해킹은 전방위인데 대응은 칸막이…'사이버 차르'가 바꿀까

[서울=뉴시스]윤정민 기자 = 같은 해킹 사고라도 피해를 본 곳이 금융회사인지, 공공기관인지, 일반 기업인지에 따라 신고와 조사 기관이 달라진다. 적용 법률도 제각각이다.

금융회사의 개인신용정보가 유출되면 금융위원회와 금융감독원이 조사하고 금융보안원이 기술 분석을 지원한다. 공공기관에서 개인정보가 유출되면 국가정보원이 기술 조사를, 개인정보보호위원회가 개인정보 보호법 위반 여부를 조사한다. 온라인 쇼핑몰은 과학기술정보통신부와 한국인터넷진흥원(KISA)에 침해 사실을 신고한다.

같은 취약점을 악용한 공격이라도 대응 체계는 분야별로 나뉘어 있는 셈이다. 여러 기관이 동시에 피해를 입거나 공격이 산업 전반으로 확산하면 신속한 공동 대응이 어려워질 수밖에 없다.

공공과 민간을 가리지 않는 해킹 피해가 잇따르자 이재명 대통령이 '사이버 보안 차르' 기구 구성을 검토하라고 지시한 것도 이런 문제의식에서다. 인공지능(AI)으로 해킹의 속도와 범위가 커지는 만큼 범정부 차원의 대응 체계를 강화해야 한다는 취지다.

이 대통령은 3일 국무회의에서 "흩어져 있는 보안 기능을 총괄 조정할 수 있는 강력하고 실효적인 '사이버 보안 차르' 기구 구성을 적극 검토해달라"고 지시했다. 특정 현안을 책임지고 총괄·조정하는 강력한 수장을 뜻하는 '차르'를 직접 언급하며 범정부 대응 체계 개편을 당부한 것이다.

현재 국가 사이버 안보 대응을 총괄·조정하는 컨트롤타워는 대통령실 국가안보실이 맡고 있다.

실무 대응은 분야별로 나뉜다. 공공기관은 국가정보원, 민간 기업은 과기정통부, 국방 분야는 국방부가 담당한다. 금융 분야는 금융위와 금감원, 금융보안원이 역할을 분담한다.

기관 간 협력 체계도 이미 가동 중이다. 국가안보실 3차장이 주재하는 국가사이버안보협의회가 부처 간 협력을 조율한다. 국가안보실 감독 아래 민·관·군이 참여하는 국가사이버위기관리단도 운영되고 있다.

문제는 협력 체계가 있다고 해서 신속한 공동 대응까지 보장되는 것은 아니라는 점이다. 여러 부처와 산업을 동시에 겨냥한 공격이 발생하면 조사와 정보 공유, 긴급 조치 과정에서 기관 간 조율이 지연될 수 있다. 이에 국가사이버안보위원회나 사이버안보청 등 별도 전담기구를 신설해야 한다는 주장도 다시 힘을 얻고 있다.

정치권에서는 대통령이나 안보실장을 위원장으로 하는 국가사이버안보위원회 신설 법안이 잇따라 발의됐다. 지난해 유용원·김상훈 국민의힘 의원과 올해 엄태영 국민의힘 의원이 발의한 법안도 대통령 소속 국가사이버안보위원회 신설을 담았다. 위원장은 유 의원안의 경우 대통령, 김 의원안과 엄 의원안의 경우 국가안보실장으로 정했다.

시민사회에서는 독립적인 보안 감독기구가 필요하다는 목소리도 나온다. 경실련은 4일 국무총리 소속의 독립적인 '사이버보안감독원' 신설을 촉구했다.

경실련은 "민간과 공공기관의 보안 실태를 상시 감사하고 시정조치까지 직접 확인할 전담 감독원이 필요하다"며 "국정원은 안보 정보에 집중하고 보안 감사는 감독원으로 일원화해야 한다"고 주장했다.

다만 새로운 조직을 만드는 것만으로 문제가 해결되기는 어렵다는 지적도 나온다. 분야별 보안 특수성을 고려해야 하는 데다 기존 기관과의 권한 중복도 조정해야 하기 때문이다.

금융은 고객 자산과 거래 연속성, 국방·외교는 기밀 보호가 핵심이다. 분야별 전문성과 기존 대응 체계를 무시한 일괄적인 권한 통합은 오히려 혼선을 키울 수 있다.

실제 관련 법안 검토 과정에서도 부처 간 이견이 드러났다. 유 의원안과 김 의원안의 검토보고서에 따르면 과기정통부는 국정원의 민간 영역 개입을 우려하며 국가안보실을 중심으로 민·관·군 협력을 강화하는 방안을 제안했다. 금융위는 중복 규제를, 국방부는 다른 기관의 군 조직 직접 통제를 우려했다.

전문가들은 새 조직 신설보다는 국가안보실을 중심으로 기존 대응 체계의 실질적인 권한과 실행력을 높이는 데 무게를 두고 있다.

권헌영 고려대 정보보호대학원 교수는 "국방부와 국정원, 경찰, 개인정보위가 각자 맡은 역할이 있다"며 "새 조직을 만드는 것만으로 문제가 해결된다고 보지는 않는다"고 말했다.

손기욱 서울과학기술대 교수(한국사이버안보학회장)는 "협의할 수 있는 체계와 긴급한 공동조치를 결정하고 끝까지 확인하는 체계 사이에는 차이가 있다"며 "누가 공동 대응을 발동하고 분석을 주관하며 조치 완료를 확인할지 명확해야 한다"고 전했다.

공동 대응의 책임자와 함께 실제로 움직일 인력·예산을 갖추는 일도 과제다.

권 교수는 "국가안보실이 실질적인 역량을 갖추고 다른 부처를 이끌 수 있도록 기능을 강화할 방법을 찾아야 한다"며 "안보실에 전문 대응팀을 붙이는 방안도 고민할 수 있다"고 말했다.

손 교수도 "국가안보실을 중심으로 기존 협의회와 위기관리단의 임무·역할을 강화하는 방향이 좋다"며 "긴급 대응에 쓸 예산과 집행·사후 조치 확인 권한을 갖춰야 한다"고 주장했다.

민·관이 함께 움직일 수 있는 실무 체계도 필요하다. 피해 기관뿐 아니라 보안기업과 제품 공급사까지 공동 분석에 참여하고, 취약점 확인부터 긴급 차단과 복구 이후 안전성 검증까지 이어지는 대응 절차를 갖춰야 한다. 이를 위해 평상시 공동 훈련으로 기관 간 협업 체계를 점검해야 한다는 제안도 나온다.

구태언 법무법인 린 변호사도 "단일 신고 창구 마련과 부처 간 실시간 정보 공유, 중복 점검 상호 인정 등 현장에서 필요한 법적 근거부터 빠르게 정비해야 한다"고 제안했다.


◎공감언론 뉴시스 [email protected]