[포럼]사이버안보 민·관 협업과 면책 제도

이경호 고려대 정보보호대학원 교수

또 뚫렸다. 국민 1000만 명이 쓰는 금융 서비스용 보안인증 프로그램이 해킹을 당했고, 경찰은 북한의 해킹 조직인 라자루스를 공격자로 지목한다.

지난 2009년 7월 청와대를 향한 디도스 공격 이후 북한의 소행으로 추정되는 사이버 공격은 단순한 인터넷망의 마비에서부터 금융기관과 언론사에 대한 공격에 이르기까지 점차 고도화해 왔다. 특히, 2016년 이후에 외화벌이가 차단되자 북한은 금융기관과 가상화폐거래소를 목표로 해킹을 했으며, 지난해 3월에 공개된 유엔 안보리 산하 대북제재위원회의 전문가 패널 보고서에 따르면 북한이 미사일 개발에 필요한 자금을 조달하기 위해 2020년부터 3곳의 암호화폐 거래소에서 5000만 달러(약 660억 원)의 가상화폐를 훔쳤다고 한다.

북한의 사이버 역량에 대한 평가는 다양하나, 국제사회에서는 핵·미사일과 함께 북한이 활용하는 대표적인 비대칭 전력의 하나로서 새로운 안보 위협으로 간주한다. 북한의 사이버 인프라와 보안 수준이 세계 최하위라는 영국의 보고서가 있으나, 금융기관에 대한 해킹 역량만큼은 세계 최고 수준이라고 미국 하버드대 벨퍼센터는 지난해 국가별 사이버 역량 지표 보고서에서 밝힌 바 있다.

사이버 공격에 대한 국제 공조는 핵과 미사일에 비해 미흡한 상황이며 지난해 조 바이든 미국 대통령이 주도한 유럽·중동·아프리카·아시아에서 35개국이 참여한 랜섬웨어 대응에 대한 공동성명과 같이 다자간 협력 체계에서 이뤄지고 있다. 양자간 협력으로 지난해 5월 한미 정상회담에서 사이버 공격에 대한 공동 대응을 강화키로 했다. 이후 우리는 핵·미사일 개발과 관련된 금융 거래 혐의를 받는 북한의 금융기관 소속 개인과 기관을 독자제재 대상으로 지정했다. 2020년에 미국 연방수사국(FBI)은 북한 해커 3명을 기소하고, 국무부와 법무부 내에 북한 해킹에 대응하기 위한 사이버 범죄 전담 부서를 신설했다.

우리는 공공영역에서 국가사이버안전 규정에 따라 국가사이버안전센터를 운영하고 있으나, 전체 인터넷 트래픽의 97%를 차지하는 민간영역과의 협업은 제대로 못하고 있다. 국가정보원은 지난해 11월에야 민관 합동 국가사이버안보협력센터를 개소했으나 한계가 있다.

결국 국가 전체에 대한 사이버 안보를 관장하는 법적 토대 마련이 필수인데, 이는 2015년 버락 오바마 정부 당시 마련된 미국의 ‘사이버 위협 정보 공유법’을 참고할 필요가 있다. 민간과의 협업 과정에서 발생할 수 있는 프라이버시의 침해에 대비해 익명화 등의 절차를 마련하고, 취약점 공유로 인한 정보 제공 기관의 피해에 대한 면책권 제도를 마련, 민간기업의 정보 제공에 따른 현실적 어려움을 해소한 것을 참고할 만하다.

국가 사이버 안보 관련 법안은 국가 전체의 사이버 자산을 민관 구분 없이 포괄적으로 보호하기 위한 환경 조성에 필수적이며 이를 관장하는 컨트롤타워를 명확히 함으로써 책임성을 부여하고 중구난방으로 사용되는 예산을 장기적 안목에서 합리적으로 기획해 투자하도록 사이버 안보 기본계획을 마련한다.

수년째 국회에 계류 중인 국가 사이버 안보에 대한 법적 체계를 시급히 수립해 세계 최고 수준의 사이버 인프라를 지켜내고 사이버 영역에서 국제 협력 리더십을 확보하길 기대한다.