[글로벌 해킹 비상③·끝]"해커보다 한발 먼저"…각국, AI 방어·법제화 박차

[서울=뉴시스] 신효령 기자 = 해커가 표적을 찾고 높은 접근 권한을 얻기까지 3시간도 걸리지 않았다. 마이크로소프트(MS)가 지난 21일 공개한 AI 활용 공격 사례다.

하지만 국가의 대응은 법안 심사와 조직 신설, 단계적 시행을 거쳐야 한다. AI가 침입 속도를 높이면서 각국 정부가 이 시간 차를 줄이는 데 나섰다.

미국은 핵심 기반시설 방어에 역량을 모으고 일본은 공격 서버에 접근해 위협을 제거할 법적 권한을 마련했다. 중국과 유럽연합(EU)은 사고 보고를 서두르도록 하고 영국은 관련 법안 심사를 이어간다.

현장에서는 이미 대응 인력에 부담이 쏠렸다. 미국 월스트리트저널(WSJ)은 지난 29일 보안업체 소포스가 주요 사고 7건을 일주일 동안 처리했다고 보도했다. 통상 석 달에 걸쳐 다룰 수준의 업무량이었다. 해킹이 잇따르면서 사고 조사와 복구를 맡는 업체까지 대응에 쫓긴 것이다.

AI는 해킹범이 시스템의 약점을 찾고 여러 침입 경로를 시험하는 시간을 줄인다. 방어 측은 그만큼 짧은 시간 안에 이상 징후를 확인하고 접근을 차단해야 한다. 사고가 난 뒤 수습하는 것만으로는 피해 확산을 막기 어려워진 배경이다.

미국 사이버보안·인프라보안국(CISA)은 지난 26일 새 전략 'CISA 2030'을 공개했다. 위협과 예상 피해를 따져 공공안전과 경제, 국가안보에 중요한 시설에 지원과 투자를 집중한다. 침입한 해킹범이 시설 운영을 방해하기 전에 차단하는 데도 초점을 맞췄다.

60일 안에 핵심 서비스와 역량 검토에 착수하고, 180일 안에 실행·성과 측정 방안을 마련한다. 365일 안에는 진행 상황을 보고한다.

인력 확보는 과제로 남았다. 미국 매체 넥스트거브에 따르면 CISA는 트럼프 행정부 2기 들어 직원 약 3분의 1에 영향을 준 인력 감축 이후 조직을 재건하고 있다. 전략을 실행할 현장 인력을 채워야 하는 상황이다.

일본은 방어 범위를 피해기관 내부에서 공격 서버로 넓혔다. 일본 방위성은 지난 2일 기자회견에서 전날 관련 법 시행으로 자위대에 '접근·무력화' 임무가 새로 부여됐다고 밝혔다.

국가와 핵심 기반시설에 대한 중대한 사이버 공격을 막기 위해 공격 서버에 접근해 위협을 제거할 수 있게 됐다는 설명이다. 다만 권한이 생겼다는 사실이 개별 사건에서 실제 무력화 조치를 했다는 뜻은 아니다. 자위대 투입에는 법에서 정한 요건과 절차가 따른다.

민간의 약점을 먼저 찾아내는 조직도 준비한다. 아카자와 료세이(赤沢亮正) 경제산업상은 지난 23일 AI 모의공격 전문팀을 11월 중 정보처리추진기구(IPA)에 설치하도록 지시했다고 밝혔다.

해킹범의 시각으로 시스템을 시험해 취약점을 발견하고 보완하도록 돕는 조직이다. 기업 한 곳의 시스템 중단이나 정보 유출이 공급망 전체로 번질 수 있는 만큼, 방어에도 AI를 활용해 대응 속도를 높이려는 취지다.

중국은 AI 위험 관리와 사고 보고 체계를 강화했다. 올해 1월1일 시행한 개정 네트워크안전법에는 AI 위험 감시·평가와 안전 감독을 강화하는 조항을 넣었다. AI 등 신기술을 활용해 네트워크 보안 수준을 높이는 방향도 명시했다.

사고 보고 시한은 운영자의 성격에 따라 나눴다. 지난해 11월1일부터 시행한 '국가 네트워크안전 사건 보고 관리방법'은 일정 등급 이상의 사고를 발견하거나 알게 된 경우 신속히 보고하도록 했다.

핵심 정보기반시설 관련 사고는 운영자가 관계 부처와 공안에 즉시 보고하되 늦어도 1시간을 넘겨서는 안 된다. 중앙·국가기관과 직속기관은 소관 보고 담당 조직에 2시간 안에, 그 밖의 네트워크 운영자는 관할 성급 당국에 4시간 안에 보고해야 한다.

원인과 영향을 파악하지 못했더라도 기본 내용을 먼저 보고하고 추가로 알릴 수 있다. AI 해킹에만 적용되는 규정은 아니다.

EU는 지난 9월11일부터 사이버복원력법에 따라 디지털 제품 제조업체의 신고 의무를 강화했다. 실제 공격에 악용되는 취약점이나 제품 보안에 영향을 주는 중대한 사고를 인지하면 24시간 안에 조기 경보를 보내고 72시간 안에 정식 신고해야 한다.

EU 사이버보안청(ENISA)은 한 번의 신고로 관련 당국에 정보를 전달하는 단일 플랫폼을 가동했다. 제품 보안에 관한 주요 의무는 내년 12월11일부터 적용된다.

영국은 법 개정과 AI 방어를 병행한다. 영국 의회가 지난 27일 공개한 일정에 따르면 상원은 11월2일 사이버보안·복원력 법안의 제3독회를 진행할 예정이다. 법안 문구를 최종 점검하고 수정할 수 있는 단계로, 입법이 완료된 것은 아니다.

법안은 의료와 식수, 에너지 등 필수 서비스를 보호하고 사고 신고 체계를 정비하는 내용이다. 심사 과정에서는 서비스업체와 소프트웨어 제조사에 대한 규율, 핵심 공급업체 지정과 공급망 취약점 등도 논의됐다.

정부 시스템에는 AI를 먼저 투입했다. 영국 정부는 지난 12일 두 차례 시범사업에서 AI가 잠재적 취약점 1000건 이상을 발견하고 수정하는 데 기여했다고 밝혔다. 해킹범이 악용하기 전에 정부가 먼저 약점을 찾아 고치겠다는 것이다.

각국의 제도는 목적과 적용 범위가 다르다. 공격 서버를 무력화하는 권한과 사고 신고 의무, 제품 보안 기준을 하나의 AI 해킹 대책으로 묶기는 어렵다. 다만 피해가 커지기 전에 위협을 발견하고 정보를 공유해야 한다는 방향은 같다.

신고 시한이 현장 대응을 미뤄도 되는 시간을 뜻하지는 않는다. 기업은 당국에 보고하는 동안에도 해킹범의 접속을 차단하고 피해 확산을 막아야 한다. 정부 역시 법 시행과 조직 신설을 기다리는 사이 생기는 공백을 줄여야 한다.

방어 성과는 법의 개수보다 실제 대응 시간에서 드러날 전망이다. 약점을 얼마나 빨리 고치고 중단된 서비스를 언제 되살리는지가 관건이다. 해킹범이 여러 표적을 동시에 노리는 상황에서 정부와 기업도 신고와 조사, 차단과 복구를 함께 진행해야 한다.


◎공감언론 뉴시스 [email protected]