[디지털데일리 이종현기자] “윤석열 대통령과 바이든 대통령은 사이버 적대세력 억지, 핵심 기반 시설의 사이버보안, 사이버 범죄 및 이와 관련한 자금세탁 대응, 가상화폐 및 블록체인 애플리케이션 보호, 역량 강화, 사이버 훈련, 정보 공유, 군 당국 간 사이버 협력 및 사이버 공간에서의 여타 국제안보 현안에 관한 협력을 포함하여, 지역 및 국제 사이버 정책에 관한 한미 간 협력을 지속 심화시켜 나가기로 했다.”(2022년 5월 21일 한-미 정상 공동성명 중 일부)

윤석열 대통령과 조 바이든 미국 대통령이 지난 21일 한미정상회담 후 공동성명에서 함께 사이버보안을 강조했다. 사이버보안을 안보 차원에서 접근하겠다고 발표함에 따라 향후 사이버보안 관련 정책 발굴·이행에 탄력이 붙을 것으로 예상된다.

그 시작이 될 만한 것은 윤 대통령이 공약한 국가사이버안보위(이하 사이버안보위) 구성이다. 민간은 과학기술정보통신부(이하 과기정통부), 공공기관은 국가정보원(이하 국정원), 군은 국방부 등으로 분산돼 있는 사이버보안 지휘체계를 통합하는 것이 핵심 골자다.

◆사이버위기경보 3단계 ‘주의’ 발령 81일째··· 위협받는 일상

전문가들은 사이버보안의 중요성은 아무리 강조해도 부족하다고들 말한다. 모든 것이 디지털화되는 오늘날 사이버 위협은 과거보다 심각한 사태를 초래한다. 작년 발생한 아파트 월패드 해킹이 대표적 사례다.

2021년 11월 다크웹에 한국 아파트 내부를 촬영한 동영상의 대규모 유출 사건도 발생했다. 벽에 부착된 형태로 가정 내 사물인터넷(IoT) 기기를 제어하는 단말기 월패드가 해킹됨에 따라, 월패드와 연동된 카메라 영상이 노출된 사례다. 700여개 아파트 단지가 피해를 입었다.

아파트 월패드 해킹이 개인의 일상을 위협한다면, 2021년 6월 발생한 한국원자력연구원, 한국항공우주산업(KAI) 해킹은 사이버보안이 ‘안보’ 차원으로 접근돼야 한다는 목소리가 나오도록 한 케이스다. 박지원 전 국정원장은 “공들여 쌓은 기술 금자탑도 해킹으로 1초만에 무너질 수 있다”고 말하기도 했다.

올해 3월에는 랩서스(LAPSUS$)라는 해킹조직에 의해 국내 최대 기업인 삼성전자의 기밀 데이터가 고스란히 노출되는 사고가 발생했다. 해당 조직은 삼성전자에 이어 LG전자도 해킹했다. 삼성전자·LG전자의 해킹은 국내 어느 기업도 해킹에서 안전하지 않다는 경각심을 갖게 했다.

정부는 3월 11일부터 정상, 관심, 주의, 경계, 심각으로 구분되는 사이버위기경보를 3단계인 ‘주의’로 발령했다. 주의는 ▲일부 정보통신망 및 정보시스템 장애 ▲침해사고가 다수기관으로 확산될 가능성 증가 ▲국내·외 정치·군사적 위기발생 등 사이버안보 위해 가능성 고조 등의 경우에 발령된다. 81일째 경보를 유지 중이다.

사이버위기경보 발령은 러시아의 우크라이나 침공이 계기다. 전쟁이 물리적 충돌과 비물리적 사이버 전쟁이 복합적으로 이뤄지는 ‘하이브리드 전쟁’ 양상으로 전개됨에 국내에도 여파가 미칠 수 있다는 가정 때문이다.

◆사이버보안 강화에 한발 앞선 미국··· 취임 전부터 대형 사고 경험

바이든 대통령이 사이버보안을 강조하는 것은 유별난 일이 아니다. 미국은 바이든 대통령 취임 직전부터 현재까지 줄곧 큼직한 사이버보안 사고를 겪어왔다.

바이든 대통령이 당선인 신분이던 2020년 12월, 미국 정부 전산망에 대규모 피해를 입힌 솔라윈즈(SolarWinds) 랜섬웨어 사태가 대표적이다. 1만8000개 기업·기관이 피해를 입었는데, 이중에는 미국 핵무기를 담당하는 에너지부나 국가핵안보실(NNSA)도 포함됐다. 공급망 공격의 위험성을 알리는 대표적인 사례다.

그는 당선 초 “취임하는 순간부터 침입에 대응하는 것을 최우선 순위에 두겠다. 동맹, 파트너와 조율해 해로운 공격에 책임 있는 이들에게 대가를 지불토록 하겠다”고 선언했다.

5월에는 미국 최대 송유관 운영사 콜로니얼 파이프라인이 랜섬웨어에 감염돼 휘발유 공급이 중단된 바 있다. 산업시설 역시 사이버공격의 대상이 될 수 있다는 경각심을 일깨운 사건이다. 7월에는 솔라윈즈와 닮은꼴인 공급망 공격 사례, 카세야(Kaseya) 랜섬웨어 사태를 겪기도 했다.

몇년은 회자될 만한 대형 사고가 한해에 연이어 터지자 바이든 행정부도 칼을 빼들었다. 임기 직후 ‘해커와의 전쟁’에 나선 바이든 행정부는 미국을 대상으로 하는 사이버공격에 가담한 수십개 기업·기관을 제재했고, 외교관 신분이던 러시아 정부 당국자 10명을 추방했다.

또 ‘무엇도 신롸하지 말라’라는 보안 방법론, 제로 트러스트(Zero Trust)를 강조하며 국가 사이버보안 강화를 위한 행정명령을 발표했다. 이밖에 주요 랜섬웨어 그룹에 현상금을 거는 한편 국제사회와 협력해 랜섬웨어 조직에 대한 제재에 나섰다. 한국, 우크라이나 등과 협력해 랜섬웨어 조직 클롭(Cl0p)을 체포하는 ‘오퍼레이션 사이클론’이 상징적인 사례다.

미국은 올해 1월 26일, 연방기관에 제로 트러스트 네트워크 액세스(ZTNA) 전략 및 목표를 2024년까지 완료하도록 하는 이행계획을 발표했다. 한국 역시 지난 4월 과기정통부 역시 제로 트러스트 관점에서 단계별 검증 조치 강화를 권고했다.

◆국가사이버안보위 구성·10만 보안인재 양성 등 윤 대통령 공약 탄력

지속하는 위협에 윤석열 대통령은 민·관·군 등으로 분산돼 있는 사이버보안 지휘체계를 통합하겠다고 공약했다. 특정 영역을 대상으로만 해킹이 이뤄지지는 않는 만큼, 모든 영역을 아우르는 사이버보안 지휘체계를 마련한다는 취지다.

다만 새 정부 출범 이후 사이버안보위에 대한 구상은 아직 구체화되지 않은 상태다. 2개월가량의 대통령직인수위원회에서도 사이버보안 관련 목소리는 중요 화두로 떠오르지 않아 우려가 가중되던 중, 한-미 정상 공동성명에서 사이버보안이 강조됨에 따라 논의에 속도가 붙을 것으로 기대된다.

특히 윤 대통령은 공동성명에서 북한을 겨냥해 “북한 사이버 위협과 같은 비대칭 역량에 대한 협력도 강화하겠다”고 언급했다. 국내 보안사고 상당수의 지분을 차지하고 있는 북한은 미국을 대상으로도 활발하게 공격을 펼치고 있다. 미국은 북한을 중국, 러시아, 이란과 함께 ‘4대 해커 국가’로 지목하며 경계해오고 있다.

윤 대통령의 또다른 공약인 ‘사이버보안 전문가 10만명 양성’도 구체화될 것으로 보인다.

보안업계 관계자는 “다른 중요한 현안들이 산적해 있다 보니 사이버보안이 후순위로 밀리는 것 아니냐는 우려가 있었다. 그러던 와중에 양국 대통령의 공동성명에서 사이버보안이 강조돼 깜짝 놀랐다. 사이버안보위 구성을 비롯해 보안 인력 양성 등 윤 대통령의 주요 공약들이 잘 이행되길 기대한다”고 말했다.

전 청와대 안보특보를 지낸 임종인 고려대학교 석좌교수는 “윤석열 정부가 역대 처음으로 국정과제에 사이버보안을 포함시켰다. 거기에 한미 정상 공동성명에서 사이버보안을 총 12번 언급한 것도 고무적인 일”이라며 “윤석열 대통령이 국가 사이버안보의 최고 책임자임을 인식하고 우선순위를 제시하길 기대한다”고 말했다.