AI·IoT 공격에 산업 경계 무너져…분야별 감독·대응 한계 부각
정부 '사이버보안 차르' 검토…조정 권한·법적 근거 확보 관건
(서울=연합뉴스) 권하영 기자 = 정부가 잇단 사이버 침해사고에 대응하기 위해 이른바 '사이버보안 차르' 기구 신설을 검토하면서 공공·민간·금융 등 분야별로 흩어진 국가 사이버보안 대응체계가 재편의 시험대에 올랐다.
사물인터넷(IoT)과 인공지능(AI) 등 신기술을 악용한 사이버 공격이 산업과 기관의 경계를 넘어 개인정보 유출과 금융서비스 장애, 산업시설 피해 등으로 확산하고 있지만, 국내 보안 감독과 사고 조사·대응 권한은 여전히 여러 기관에 나뉘어 있다.
기존의 정보 공유 및 협력체계에도 불구하고 복합적인 침해사고가 발생할 경우 기관별 중복 조사와 정보 공유 지연, 대응 공백이 생길 수 있다는 우려가 나온다.
이에 따라 이번 개편의 핵심은 단순한 조직 통합이나 책임자 신설을 넘어 범정부 차원의 실질적인 지휘·조정 권한을 확보하는 데 있다는 분석이다.
국가안보실의 기존 총괄 기능을 강화할지, 별도 전담조직을 설치할지를 놓고 기존 기관과의 권한 조정은 물론 공동 대응을 뒷받침할 법적 근거 마련이 주요 과제로 떠오르고 있다.
ADVERTISEMENT
◇ 해킹 사고 나면 어디가 맡나…분야별 감독체계 분산
8일 정부와 보안업계에 따르면 이재명 대통령은 최근 사이버보안 위기에 대응할 종합적인 예방체계를 마련하고, 분산된 보안 기능을 총괄·조정할 실효적인 '사이버보안 차르' 기구 구성을 적극 검토하라고 지시했다.
'차르'(Czar)는 러시아 황제를 뜻하는 말에서 유래했으며, 미국에서는 여러 정부 부처의 정책을 총괄·조정하는 고위 책임자를 가리키는 비공식 용어로 사용돼 왔다.
공공기관과 금융권, 민간기업 등에서 침해사고가 끊이지 않는 상황에서 개별 기관의 사후 대응에 의존하기보다 국가 차원의 예방·대응 역량을 강화해야 한다는 문제의식에 따른 것으로 풀이된다.
현재 국내 사이버보안 업무는 국가·공공, 민간, 금융 등 분야에 따라 소관 기관과 권한이 구분돼 있다.
국가정보원은 국가사이버안보센터를 중심으로 국가·공공 부문의 사이버 위협정보를 수집·분석하고 대응 업무를 수행한다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 민간 분야의 정보보호 정책과 침해사고 대응을 맡는다.
금융 분야에서는 금융위원회와 금융감독원이 정책·감독을 담당하고, 금융보안원이 위협정보 공유와 보안관제, 사고 대응 등을 지원한다. 개인정보보호위원회는 개인정보 유출 사고를 조사·감독한다.
이처럼 분야별 전문기관이 각자의 영역을 관리하는 구조는 산업별 특수성을 반영할 수 있다는 장점이 있지만, 여러 분야에 걸쳐 발생하는 사이버 위협에는 기관 간 긴밀한 공조가 요구된다.
◇ 산업 경계 허무는 사이버 공격…중복 조사·대응 공백 우려
현재 범정부 차원의 정책 조정이나 위협정보 공유를 위한 기존 체계가 전혀 없는 것은 아니다.
국가안보 차원의 사이버안보 정책은 청와대 국가안보실이 총괄·조정하고 있다.
국정원은 국가 사이버 위협 정보공유 시스템(NCTI), KISA는 민간 사이버 위협정보 분석·공유 시스템(C-TAS)을 통해 관련 정보를 공유하고 있으며, 금융보안원 역시 금융권의 위협정보 공유와 공동 대응을 지원한다.
문제는 이러한 체계가 존재하더라도 분야별로 나뉜 권한과 책임을 뛰어넘어 국가 전체의 사이버 위협을 통합적으로 관리하고 대응을 지휘하는 데는 구조적 제약이 있다는 점이다.
하나의 해킹 사고가 개인정보 유출과 금융서비스 장애 등 복합적인 피해로 이어지면 소관 기관마다 별도의 조사와 대응에 나서면서 업무가 중복되거나 정보 공유가 지연될 수 있다.
특히 공격이 여러 산업과 기관으로 확산하는 상황에서는 개별 기관이 파악한 위협정보를 종합하고 대응 방향을 조율하는 데 시간이 걸려 피해를 조기에 차단하기 어려워질 수 있다는 우려가 나온다.
실제 최근 유럽에서 발생한 냉장·냉동설비 해킹은 사이버 공격이 정보 유출이나 시스템 장애를 넘어 실물 산업과 사회 시스템에까지 직접적인 피해를 줄 수 있음을 보여준다.
유럽연합(EU) 사이버보안청(ENISA)에 따르면 지난달부터 여러 회원국에서 상업용 냉장설비 해킹이 잇따라 온도 설정값이 최고 50℃까지 조작돼 식품 폐기 피해가 발생했으며, 프랑스에서는 수혈·의약품 제조용 혈장을 보관하는 시설 3곳도 공격받았다.
IoT가 유통·제조·에너지 등 산업 전반으로 확산하고 AI를 활용한 공격 자동화와 취약점 탐색까지 고도화하면서 사이버 위협의 영향 범위가 갈수록 넓어지고 있는 것이다.
전문가들은 새로운 공격이 등장할 때마다 소관 기관이 개별적으로 대처하는 방식으로는 이러한 위협의 확산을 차단하는 데 한계가 있다고 지적한다.
익명을 요구한 한 보안 전문가는 "국내 금융권 해킹에 사용된 정황이 있는 에이전트 AI 도구 '아르텍스'는 실제 국제 해킹 조직이 전 세계 정부·외교기관과 반도체·바이오·원자력 등 핵심 타깃 공격에 활용하고 있다"며 "이제 해킹의 영역 구분은 무의미해졌다"고 지적했다.
ADVERTISEMENT
◇ 기존 조정권 강화할까, 통합 조직 신설할까…개편의 쟁점
이에 보안업계에서는 기존 기관의 역할과 권한을 재정립하고, 범정부 차원의 대응을 실질적으로 지휘·조정할 수 있는 체계를 마련해야 한다는 목소리가 나온다.
황석진 동국대 국제정보보호대학원 교수는 "현재는 분야별로 권한과 감독체계가 분산돼 국가 전체의 사이버 위험을 통합 관리하는 체계가 부족하다"며 "국가안보실이 컨트롤타워 역할을 맡고 있지만, 단순 부처 간 조정을 넘어 실질적인 대응을 주도할 권한과 책임이 필요하다"고 지적했다.
황 교수는 "단순히 '사이버보안 차르' 직책을 신설하기보다 국가안보실의 총괄 기능을 강화하거나 전담 조직 마련이 필요하다"며 "부처별 전문성은 유지하되 범정부 공동 대응 협의체 상설화, 위협정보 통합 공유 등을 통해 하나의 국가 대응체계로 연결하는 것이 핵심"이라고 제언했다.
개편 방향은 크게 국가안보실을 중심으로 기존 조정 기능을 강화하는 방안과 별도의 사이버보안 전담조직을 신설하는 방안으로 나뉠 수 있다.
전자는 분야별 전문기관의 역할을 유지하면서 부처 간 정책과 위기 대응을 조율할 수 있다는 장점이 있다. 다만 협의나 권고에 그치지 않고 실제 공동 대응을 이끌 권한을 갖춰야 기존 체계와 차별화할 수 있다.
반면 독립적인 전담기관에 정책·감독·대응 기능을 집중하면 책임 소재를 명확히 할 수 있지만, 기존 기관의 권한 이관과 조직 재편이 불가피하다. 특히 국가안보와 민간 정보보호, 금융감독처럼 목적과 성격이 다른 업무를 어느 범위까지 통합할 수 있을지가 관건이다.
어느 방식을 택하든 새 컨트롤타워의 법적 지위와 권한을 명확히 규정하는 작업이 선행돼야 한다는 지적도 나온다.
별도 행정기관을 신설하려면 정부조직법 개정이나 관련 법률 제정 등이 필요할 수 있다. 국정원과 과기정통부, 금융당국 등 기존 기관의 권한을 어떻게 재배분할지, 민간 기업에 대한 정보 제출 요구나 보안조치 명령 등 강제력을 수반하는 권한을 어디까지 부여할지도 풀어야 할 과제다.
보안업계 관계자는 "그동안 부처 칸막이가 높았던 국정원과 과기정통부, 금융당국 등 기존 기관과의 권한 조정이 필수"라며 "예산, 인력, 조치권 등 실질적인 권한을 부여하려면 별도의 법적 근거를 반드시 마련해야 한다"고 말했다.
kwonhy@yna.co.kr
(끝)
<저작권자(c) 연합뉴스, 무단 전재-재배포, AI 학습 및 활용 금지>
ADVERTISEMENT
ADVERTISEMENT
ADVERTISEMENT