“SKT·예스24 해킹 사태 보고도”...AI 100조 투자, 보안 예산은 빠져있다는데

국가 보안 경쟁력 확보 없이는
AI 3강도 소버린 AI도 난망
컨트롤타워 통합·일원화하고
국가 차원 장기전략 마련해야

최근 매일경제 본사에서 열린 사이버 보안 좌담회에 참석한 전문가들이 토론에 앞서 기념촬영을 하고 있다. 왼쪽부터 이원태 국민대 특임교수(전 KISA 원장), 김창오 정보통신기획평가원(IITP) 정보보안 PM, 조영철 한국정보보호산업협회(KISIA) 회장, 김정녀 한국전자통신연구원(ETRI) 사이버보안연구본부장, 김동조 한컴위드 최고기술책임자(CTO). 김호영 기자

SK텔레콤과 예스24를 겨냥한 대규모 사이버 공격은 한국 사회의 보안 인식과 대응 체계의 민낯을 드러냈다. 기술적 실패를 넘어 국가보안 체계의 구조적 취약성이 고스란히 드러났다는 평가다. 전문가들은 한국이 국가 차원의 통합보안 전략을 서둘러 마련해야 할 시점에 도달했다고 입을 모은다. 매일경제는 조영철 한국정보보호산업협회(KISIA) 회장, 김창오 정보통신기획평가원(IITP) 정보보안 PM, 김동조 한컴위드 최고기술책임자(CTO), 이원태 국민대 특임교수(전 KISA 원장), 김정녀 한국전자통신연구원 사이버보안연구본부장 등 국내 최고 보안 전문가들과 좌담회를 열고 한국 사이버 보안의 현주소와 대응 방안을 논의했다. 아래는 일문일답.

― 최근 해킹 공격 트렌드는.

▷조영철 회장=‘조직적인 범죄’와 ‘광범위한 무작위 공격’ 두 가지로 요약할 수 있다. SK텔레콤은 기반시설에 대한 타깃형 공격으로 몇 년 전부터 조직적으로 공격이 이뤄졌고 그 배후에 특정 국가가 연관돼 있을 가능성도 있어 보인다. 예스24는 무작위적인 랜섬웨어 공격 사례이며, SK텔레콤 역시 무작위 공격에 우연히 걸렸을 가능성도 있다. 인공지능(AI) 발전으로 사이버 공격은 더 정교하고 무차별적으로 이뤄지고 있으며 보안망이 쉽게 뚫리고 있다.

▷김정녀 본부장=공격자의 성격이 달라졌다. 과거에는 폐쇄적이고 개별적인 해킹 그룹의 공격이었다면 지금은 훨씬 더 산업화되고 조직화된 형태로 진화해 다국적인 범죄조직이 움직이는 느낌을 준다. 이젠 사이버 공격이 하나의 비즈니스 모델이 돼가고 있다고 본다. 반면 보안 투자는 기업의 우선순위에서 밀리고 있다. AI반도체나 양자 기술에는 적극적으로 투자하면서 사이버 보안에는 소극적인 태도를 보인다. 당장의 필요에만 대응하는 임시방편식 접근 방식이 반복되고 있는 상황이라 안타까운 마음이다.

[사진 = 픽사베이]

―국가적 차원에서 어떻게 대응해야 하나.

▷김창오 PM = 새 정부가 출범한 지금이 사이버 보안 강화를 위한 ‘골든타임’이다. 특히 AI 보안에 집중 투자해야 한다. AI는 사이버 보안의 게임 체인저가 되고 있다. 공격자는 AI로 공격을 정교화·자동화하고 있으며, 방어 측면에서도 AI 기반 탐지 및 대응 기술 없이는 효과적인 대응이 어렵다. 지금 AI 보안 전환을 시작하지 않으면 국가적 경쟁력에서 도태될 수밖에 없다. AI 글로벌 경쟁력을 확보하기 위해선 보안 분야에서부터 리더십을 가져야 한다.

▷조 회장=사이버 보안 없이 AI 강국은 존재할 수 없다. 이재명 정부가 추진 중인 100조원 규모의 AI 투자 중 10%, 즉 10조원은 보안에 투자해야 한다. 미국 등 주요국은 막대한 자금을 투자해 사이버 보안을 산업으로 성장시키고 있다. 오랜 기간 내수 시장에 갇혀 있던 K방산이 수십 년간의 국가 주도 연구개발(R&D) 투자 등에 힘입어 수출 효자 산업으로 거듭난 것처럼 사이버 보안도 전략적 산업으로 인식하고 긴 호흡으로 지원에 나서야 한다. 정보보호 공시 제도를 확대하고 보안 투자 금액에 대한 가이던스를 제시할 필요도 있다. 현재 6% 수준인 IT 예산 대비 보안 투자 비중을 미국 수준인 10%까지 높이는 게 적절하다고 본다.

―해외 벤치마킹 사례는.

▷이원태 교수=미국은 2021년 전력망 사이버 보안 강화를 위한 투자세 공제 제도를 입법화했다. 초고압 송전선로를 신규로 구축하면서 첨단 사이버 보안 기술을 도입할 경우 투자 비용의 일부를 세금에서 공제해주는 방식이다. 법제화를 통해 기본적인 보안 의무 수준을 끌어올리는 동시에 이를 초과한 민간의 자발적 노력에는 세제 혜택이라는 인센티브를 제공하는 정책이다. 미국 오하이오주의 ‘데이터 보호법’은 사이버 보안 관련 컴플라이언스를 성실히 준수하면 해킹사고 발생 시 책임을 일정 부분 면제해주는 제도를 마련하고 있다. 이는 보안에 최선을 다했더라도 공격을 완벽히 막을 수는 없다는 현실을 인정하면서 기업이 적극적으로 보안에 투자할 수 있도록 유도하는 제도다.

▷김동조 CTO=이스라엘의 INCD(국가사이버국), 미국의 CISA(사이버인프라보안국)처럼 사이버 보안 전반을 총괄하는 통합 기관이 존재하느냐가 한국과 다른 사이버 안보 강국과의 가장 큰 차이점이다. 한국은 국가정보원(국가보안기술연구소), 과학기술정보통신부(한국인터넷진흥원), 금융위원회(금융보안원), 국방부, 경찰청 등 여러 기관으로 역할이 분산돼 있어 유기적인 협력이나 통일된 지휘 체계 확립이 어렵다.