2025년 10월 정부는 사이버보안 컨트롤타워인 국가안보실을 중심으로 과학기술정보통신부, 금융위원회, 개인정보보호위원회, 국가정보원, 행정안전부 등 관계부처 합동으로 민간과 공공을 아우르는 범부처 정보보호 종합대책을 내놨다. 같은 해 11월 쿠팡이 3370만명의 개인정보를 유출하는 사고가 벌어졌다. 배경훈 부총리 겸 과기정통부 장관이 팀장을 맡아 국토교통부, 고용노동부, 외교부 등 관계부처와 개인정보보호위, 공정거래위원회, 국세청, 경찰청, 국가정보원 등 10여개 부처로 범부처 태스크포스(TF)를 꾸리고 사고 조사와 소상공인 등 국민피해 대응에 나섰다.
전 국민 60% 이상의 개인정보와 공동현관 비밀번호까지 유출된 초대형 사고였지만 10월 계획에서 언급된 사이버보안 컨트롤타워는 존재감이 없어 보인다. 그사이 쿠팡은 "'정부 지시'에 의해 조사를 했다"며 돌연 셀프조사 결과를 발표했고, 정부는 "지시한 적 없다"며 협조요청과 지시 사이에서 우왕좌왕했다. 범정부TF에 참여하는 각 부처는 인력 부족을 호소하고, 업무협조와 지시 사이에서 허점이 드러났다.
사령탑의 존재감 부재는 이번만이 아니다. SK텔레콤, KT, LG유플러스, 롯데카드 같은 대기업들의 해킹 사고에서도 정작 진범에 대한 조사와 유출된 개인정보의 악용을 막을 근본대책 마련은 뒷전으로 밀리고, 통신사 해지 위약금 면제 같은 면피용 대책에만 그치고 있는 이유도 컨트롤타워가 작동하지 않기 때문 아닌가 싶다.
수년간 반복되는 사이버보안 컨트롤타워 부재 논란의 이면에 국가정보원이라는 정보기관의 업무범위를 둘러싼 정부와 정치권의 복잡한 고민이 있다는 얘기가 들린다. 사이버보안 분야에서 사실상 국정원을 실행조직으로 두고 있는 국가안보실이 민간의 사이버위협에 관여할 수 있도록 문을 열어줘도 좋은가에 대한 해답을 찾지 못했다는 것이다. 쿠팡의 개인정보 유출 사고 직후 국정원이 '중국 국적의 외국인이 유력 용의자로 거론되고 있고, 대규모 국민 개인정보 유출이 국가안보에 위협이 될 수 있다'며 범정부 조사단 참여 필요성을 제기했지만, 정부가 멈칫거렸다는 얘기도 들린다. 현행 체계상 사이버보안 업무는 국정원이 공공부문을, 과기정통부가 민간부문을 각각 맡고 있다. 정보통신기반보호법 제7조는 '금융 정보통신기반시설 등 개인정보가 저장된 모든 정보통신기반시설에 대하여 기술적 지원을 수행하여서는 아니된다'고 명시하고 있다. 민간의 개인정보를 국정원이 직접 들여다보지 못하게 하는 조항이다. 결국 국가 사이버보안 컨트롤타워는 민간기업의 사이버 침해 사고에 직접 개입할 수 없으니, 컨트롤타워가 작동할 방법이 없다.
2025년에만 유출된 개인정보가 6000만건에 달한다. 통신, 금융, 이커머스 등 분야도 다양해 유출된 개인정보들이 합쳐지면 전 국민이 어떤 범죄에 노출될지 가늠하기도 어렵다. 이쯤 되면 국가 사이버보안 컨트롤타워를 실제 작동 가능하도록 하는 방향으로 다시 논의를 시작하는 것이 시급하지 않을까 싶다.
국가안보실이 명실상부한 사이버보안 컨트롤타워로 기능하도록 정보기관을 적극 활용할 것인지, 컨트롤타워의 지휘봉을 과기정통부로 넘겨 상설 사이버보안 지휘체계를 정비할 것인지 말이다. 정보기관의 사이버보안 정보 수집을 어느 선까지 허용하고, 시스템 접근권한을 어디까지 보장할 것인지, 해외에서 거래되는 한국인의 개인정보를 어떻게 삭제할 것인지 종합적으로 논의하고 제도화해야 한다. 사이버위협이 시작된 지점을 공공과 민간으로 구분하는 장벽을 걷어내고, 국민이 안심할 수 있는 사이버보안 거버넌스를 세울 논의가 절실하다. 전 국민이 불안한 대형 사이버위협에 노출될 때 정부가 임시TF를 만들어 단기처방만 내놓는 일이 반복되면 안 된다.
cafe9@fnnews.com 이구순 기자
※ 저작권자 ⓒ 파이낸셜뉴스, 무단전재-재배포 금지