사이버 공격은 인터넷으로 연결된 현대사회에서 큰 파급력을 갖는다. 최근 발발한 러시아와 우크라이나 간 전쟁에서도 사이버전이 현실화하며 사이버안보의 중요성이 다시금 강조되고 있다. The HOANS에서 대한민국 사이버안보 현황과 대비책에 대해 알아봤다.
러시아와 우크라이나 간 전쟁이 발발하면서 사이버전이 다시 주목받고 있다. 러시아는 우크라이나를 전면 침공하기 직전 우크라이나 정부 기관과 은행을 대상으로 한 대규모 분산 서비스 거부(이하 디도스) 공격을 감행했다. 각국 정보 당국은 이를 본격적인 전쟁의 전초전으로 해석했고 사이버전 대응책 마련을 강조했다. 이에 우리나라도 사이버전 대응 능력 제고가 요구되는 분위기다. 특히 북한은 최근 크고 작은 사이버 공격을 계속 감행하고 있어 사이버전에 대한 경각심을 키워야 한다는 지적이 나온다.
계속되는 사이버 공격
현재 우리나라 사이버안보를 위협하는 주된 주체는 북한이다. 그간 북한은 우리나라 정부 기관과 주요 시설에 대한 사이버 공격을 꾸준히 감행해 왔다. 지난해 5월 하태경 국회 정보위원회 소속 국민의힘 의원은 한국원자력연구원이 북한 관련 해킹 조직의 공격을 받았다고 밝혔다. 하 의원은 북한 정찰총국 산하 해커 조직인 김수키가 한국원자력연구원 서버 내부망에 무단 침투해 핵심 기술 등을 탈취하려 했다고 전했다. 한국항공우주산업과 대우조선해양 등 국내 방산 업체 역시 비슷한 방식으로 공격받아 자료가 유출된 사고가 작년 한 해 동안 여러 차례 발생했다.
북한의 사이버 공격 문제가 대두된 것은 지난해가 처음이 아니다. 그동안 북한은 기술정찰국을 중심으로 금융 사이버 범죄를 도모하거나 대북 관계자를 목표로 한 사이버 공격을 감행했었다. 지난 2009년 청와대와 정당 등 국내 주요 홈페이지를 대상으로 벌어진 대규모 사이버 공격인 7.7 디도스 대란을 시작으로 각종 사이버테러를 감행해 왔고 2016년에는 국방통합데이터센터를 해킹하는 등 공격 규모 역시 꾸준히 커져 왔다. 국방부가 발간한 2020 국방백서에 따르면 현재 활동 중인 북한 해커는 7천여 명 수준으로 추산되며 거점을 해외에 두고 있어 추적이 어렵다는 설명이다.
우리나라를 향한 해킹 위협은 북한뿐만이 아니다. 산업 기술 격차를 따라잡거나 시장 경쟁에서 우위를 점하기 위한 목적으로 국내기업을 노리는 해킹 건수 역시 급증하고 있다. 지난달 7일에는 국제 해커 조직인 랩서스가 삼성전자 서버를 해킹해 기업 내부 자료를 일반에 공유했다고 발표했다. 유포된 자료에 따르면 삼성전자의 모든 전자기기 보안 실행환경에 설치된 소스 코드가 포함돼 있어 피해가 크리라 추측된다. 중소기업도 해킹 공격에서 예외는 아니다. 과학기술정보통신부의 발표 자료에 따르면 지난해 기업 대상 랜섬웨어 신고 건수의 92%가 중소기업을 대상으로 발생했다. 이처럼 경제적 이득을 비롯해 영향력 확대를 노리는 해킹 조직의 무차별 공격으로 기업들도 피해가 커지고 있다. 이에 전문가들은 정부 차원의 사이버 안전망 구축이 필요하다고 주장하고 있다.
늦어지는 대응책 마련
사이버 공격으로 국가 안보 위협이 발생하자 정부는 대응책을 꾸준히 발표해왔다. 2009년 7.7 디도스 공격으로 인한 국가적 혼란 이후 국가 사이버 위기 종합 대책을 마련함으로써 사이버 공격 예방 및 피해 최소화를 위한 기틀을 마련했다. 이후 ▲2011년 3.4 디도스 공격 및 농협 전산망 마비 ▲2013년 6.25 사이버테러 ▲2016년 국방통합데이터 센터 공격 등으로 인해 국가 안보가 위협받을 때마다 ▲국가 사이버안보 마스터플랜 ▲국가 사이버안보 종합대책 ▲국가 사이버안보 전략과 기본계획 등을 제시하며 사이버안보 대응 체계를 구축하기 위해 시도해왔다.
그러나 기민한 대처를 위해서는 꼭 필요한 통합 컨트롤 타워가 부재하다는 비판이 제기된다. 현재, 사이버 공격을 받는 대상이나 특성에 따라 ▲공공기관 및 공공기반 시설은 국정원 ▲국방 분야는 국방부 ▲민간사업자 및 민간 기반 시설은 과학기술정보통신부가 맡아 대응책을 제시하고 있다. 청와대 국가 안보실이 컨트롤 타워로 알려져 있지만 사이버전 전문성이 떨어지고 개별 해킹 사건에 청와대가 매번 나서는 것은 효율성이 낮아 광범위한 사이버 공격을 받을 경우 대응책을 빠르게 마련하기 힘들다는 게 전문가들의 주장이다. 박춘식 아주대 사이버보안학과 교수도 아이뉴스24와의 인터뷰에서 “제대로 된 역할을 하는 사이버안보 컨트롤 타워가 없다”고 말하며 통합 사이버안보 체계 구축 필요성을 적극 강조했다.
일원화된 사이버 대응 체계 필요성이 제기됨에 따라 지난 16년 동안 실질적인 중앙 컨트롤 타워를 마련하자는 논의가 계속됐지만 아직도 결론 맺어진 것은 없는 상황이다. 2006년 공성진 국회의원이 사이버 위기 예방 및 대응에 관한 법률안을 발의해 공공·민간 정보 공유와 공동 대응을 제시했다. 그러나 합의점을 찾지 못한 채 국회 회기 만료로 폐기됐다. 마찬가지로 18대, 19대, 20대 국회에서도 각각 사이버안보에 관한 법률안이 발의됐지만 번번이 논의만 진행된 채로 폐기됐다. 한편 21대 국회에서는 김병기 더불어민주당 의원과 조태용 국민의힘 의원이 각각 국가 사이버안보 법안과 사이버안보 기본법안을 국회에 제출함에 따라 사이버안보 컨트롤 타워 마련에 대한 논의가 진행되고 있다.
사이버안보 법안을 둘러싼 말·말·말
그러나 법안을 둘러싼 잡음이 발생하며 1년 넘게 국회에 계류 중인 상황이다. 사이버안보 기본법안의 경우 국정원이 실질 컨트롤 타워를 맡으며, 해당 법률안 제19~23조에 따르면 공공기관뿐만 아니라 민간기업도 국정원에 디지털 정보를 제공해야 한다. 국정원의 역할이 민간으로 확대되며 정보 수집 및 추적 권한을 갖게 되는 것이다. 이를 두고 국정원이 민간사찰기구로 이용될 수 있다는 우려가 제기됐다. 또한 제4조에 따르면 다른 법률보다 해당 법안을 우선 적용한다는 내용이 포함돼 있어 개인정보 보호법·정보통신망법 등을 무력화한다는 지적을 받고 있다.
그러나 일각에서는 발의된 법안에 따르면 해킹 피해자의 동의가 있어야 제3자가 정보를 열람할 수 있고 허락을 받을 수 없는 경우 36시간 이내 법원의 허가를 필요로 하므로 민간인 사찰 가능성이 작다고 평가한다. 더불어 최.근 사이버 공격은 특정 분야에서만 일어나지 않으며 민간, 공공, 국방 등 분야를 가리지 않아 전체적인 감독을 할 수 있는 컨트롤 타워는 꼭 필요한 실정이라는 입장이다.
국정원이 컨트롤 타워로 역할 한다는 점에 대한 논란도 불거졌다. 지난 2월 국정원 감시네트워크는 성명을 발표해 비밀정보기관이 컨트롤 타워 역할을 맡는 건 옳지 않다며 행정기구에 이를 맡겨야 한다고 역설했다. 비밀리에 작업을 수행하는 국정원 특성상 권한 남용을 배제할 수 없고 민관 간 협력에도 어려움이 있어 신속한 대응이 힘들다는 게 이유다. 또한 국가 사이버안보 법안은 국내에 공급되는 정보통신기기를 국정원이 직접 검증하게 한다는 점에서 관련 장비를 수출하는 기업들의 활동이 위축될 가능성이 있다고 주장했다.
사이버 공격으로부터 안전한 대한민국을 위해서는
현재 한국에서는 사이버안보에 대한 논의가 계속 이뤄지고 있지만 여러 입장 차이로 명확한 대책이 마련되지는 않은 상황이다. 미국이 민간과 협력해 지속적인 사이버안보 구축 방안을 마련하고, 북한이 사이버 공격 능력을 향상해 나가는 상황 속에서 대한민국의 신속한 사이버안보 체계 구축은 필수다. 하지만 최근 국가 안보법 제정을 놓고도 일부 조항에 대한 찬반양론이 팽팽하게 맞서 사이버안보 대응책 마련 속도가 더뎌지고 있다.
한편 윤석열 대통령 당선인은 국가 차원에서 일원화된 사이버전 대응 시스템을 구축하고 사이버안보 기본법 및 통합방위법을 개정하겠다는 공약을 제시했다. 윤 당선인의 대선 공약집에는 사이버안보 계획을 구체화하고 사이버 보안 정규과정 및 특수과정을 확대하겠다는 내용도 포함됐다. 그러나 지금까지 대응책을 마련하기 위한 시도가 대부분 공회전에 그쳤었다는 점에서 정책을 구체화하는 데는 난항이 예상된다. 사이버전의 중요성이 날로 높아지는 현재 합리적인 사이버 공격 대응책 마련과 사이버안보 체계에 대한 많은 관심이 필요하다.
정서영·이정윤 기자
kiger21@korea.ac.kr
