강력한 보안체계를 갖췄다는 금융권이 잇따라 뚫렸다. 인공지능(AI)을 활용한 공격 정황이 드러났고, 중국 광둥성의 20대가 연루됐을 가능성까지 거론된다. 관계기관장이 소집되고, 긴급회의가 열리고 있다. 문책과 재발 방지 대책이 뒤따를 것이다. 늘 그래왔듯이.
1993년 정보보안 분야에 들어온 뒤 30년 넘게 필자는 반복되는 무기력한 현장에 서 있었다. 2016년 국방망이 뚫렸을 때 보안 전문가로 용산 지하벙커의 전군 대책회의에 참석했다. 어려운 용어가 즐비한 보고였지만, 필자에게는 예산이 부족해 전군에 정품 백신을 전부 설치하지 못했다는 말로 들렸다. 장관에게 물었다. “장관님, 여기서 이러실 게 아니라 국회 앞에 가서 띠라도 두르고 백신 예산부터 확보하셔야 하는 것 아닙니까?” 장관 한 사람을 탓하려던 말이 아니었다. 보안을 안보가 아니라 줄여도 되는 비용으로 여기던 정부와 국회 모두의 인식이 그 벙커에 앉아 있었다.
5년 뒤 국회의원으로 한국원자력연구원의 해킹 실태를 조사했을 때도 데자뷔는 반복됐다. 침입자가 VPN을 뚫고 들어왔는데, 사전에 경고된 보안 취약점 패치조차 적용되지 않았다. 현장에서 담당자를 추궁하자 유지보수 예산 부족으로 공급업체의 업그레이드 지원이 중단됐다는 답변이 돌아왔다. 당을 통해 국회에 공공기관의 보안 예산 확보, 정보보호최고책임자(CISO) 의무화, 국가사이버청 같은 전담 기관의 신설을 주문했다.
장관이 되어 본 정부 전산망도 다르지 않았다. 5000만 국민의 일상을 떠받치는 기반시설인데도 개발과 운영은 외주에 크게 의존했고, 이를 총괄하는 행안부 조직은 오랫동안 국 단위였다가 2023년 9월에야 실 단위로 격상됐다. 그리고 두 달 뒤, 지방행정전산망은 해킹도 아닌 네트워크 장비의 포트 불량으로 멈춰 섰다. 국무총리의 요청으로 정부 대책을 검토하고 대안을 내는 일을 맡았다. 원인을 들여다볼수록 장비 교체나 일회성 대책으로 끝낼 문제가 아니었다. 전문가를 파격적인 대우로 영입할 수 있도록 공기업 수준의 전담 기관을 세우자고 행안부에 건의했다. 검토는 시작됐지만, 이어진 정국의 격변과 조기 정권 교체 속에 더 나아가지 못했다.
말로도, 글로도, 정책 건의로도 해 보았다. 대선 캠프 공약팀에서 사이버보안을 디지털 전략의 핵심 축으로 설계했다. 후보는 사이버보안의 중요성을 분명히 인식했고, 집권 뒤 대통령실에 사이버안보 전담 비서관이 배치됐으며, 모태펀드에는 국내 최초의 사이버보안 전용 펀드가 만들어졌다. 그러나 돌이켜보면 정부 안에서 근본적인 인식의 변화를 만들지는 못했다.
보안 예산은 사고가 나지 않으면 성과가 보이지 않는 돈이다. 그래서 가장 먼저 깎인다. 현재 국정을 결정하는 자리에는 디지털 경제가 얼마나 파괴적일지, 그 위에서 만들어지는 자산과 사회안전망을 지키는 데 사이버보안이 얼마나 중요한지 아는 사람은 많지 않다. 사고가 나면 문책으로 사람은 교체되지만, 문제를 만든 구조는 그대로 남는다.
AI 공격은 더 매서워질 것이다. 우리가 메우지 않고 미뤄 둔 구멍을 쉬지 않고, 한꺼번에 공격해 올 것이다. 그래서 정부 안에 민간 최고 수준의 전문가 집단이 자리 잡아야 한다. 이름이 사이버청이든 전담 공기업이든 좋다. 일할 수 있는 예산과 전문가를 뽑을 수 있는 인사권을 주어야 한다. 국회에도 이들을 뒷받침하고 건강하게 견제할 전문가들이 들어와야 한다. 사고가 나면 소란을 피우다 썰물처럼 빠져나가고, 예산도 인력도 없는 실무자들만 남는 조직을 더는 만들지 말아야 한다.
해킹보다 무서운 것은 같은 실패를 되풀이하면서도 문제를 끝내 해결하지 못하는 국가 거버넌스다. 이 소모적인 반복을 이제 멈추는 것. 그것이 넥스트 거버넌스 모델의 중심이다.
이영 KAIST 문술미래전략대학원 초빙석학교수·前 중소벤처기업부 장관