"중요한 기술은 수리 제한이 필요하다"는 문구가 법에 들어가면, 어디까지가 정말 중요한 기술일까요. 전력망 제어 장비까진 그렇다 쳐도, 병원 네트워크 스위치, 학교 라우터, 지역 ISP 장비, 오피스 빌딩의 네트워크 서버도 같은 논리로 묶일 수 있습니다.
콜로라도의 반(反)수리 법안 SB26-090은 결국 하원 위원회에서 7대 4로 부결돼 사실상 폐기됐습니다.1 표면적으로는 작은 주(州) 법안 하나가 멈춘 사건이지만, 실제 쟁점은 더 큽니다. 제조사가 "보안"과 "중요 인프라"를 근거로 수리권 예외를 넓히려 할 때, 어디서부터 정당한 보호이고 어디서부터 서비스 독점인지 가르는 기준이 드러났기 때문입니다.
진짜 쟁점은 법안 제목이 아니라 '경계선'이었다
확인된 사실부터 보겠습니다. 콜로라도의 2024년 디지털 전자기기 수리권 법은 2026년 1월부터 시행됐고, 휴대폰·컴퓨터·와이파이 라우터 같은 장비의 수리에 필요한 도구와 문서 접근을 보장했습니다.1 SB26-090은 여기에 "중요 인프라에 사용될 정보기술 장비"를 예외로 넣으려 했습니다.2
문제는 이 표현이 생각보다 훨씬 넓다는 점입니다. 법안은 '중요 인프라'를 연방 정의에 기대 설명했는데, 이런 정의는 원래 국가 차원의 회복탄력성 계획을 위해 넓게 설계된 것입니다.3 에너지, 통신, 의료, 정부 시설, 물류, 정보기술이 다 들어갑니다. 국가안보 문맥에서는 유용하지만, 소비자·사업자 수리권의 경계로 쓰기엔 너무 큽니다.
여기서 실무적 함의가 나옵니다. "발전소 장비만 해당"으로 들릴 수 있지만 실제 현장에서는 병원 서버, 지자체 네트워크 장비, 빌딩 제어 시스템과 연결된 IT 하드웨어, 지역 통신망용 라우터까지 번질 여지가 생깁니다. 특히 서버·스위치·방화벽·산업용 네트워킹 장비를 파는 업체라면 자사 제품을 예외 범주로 밀어 넣을 유인이 큽니다.34
즉, 이런 예외는 좁게 시작해도 운영 단계에선 넓게 해석되기 쉽습니다. 법률 문구 하나가 수리권 전체를 무너뜨리는 방식은 "전면 폐지"보다 훨씬 조용합니다.
보안인가, 벤더 락인인가: 다섯 가지 질문으로 걸러보자
법안 지지 측은 시스코와 IBM 같은 기업의 로비와 함께 사이버보안 위험을 내세웠습니다.1 논리는 단순합니다. 수리 도구와 문서를 더 넓게 공개하면 악성 행위자가 이를 악용할 수 있다는 것입니다.
이 우려가 완전히 허구라고 말할 수는 없습니다. 민감한 시스템의 서비스 인터페이스, 키 관리 방식, 펌웨어 접근 경로는 분명 보호가 필요합니다. 다만 반론도 강했습니다. 청문회에서 보안 전문가들은 현실의 대다수 침해가 부품 교체나 물리적 분해가 아니라 원격 공격으로 발생하며, 사고 대응 때는 제조사 허가를 기다릴 시간이 없다고 지적했습니다.1
그래서 앞으로 비슷한 주장에 부딪히면, 저는 다섯 가지를 먼저 보라고 권하고 싶습니다.
첫째, 제한 대상이 정말 공격면을 줄이는가. 아니면 단지 제조사 전용 수리 채널만 강제하는가.
둘째, 막으려는 위험이 구체적인가. 예를 들어 "디버그 포트 접근 제한"처럼 기술적으로 특정돼 있는지, 아니면 "민감하니 전반적으로 비공개"인지 봐야 합니다.
셋째, 독립 수리는 막으면서 원격 관리 권한이나 기본 설정 취약점은 그대로 두는가. 그렇다면 보안 논리는 절반만 맞는 셈입니다.
넷째, 대안이 있는가. 인증된 독립 수리업체, 감사 가능한 문서 제공, 권한 분리형 진단 도구 같은 중간 해법 없이 곧바로 OEM 독점으로 가면 락인 가능성이 큽니다.
다섯째, 수리 제한의 경제적 수혜자가 누구인가. 고가의 독점 유지보수 계약과 직결된다면 보안 논리만으로 보기 어렵습니다.23
비용은 결국 '보안 담론'이 아니라 다운타임이 결정한다
수리권이 줄어들 때 가장 먼저 타격받는 곳은 소비자보다 운영 조직입니다. 병원, 공공기관, 유틸리티, 소규모 ISP, 지역 MSP 같은 곳이 그렇습니다. 이들은 장비를 새로 사기보다 오래 돌려야 하고, 장애가 나면 몇 시간 차이로 운영 피해가 커집니다.
여기서 중요한 건 수리권 논쟁을 "누가 뜯을 수 있나"가 아니라 "누가 얼마나 빨리 복구할 수 있나"로 봐야 한다는 점입니다. 제조사 전용 수리만 허용되면 지역 수리 생태계는 약해지고, 현장 대응 시간은 길어지며, 유지보수 계약 비용은 올라가기 쉽습니다.2 반대로 너무 넓은 접근을 허용하면 민감 정보 노출 위험이 커질 수 있다는 한계도 있습니다. 핵심은 전면 공개냐 전면 봉쇄냐의 이분법이 아니라, 어떤 정보와 도구를 어떤 통제 아래 개방할지 세밀하게 설계하는 것입니다.
콜로라도 사례가 중요한 이유도 여기에 있습니다. 이번엔 법안이 멈췄지만, 다음 싸움은 더 정교한 언어로 돌아올 가능성이 큽니다. "사이버보안", "공공안전", "의료 환경", "학교 네트워크", "산업 시스템" 같은 표현이 계약서나 법안에 붙기 시작하면, 그다음 질문은 항상 같아야 합니다. 정확히 어떤 장비를 뜻하는가, 누가 예외 여부를 결정하는가, 독립 수리를 완전히 배제하지 않고도 위험을 줄일 방법은 없는가.
이 이슈를 가장 주의 깊게 봐야 하는 사람은 정책 관찰자만이 아닙니다. 병원·학교·지자체 IT 담당자, MSP, 장비 구매 책임자, 시설 운영자입니다. 앞으로는 제품 성능표만 볼 게 아니라, 서비스 매뉴얼 접근권, 부품 페어링, 펌웨어 잠금, 승인 수리 채널 조항까지 같이 봐야 합니다. 수리권 축소는 법률 뉴스로 시작하지만, 비용과 복구 시간의 문제로 끝나기 때문입니다.
참고
1Colorado's Anti-Repair Bill Is Dead
2Colorado is Scaling Back Its Right to Repair Law for 'Critical' Tech
3A New Colorado Bill Could Blow a Hole in the Nation's Strongest Right to Repair Law
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.