta는 자사의 데이터나 시스템이 침해되었다는 증거는 없다고 말했다. 이 답변만으로는 보도된 접근 경로가 여전히 해명되지 않는다.

싱글 사인온은 사용자가 공유 인증 서비스를 통해 여러 업무 애플리케이션에 접근하도록 한다. 인증은 신원을 확인하고, 인가는 인증된 계정이 접근할 수 있는 범위를 결정한다. 두 기능 가운데 어느 하나에 관한 판단도 관련 벤더의 이름만으로는 충분하지 않으며 추가 증거가 필요하다.

비슷해 보이는 기록을 만들어 내더라도 기술적으로는 서로 다른 여러 설명이 가능하다. 조사관들은 정보가 권한 있는 계정, 관리 기능, 내보낸 파일 또는 다른 출처에서 왔는지를 확인해야 한다. 이는 조사 가능한 가설이지, 이 사건에 대한 결론은 아니다.

벤더의 인프라는 안전하게 유지되는 동안 고객 계정이 무단으로 사용될 수 있다. 반대로 고객 접근에 관한 주장만으로 특정 계정이 침해되었다고 증명되지는 않는다. 관련 증거는 실제로 어느 경계가 넘어섰는지를 식별해야 한다.

사용 가능한 권한의 범위는 최초 진입 지점만큼 중요하다. 자신의 프로필만 읽을 수 있는 계정은 광범위한 디렉터리를 내보낼 수 있는 계정과 노출 양상이 다르다. 이 차이는 침입자가 접근 권한을 얻은 뒤 무엇을 확보할 수 있는지를 결정한다.

미국 국립표준기술연구소의 제로 트러스트 아키텍처 지침은 자원 보호와 좁게 정의된 접근 권한을 강조한다. 제로 트러스트는 네트워크에 연결돼 있다는 사실만으로 충분히 신뢰하지 않고, 시스템이 접근을 평가한다는 뜻이다. 이 사례에 적용하면 이 프레임워크는 진입 통제와 인사 정보를 관리하는 권한을 구분하는 데 도움이 된다.

이것이 DHS가 특정 통제를 구현하지 못했다는 뜻은 아니다. 다만 기술적 설명이 답해야 할 질문을 제시한다. 어떤 신원이 어떤 권한으로 어떤 자원에 접근했으며, 어떤 탐지 가능한 활동이 있었는가?

디렉터리 정보도 그 자체로 자산이라는 점에서 주목할 필요가 있다. 조직은 흔히 문서, 메시지, 애플리케이션 데이터베이스에 집중한다. 그러나 기초 사건 파일에 접근할 수 없더라도 관리 관계는 기관이 어떻게 운영되는지를 드러낼 수 있다.

같은 원칙은 Okta, Microsoft Entra 또는 다른 신원 플랫폼을 평가하는 기업 구매자에게도 적용된다. 작동 방식이 검증되지 않은 사건을 브랜드 비교로 해결할 수는 없다. 의미 있는 차이는 구성된 권한, 모니터링, 관리적 보호조치, 의심스러운 활동 이후 확보할 수 있는 증거에 관한 것이다.

따라서 국토안보부 데이터 유출은 성급한 벤더 판단이 아니라 집중적인 기술 조사를 촉발해야 한다. 작동 방식을 확립하기 전에 책임을 부여하면 이후의 교훈도 신뢰하기 어려워진다.

유용한 공개는 출처 기록을 인증된 시스템 증거와 연결해야 한다. 그러한 근거가 마련되기 전까지 해커들의 설명은 주장에 머물고, 벤더의 발언도 제한된 답변에 머문다.

이제 플랫폼은 보도와 재배포를 구분해야 한다

접근 제한은 플랫폼을 통한 배포를 줄일 수 있지만, 기초 정보의 정확성, 공익성 또는 지속성을 해결하지는 못한다.

WIRED는 Bluesky가 무단으로 공유된 연락처 정보를 포함한다는 이유로 해당 아카이브로 연결되는 링크를 차단했다고 보도했다. Bluesky는 토론과 보도를 허용하기 위해 게시물은 유지했다고 밝혔다. WIRED는 또한 X의 Grok이 다른 방식으로 작동했다고 관찰하며, 대조적인 유출 데이터 관리 방식을 보여줬다.

이 선택은 분쟁에 또 하나의 기관을 더한다. 플랫폼은 링크가 개인정보를 배포하는지, 정당한 보도를 뒷받침하는지, 혹은 둘 다인지 판단해야 한다. 이 판단은 특정 조사에 대한 편집자의 평가와 다를 수 있다.

토론과 재배포의 구분은 중요하다. 뉴스 보도는 아카이브 자체를 제공하지 않고도 침해 사건을 설명할 수 있다. 게시물은 직원의 연락처 정보를 노출하지 않고도 기관을 비판할 수 있다. 관리 시스템이 공적 논의를 보존하려면 이런 차이를 고려해야 한다.

표시는 또 다른 문제를 낳는다. 목적지를 악성으로 설명하면 기술적 위협을 암시할 수 있지만, 실제 우려는 프라이버시 문제일 수 있다. 플랫폼이 이런 문제를 혼동하지 않도록 제한 사유를 충분히 명확하게 설명할 때 독자에게 도움이 된다.

프라이버시 제한이 정보의 진위를 결정하지는 않는다. 마찬가지로 작동하는 링크가 그 뒤의 자료를 검증해 주지도 않는다. 접근성과 신뢰성은 사용자가 같은 인터페이스에서 경험하더라도 별개의 문제다.

웹사이트가 접속 불가 상태가 될 때도 같은 구분이 중요하다. 장애나 삭제가 복제된 정보까지 사라졌다는 사실을 입증하지는 않는다. 누가 중단을 일으켰는지 또는 당국이 개입했는지도 증명하지 않는다.

따라서 ICE 직원 데이터 공개에서 접근 가능성은 부차적 기준으로 남아야 한다. 더 중요한 질문은 무엇이 검증됐는지, 누가 통지를 받았는지, 기관이 무단 접근을 차단했는지에 관한 것이다.

AI 어시스턴트는 추가적인 편집 계층을 만든다. 공개 보도를 요약하는 어시스턴트는 진행 중인 사건에 맥락을 제공할 수 있다. 개인 기록을 찾아내는 데 도움을 주는 어시스턴트는 두 응답이 같은 뉴스 질문에서 시작하더라도 다른 기능을 수행한다.

이 구분은 검색 및 지식 제품을 만드는 사람들에게 중요하다. 시스템은 검색된 정보의 관련성뿐 아니라 민감도와 목적도 고려해야 한다. 검색 품질만으로 특정 공개가 정당한 보도 필요를 충족하는지 결정할 수는 없다.

보안 지침은 여기서 원인을 특정하지 않으면서도 유용한 맥락을 제공한다. CISA의 피싱 저항성 인증 지침은 다중 인증에 서로 다른 인증 수단이 필요하며 일부 방식은 여전히 기만에 취약하다고 설명한다. 피싱은 정보를 얻거나 접근 권한을 확보하기 위해 기만적인 메시지나 웹사이트를 사용하는 행위다.

이 지침이 피싱이 이 사건을 일으켰다는 주장으로 바뀌어서는 안 된다. 관련성은 더 넓다. 노출된 조직 정보는 향후 사칭 시도를 더 그럴듯하게 만들 수 있고, 더 강력한 인증은 그 위험의 일부만 해결한다.

그 결과 플랫폼, 고용주, 발행자는 서로 연관되지만 다른 책임을 진다. 이들은 서로 다른 지점에서 배포, 접근, 해석을 통제한다. 어느 쪽도 단일한 표시나 성명만으로 사건 전체를 해결할 수는 없다.

세 가지 전개가 이 공개의 의미를 결정할 것이다

다음으로 의미 있는 업데이트는 노출 범위의 검증된 규모를 확립하고, 접근 경로를 설명하며, 조사 단서가 문서화된 결론으로 이어지는지를 보여줘야 한다.

첫 번째 신호는 영향을 받은 정보와 인력에 관한 DHS의 더 구체적인 설명이다. 독자는 직원과 계약자, 현재 및 과거 기록, 확인된 노출과 아직 검토 중인 항목의 구분을 살펴봐야 한다. 이런 구분은 보도된 규모를 더 의미 있게 만든다.

통지 절차는 기관이 공개적 우려를 행동으로 어떻게 옮기는지도 보여줄 것이다. 중요한 질문은 영향을 받은 사람들이 활용할 수 있는 정보를 받는지다. 일반적 경고는 부처가 자신의 기록에 대해 확인한 내용을 설명하는 것보다 명확성이 떨어진다.

DHS가 광범위한 현재 노출을 확인한다면, 이를 계속되는 인력 보호 문제로 다뤄야 한다는 근거가 강화될 것이다. 상당한 중복이나 오래된 정보가 확인된다면 일부 해석은 좁혀질 것이다. 어느 결과도 공익성 논쟁을 자동으로 종결하지는 않는다.

두 번째 신호는 시스템 증거로 뒷받침되는 기술적 설명이다. 유용한 설명은 영향을 받은 환경을 식별하고 접근이 어떻게 이뤄졌는지 기술해야 한다. 또한 고객 측 침해와 신원 제공업체 자체의 침해를 구분해야 한다.

공개 이후에도 접근이 가능했다는 증거는 차단 조치에 관한 의문을 키울 것이다. 범위가 제한된 과거의 공개였다는 증거는 다른 평가를 뒷받침할 것이다. 이런 세부 사항이 없으면 대응의 효과성에 관한 주장을 평가하기 어렵다.

시정 조치는 입증된 작동 방식에 부합해야 한다. 자격 증명을 변경하는 일은 내보내기 권한을 제한하거나 노출된 저장 위치를 수정하는 일과 다른 문제를 다룬다. 독자는 어떤 확인된 실패를 해결하는지 설명하지 않는 개선 발표를 회의적으로 봐야 한다.

세 번째 신호는 공개 자료를 토대로 이뤄지는 조사의 질이다. 투명성 옹호자들은 조직 정보가 정부의 행위를 밝혀내는 데 도움이 될 수 있다고 주장한다. 단서가 독립적으로 뒷받침된 사실, 공식 기록 또는 구체적인 감독 질문에 대한 답으로 이어질 때 이 주장은 더 강해진다.

유통되는 주장이 오래된 배치 정보나 검증되지 않은 신원 일치에 의존하면 이 주장은 약해진다. 대규모 아카이브는 위법 행위를 입증하지 않고도 관심을 끌 수 있다. 그 책임성 가치를 가늠하는 기준은 그 자료에서 발전한 증거의 질이다.

향후 몇 달 동안은 다음 신호를 이 순서대로 지켜봐야 한다. 검증된 범위, 기술적 설명, 문서화된 조사 결과다. 이들은 DHS 인사 침해의 서로 다른 부분을 다루며, 헤드라인의 수치가 유일한 중요성 척도가 되는 것을 막는다.

국토안보부 데이터 유출을 따라가는 독자는 이전 업데이트 이후 무엇이 바뀌었는지를 설명하는 보도를 우선해야 한다. 명확한 귀속, 정정, 디렉터리 항목과 입증된 행위의 구분을 살펴봐야 한다. 개발자와 기업 구매자는 자신의 시스템이 사용자가 필요로 하는 것보다 더 많은 조직 정보를 드러내고 있지는 않은지 검토해야 한다. 연구자는 신뢰할 수 있는 보도를 활용해 공식 기록으로 답할 수 있는 질문을 찾아야 한다. ICE 직원 데이터 논란은 기관과 발행자가 증거를 가시화할 때 더 쉽게 평가할 수 있다. 다음의 자신감 있는 주장을 받아들이기 전에, 이를 뒷받침하는 독립적으로 검증된 정보가 무엇인지, 누구의 해석을 반영하는지, 그리고 이미 확립된 사실을 바꾸는지 물어야 한다.