기업 해킹 쉬쉬하면 알길 없어… “민관 컨트롤타워 시급” [심층기획-AI시대, 사이버 안보 이대로 괜찮은가]

(3회) 사이버 안보 민관 협력 현주소는
신고없이 해커에 돈 주고 마무리 땐
정부에선 공격 자체 모를 가능성 커
2022년 사이버안보협력센터 설립
국정원 ·과기부·안랩 등 25곳 참여
기술·위협 분석 소관 분야 지원에도
강제성 없어 정보 공유 등에 한계
각 주체 아우를 상위 체계 필요성
AI기술 악용 공격 대비도 서둘러야

지난해 공공기관과 언론사, 방산업체 등 여러 기관이 북한 해킹조직의 공격을 받았다. 분석 결과 ‘MagicLine4NX(매직라인)’이라는 보안인증 소프트웨어의 취약점을 노린 것이었다. 국가·공공기관, 금융기관 등 홈페이지에 공동인증서를 활용해 로그인할 경우 본인인증을 위해 컴퓨터에 설치되는 프로그램으로, 해킹 피해를 막기 위해서는 신속하게 해당 소프트웨어를 업데이트하거나 삭제해야 했다.

이에 국가사이버위기관리단을 중심으로 과학기술정보통신부, 한국인터넷진흥원(KISA), 금융보안원이 조치에 나섰다. 민간 영역은 보안업체 안랩(V3)과 하우리(바이로봇), 이스트시큐리티(알약)가 자사 백신을 사용하는 기업에 대해 매직라인 구 버전을 자동 탐지·삭제를 진행했다.

사이버공격이 지능화·고도화하면서 공공기관과 민간기업을 가리지 않고 위험에 노출되고 있다. 현대 사회의 초연결성으로 인해 한 곳이 공격받으면 자칫 큰 피해로 이어질 수 있다. 정부와 민간이 공동으로 대응할 수 있는 체계가 중요해지고 있다.

경기 성남시 판교 국가정보원 국가사이버안보협력센터에서 민·관 보안전문가들이 사이버 위협 분석작업을 진행하고 있다. 국가정보원 제공

◆민·관 합동 사이버 위협 분석·대응

23일 관련 업계에 따르면 현재 사이버공격 대응은 정부·공공기관은 국가정보원이, 민간은 과기정통부와 KISA가, 국방 분야는 국방부가 맡고 있다. 범죄가 연관된 것으로 의심되면 경찰도 개입해 수사한다. 민·관 협력의 필요성이 커졌고, 2022년 11월 국정원 국가사이버안보센터 소속으로 국가사이버안보협력센터가 문을 열었다. 국정원과 과기부, 국방부 등 국가·공공기관과 안랩, 이스트시큐리티, SK 쉴더스, 체이널리스트 등 정보기술(IT)·보안업체 25개 기관이 참여하고 있다.

각 기관에서 인력이 파견돼 함께 근무하며, 랜섬웨어·악성코드 등 기술과 위협을 분석하고 정보를 공유한다. 업체는 보안 업데이트를 신속하게 수행하고, 기관들은 소관 분야에 대해 긴급 보안조치를 취한다. 공공분야에 도입되는 IT 제품에 대한 안전성을 시험하고, 해킹사고 발생 시 재발방지를 위해 취약점 제거도 지원한다.

지난해 해킹사고 예방·대응을 위해 필요한 정보 10만건이 국가사이버위협정보 공유시스템을 통해 420개 국가·공공기관 및 170개 기업에 실시간 공유됐다.

상위 조직으로 지난해 5월 ‘국가사이버위기관리단’도 출범했다. ‘국가위기관리기본지침’에 따른 것으로, 국정원을 중심으로 정부·공공·민간 전문가들이 합동으로 국가사이버위기 대응 활동을 수행하며, 대통령실 국가안보실이 감독한다.

◆느슨한 협력으론 한계…AI 대비도

기존에는 보안업체는 개인 고객의 민감 정보를 다루고, 국정원은 공공 정보를 다루다 보니 협력이 제한적이었다. 이 때문에 대응방안을 민과 관에 빠르게 전파해야 할 때 원활하지 않았고, 필요한 경우에도 알음알음 진행됐다고 한다.

국가사이버안보협력센터가 만들어지면서 상시로 양방향 소통이 이뤄지기 시작했다는 평가가 나온다. 합동으로 공격주체를 규명하기에 결과에 대한 객관성과 신뢰성을 확보하는 데도 도움이 되고 있다. 다만, 현 민·관 협력체제는 느슨한 편이어서 유기적이고 종합적인 대응에 한계가 있다고 전문가들은 지적한다.

정보통신서비스 제공자는 해킹 등 침해사고가 발생하는 경우 신고 의무가 있지만, 대부분의 일반 기업은 그렇지 않다. 예를 들어 북한 해킹단체가 기업에 랜섬웨어 공격으로 자료를 탈취하고 돈을 요구했을 때 기업이 신고 없이 돈을 주고 조용히 해결하면 정부에서는 공격 사실을 알 수가 없다.

이승열 국회입법조사처 입법조사관은 “국가사이버안보협력센터가 생겼지만 말 그대로 ‘협력’”이라며 “법적 근거가 없기에 강제성이 없고, 정보의 자유로운 교환에 한계가 있을 수 있다. 해외 사례를 봐도 민간과 공공을 나눠서 관리하지 않는다”고 전했다. 김상배 한국사이버안보학회장(서울대 정치외교학부 교수)도 “공공·민간·군으로 각각 나뉘어 있어 조정이 원활하지 않다는 지적이 제기된다”며 “국정원이 실무를 담당하고 있지만 그보다 상위 컨트롤타워를 어떻게 마련할 것인가, 법제는 어떻게 정비할 것인가가 가장 시급한 문제”라고 밝혔다.

사진=국가정보원 제공

컨트롤타워와 관련, 보안업계에서는 “국정원이나 경찰 등 한 기관에 권한이 집중되는 것도 바람직하지 않은 만큼 각 주체가 균형 있게 권한을 가지고 활동하는 체계를 만들어야 한다”는 의견을 제시했다.

AI를 활용한 공격 대비도 서둘러야 한다. 공격자가 강력해진 만큼 기업의 방어체계도 탄탄하게 운영되어야 하는데 아직 미흡하다. 국정원은 북·중 해킹조직의 챗GPT 등 AI 기술 악용 가능성을 염두에 두고 관련 동향을 예의 주시 중이다. 보안업계 관계자는 “최근 해커들은 AI를 사용해 훨씬 더 빨리, 정교하게 기업 내부로 침투하고 있다”며 “개별 기업이 대응하기 어려운 만큼 위협 인텔리전스(위협정보 제공 서비스) 등 준비가 필요하다”고 밝혔다.

이진경 기자 ljin@segye.com