"보안 각자도생 한계"… 취약점 발굴 등 범국가 방어망 필요 [마이너스데이, 생존이 된 보완]

(4·끝) 민관 공동방어체계 구축
李대통령 '사이버 차르' 지시
부처 칸막이 제거 전문성 유지
정책 일관성 높여 시너지내야
"한국형 NIST 구축 필요" 제언
보안 패치 적용 의무화 언급도

사이버보안 위협이 국가적 문제로 확산되면서 개별 기업에 책임을 묻는 방식에서 벗어나 범정부 차원의 공동방어체계를 구축해야 한다는 목소리가 커지고 있다. 부처별 보안정책에 공통 기준을 마련하고, 민관이 발굴한 취약점이 실제 보안 조치로 이어지도록 제도적 기반을 강화해야 한다는 지적이다.

15일 정치권과 보안업계에 따르면 이재명 대통령은 최근 국무회의에서 공공과 민간을 아우르는 '사이버보안 차르' 기구 구성 검토를 지시했다. 국회에서도 대통령 소속 국가사이버안보위원회 설치 등 컨트롤타워 신설을 핵심으로 한 입법안이 발의되며 대응체계 개편 논의가 본격화하고 있다. 잇따른 해킹 사고를 개별 기업의 보안 실패가 아닌 국가 차원의 방어 역량 문제로 접근해야 한다는 취지다.

■컨트롤타워 신설보다 부처 간 칸막이 제거가 우선

전문가들은 새로운 컨트롤타워 설치보다 부처 간 칸막이를 허물고 정책 일관성을 확보하는 것이 우선이라고 지적한다. 현재 사이버보안 업무는 민간 분야의 과학기술정보통신부, 국가·공공 분야의 국가정보원, 금융 분야의 금융위원회 등으로 나뉘어 있어 부처 간 정책 조율이 쉽지 않은 구조다. 각 부처의 전문성을 유지하면서도 범정부 차원의 공통 기준을 마련해야 한다는 설명이다.

이미 국가안보실이 사이버안보 정책의 컨트롤타워 역할을 맡고 있다는 점도 조직 신설 실효성을 따져봐야 하는 이유로 꼽힌다. 국가안보실은 각 부처에 대한 직접적인 예산·인사권이 없어 정책 조정에 한계가 있는 만큼, 새로운 기구를 설치하더라도 실질적인 권한이 뒷받침되지 않으면 부처별로 분산된 대응체계가 되풀이될 수 있다는 지적이다.

김승주 고려대 정보보호대학원 교수는 "당장 부처 조직을 통합하거나 국가안보실에 예산·인사권을 부여하기는 어려운 만큼 부처별 전문성을 유지하면서 시너지를 낼 수 있는 방안을 마련해야 한다"며 "미국 국립표준기술연구소(NIST)를 벤치마킹한 '한국형 NIST'를 구축할 필요가 있다"고 제언했다. 미국은 연방정보보안현대화법(FISMA)에 근거해 NIST가 연방정부에 적용되는 공통 보안표준과 지침을 개발하고, 각 기관이 분야별 특성에 맞는 요구사항을 추가하는 체계를 운영하고 있다. 김 교수는 "우리나라도 부처마다 별도로 보안정책을 추진하는 부처별 칸막이를 없애고 공통 표준을 마련해 각 부처가 이를 활용하도록 해야 한다"고 강조했다.

■취약점 공동 발굴 넘어 패치 적용까지 의무화해야

정책 일관성을 확보하는 동시에 정부와 민간이 발굴한 취약점을 실제 보안 조치로 연결하는 것도 과제다. 이미 취약점 정보 공유와 공동 대응을 위한 협력체계가 확산하고 있는 만큼, 패치 적용과 사후 점검까지 뒷받침할 제도적 기반이 필요하다는 지적이다.

국가인공지능전략위원회와 과기정통부, 국정원, 한국인터넷진흥원(KISA)은 지난 5월 민간기업 7곳과 공공기관 8곳이 참여하는 '보안 취약점 신고·조치·공개(CVD·VDP)' 시범사업에 착수했다. 화이트해커가 허용된 범위에서 취약점을 발굴해 신고하면 해당 기관이 이를 확인·조치한 뒤 관련 정보를 공개하는 방식이다. 정부는 시범사업 결과를 토대로 내년 제도화를 추진할 계획이다.

다만 제도의 실효성을 높이려면 취약점 발굴과 신고를 넘어 위험도에 따른 조치 시한을 설정하고, 시한에 맞게 보안 패치를 적용하도록 의무화해야 한다는 설명이다. 김 교수는 "취약점 위험도에 따라 정해진 시한 내 고치도록 하는 '업데이트 데드라인 제도'가 필요하다"며 "취약점 신고 제도를 만든다 하더라도 취약점 개선과 연계되지 않으면 아무런 효과가 없을 것"이라고 강조했다.

[email protected] 최혜림 기자