염흥열 순천향대 정보보호학과 교수
![[포럼] 다시 생각하는 국가 사이버보안 거버넌스](http://contents.dt.co.kr/images/202204/2022042902102369073001[1].jpg "[포럼] 다시 생각하는 국가 사이버보안 거버넌스")
최근 우리나라 굴지의 세계적 기업들이 해커에 의해 정보시스템이 해킹되어 기업의 영업 비밀인 소스 코드와 고객의 개인정보가 유출된 것으로 알려졌다. 러시아가 우크라이나를 침략하기 전에 사이버 공격을 수행하였고, 우크라이나 외 사이버 공격 대상에 대한 우려도 확산하고 있다.
사이버 공격은 민간과 공공을 망라해 감행되고 있다. 기업이 보관하는 개인정보뿐만 아니라 기업 영업 정보, 국가 기밀정보까지를 대상으로 확대되고 있다. 피해도 사이버 공격의 직접적 피해로부터 유출된 정보로 인해 2차 또는 3차 피해로 이어지고 있다. 예컨대, 어떤 사용자의 계정이 해킹되면 이 유출된 계정정보는 해당 사용자가 이용하는 다른 계정을 공격하는 데 이용되어 거기에 저장된 개인정보의 또 다른 유출로 연결된다. 이러한 피해는 정신적 피해뿐만 아니라 금전적 피해를 초래하며, 국가 안보까지 영향을 미친다.
해킹 공격의 주체도 개별 해커에서부터 시작해, 해킹 그룹뿐만 아니라 국가 배후 해킹도 의심되고 있다. 해킹에 이용되는 기술도 여전히 유효한 최근 초보적인 단계에서 오랫동안 철저히 준비해 감행되는 지능형 대상 공격 위주로 변하고 있으며, 정보를 파괴하는 공격에서부터 정보시스템을 암호키로 잠기고 그 정보시스템을 풀어주는 조건으로 금전을 요구하는 랜섬웨어 형태로 변하고 있다.
2021년 바이든 정부가 출범하고 감행된 미국 송유관 회사인 "콜로니얼 파이프라인"에 대한 해킹 공격으로 국가 주요 기반 시설을 민간회사가 운영하는 점에 착안해 민간기업을 공격해 정보시스템을 잠가놓고 풀어주는 조건으로 금전을 요구하고 있다. 최근 사물인터넷, 클라우드, 블록체인, 인공지능 등의 신기술이 도입됨에 따라서 해커의 공격 면적이 점점 넓어지고 있으며, 그에 따른 피해 규모도 점차로 커지고 있다.
그러나 정부나 기업의 사이버 대응 태세는 공격 수준에 걸맞게 개선되지 못하고 있다. 이의 원인은 기업이나 공공의 정보보호 인식 수준이 미흡한 점도 있으나, 실제로 공격에 대응하기 위한 거버넌스, 물리적 보호조치, 그리고 관리적, 기술적 보호조치가 공격 수준에 맞게 고도화되지 못하고 있는 측면이 있다.
세계 주요 선진국들은 이러한 공격에 대응하기 위한 법 제도적 보호조치뿐만 아니라 그러한 대응체계가 적절하게 조정되는 국가 차원의 사이버보안 거버넌스의 구축에 노력을 기울이고 있다. 미국 바이든 정부는 2021년 미국 국방수권법에 근거해 백악관에 사이버보안국장실(cyber director office)을 신설하고 사이버안보를 국가 안보의 중요한 축으로 간주하기 시작했다.
국토안보부의 사이버보안청(CISA)과 여타 연방정부 주요 기관 간의 사이버보안 조정 역할을 부여하고 있다. 한마디로 국가 최고 수준에서 사이버보안 의제를 다루고 있다. 영국은 올해 초 '사이버보안 전략 2022'에서 "사이버 힘이 사이버 공간에서 국익을 보호하고 증진하는 능력이다"라는 비전을 발표했다.
우리나라 사이버 공간의 위협 현황과 대응 수준을 파악하기 위한 활동이 필요하다. 이러한 활동의 결과로 우리나라 사이버 공간의 안전성을 보장하기 위한 대응 수준을 정부, 민간, 군 등의 모든 부문별로 검토하고 그 검토 결과에 따라 보호 대책의 재정비가 필요하다. 소위 '위험 기반 위험 관리'의 이행이 필요하다.
디지털 플랫폼 정부를 실현하고자 하는 새 정부가 곧 출범한다. 디지털 플랫폼 정부가 신뢰적이고 안정적으로 동작하기 위해 다음과 같은 몇 가지 사항을 강조하고자 한다.
첫째, 국가 사이버보안 거버넌스는 더욱 더 강화되어야 한다. 사이버보안의 강화가 최우선 국정과제가 되어야 한다. 대통령집무실 내에 국가 사이버보안 최고책임자를 임명하고, 민간, 공공, 군, 외교를 망라해 국가 사이버보안 정책을 조정하고 관찰하며 협력할 수 있는 효과적인 거버넌스 체계를 강화해야 한다.
둘째, 사이버보안 관련 법 제도의 개선도 민간과 공공, 공공과 공공, 민간과 민간 간의 사이버 위협 정보의 공유를 목적으로 하는 사이버보안 정보공유 체계도 강화 및 개선되어야 하며 이를 위한 가칭 '사이버보안 정보공유법'의 제정을 검토해야 한다. 2019년에 발표된 기존 국가 사이버안보 전략도 새로운 위협 환경과 위협을 고려해 조속히 개정되어야 한다. 이에 기반해 민간, 정부 및 공공, 군의 부문별 사이버보안 실행전략도 개선되어야 한다.
셋째, 사이버 공격을 기술적으로 막기 위한 사이버보안 연구개발과 표준화 투자는 지속해서 강화되어야 하며, 국가 연구개발의 결과는 민간에 신속히 전달되어 우리나라 군, 민간, 정부의 사이버 공격을 막는 데 활용되어야 한다. 특히 인공지능 등 신흥기술과의 보안성도 강화되어야 하며, 인공지능 등 신흥기술을 이용해 사이버 대응 능력을 고도화해야 한다.
넷째, 미국, 영국 등 주요 선진국 간의 사이버보안 국제협력은 강화되어야 한다. 미국은 세계 최고 수준의 사이버 대응 기술을 보유하고 있다. 미국 표준기술연구원(NIST) 등의 미국과의 연구개발과 표준화를 위한 협력에 우선순위를 두어야 한다.
다섯째, 국가 사이버보안 인력양성, 사이버보안 문화 조성 등에 대한 정부의 역할도 강화되어야 하고 이를 위한 기업, 국민 등 주요 이해당사자 간의 협조도 더욱 요구된다.
디지털 사이버 공간의 안전성과 신뢰성을 담보하기 위해선 사이버보안이 선택이 아닌 필수다. 사이버보안 거버넌스 강화가 한국 사이버 공간 안전성과 신뢰성을 달성하는 첫걸음이 되어야 한다.
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
