금융권의 잇따른 해킹과 고객정보 유출은 국가 사이버안보에 중요한 질문을 던진다. 우리는 공격을 막을 준비만 하고 있는가, 아니면 침해가 발생해도 국민의 일상을 지킬 준비까지 하고 있는가. 크라우드스트라이크의 공개 분석에 따르면, 최근 국내 금융기관을 겨냥한 공격에는 인공지능(AI) 기반 침투시험 도구 아르텍스(ARTEX)와 대규모언어모델(LLM)이 활용됐다. 주목할 것은 AI라는 이름 자체가 아니다. 익숙한 취약점을 찾아 악용하는 과정이 자동화되면서 공격의 속도와 규모가 커지고 있다는 점이다. 방어의 목표도 침입 차단을 넘어 피해 확산 억제와 핵심 기능의 지속으로 넓어져야 한다.
국가 사이버 회복력은 개별 기관의 방어 수준을 넘어선 국가적 능력이다. 학술적으로 '국가가 여러 계층으로 구성되어 있고, 핵심 자산을 동원해 사이버 공간에 가해지는 특정 유형의 손상에 대처하고 결국 정상 상태로 회복하는 능력'으로 정의된다. 침해를 예상하고, 충격을 견디며, 핵심 기능을 유지하거나 신속히 복구하고, 경험을 다음 설계에 반영하는 능력이다. 금융·통신·에너지·의료 등 개별 부문의 대응 역량은 물론, 한 부문의 피해가 다른 부문으로 번지는 것을 막는 국가적 역량까지 포함한다. 여기서 중요한 구분이 있다. 서비스가 계속 운영된다고 해서 회복력이 확보된 것은 아니다. 고객정보가 유출되거나 거래 기록의 정확성을 신뢰할 수 없다면, 화면이 정상적으로 열려도 안전한 서비스라고 할 수 없다. 반대로 피해 확산을 막기 위해 일부 기능을 일시 중단하는 것은 책임 있는 대응일 수 있다. 회복력의 목표는 무조건적인 무정지가 아니라, 국민에게 필요한 기능을 안전하게 유지하고 신뢰할 수 있는 상태로 복구하는 것이다.
한국은 2024년 국가사이버안보전략에서 국가 핵심인프라의 사이버 복원력 강화를 제시했다. 이제 필요한 것은 선언을 실행 기준으로 바꾸는 일이다. 무엇을 반드시 지켜야 하는지, 어느 정도의 중단과 데이터 손실까지 허용할 수 있는지, 누가 복구를 결정하고 책임질 것인지가 구체적이어야 한다. 이를 위해 네 가지 기반을 강화해야 한다.
첫째, 거버넌스다. 보안 평가에는 취약점 조치와 통제 준수뿐 아니라 핵심 서비스의 지속 능력이 포함돼야 한다. '보안 장비가 있는가'에 더해 '침해 시 어떤 기능을 유지할 수 있는가' '목표한 시간 안에 검증된 데이터를 복구할 수 있는가'를 물어야 한다. 기관별 복구 계획만으로는 충분하지 않다. 여러 기관이 의존하는 통신망, 인증체계, 클라우드와 공급업체의 장애가 동시에 확산되는 상황도 점검해야 한다. 책임 있는 의사결정 체계와 지속적인 예산이 이를 뒷받침해야 한다.
둘째, 기술 역량이다. AI는 대량의 기록을 분석하고 이상 징후를 찾아 대응을 지원하는 데 유용하다. 그러나 관리되지 않는 시스템과 과도한 접근 권한을 AI가 대신 해결해 주지는 못한다. 인터넷에 노출된 부가 서비스와 외주 운영 시스템까지 파악하고, 인증 이후에도 데이터 접근 권한을 확인해야 한다. 침해된 영역을 신속히 격리하고 핵심 기능을 분리해 운영할 수 있어야 한다. 백업 역시 보유 여부보다 공격자로부터 보호돼 있는지, 실제로 복원할 수 있는지가 중요하다.
셋째, 사람과 훈련이다. 대응 계획은 문서가 아니라 실행으로 검증해야 한다. 고객정보 유출과 서비스 장애가 함께 발생하거나 관리자 계정과 백업이 동시에 침해되는 상황을 가정해야 한다. 보안 담당자뿐 아니라 경영진, 현업, 고객 대응 조직과 외부 협력사가 함께 훈련해야 한다. 훈련의 성과는 참여 인원이 아니라 탐지·격리·복구에 걸린 시간, 그리고 끝까지 유지한 핵심 기능으로 평가해야 한다.
넷째, 협력과 신뢰다. 정부와 민간은 위협 정보를 공유하는 데서 나아가 공동 대응 절차와 복구 지원체계를 갖춰야 한다. 동시에 피해 국민에게 무엇이 확인됐고, 무엇이 아직 불확실한지, 어떤 보호 조치를 취해야 하는지 신속하고 일관되게 알려야 한다. 정보 유출로 인한 사기와 계정 탈취 등 2차 피해를 줄이는 일도 회복력의 일부다. 시스템을 복구해도 국민의 신뢰를 회복하지 못하면 대응은 끝난 것이 아니다.
공격 배후의 규명은 수사와 재발 방지를 위해 중요하다. 그러나 배후가 밝혀질 때까지 핵심 서비스 보호를 기다릴 수는 없다. 피해를 억제하고 서비스를 지키는 대응은 배후 규명과 병행돼야 한다.
사이버 회복력은 공격이 끝난 뒤 시작하는 복구 사업이 아니다. 평상시 설계에 반영되고, 공격 중에 작동하며, 사고 이후의 학습으로 강화되는 국가 운영 원칙이다. 우리가 물어야 할 것은 '얼마나 많은 공격을 막았는가'만이 아니다. '뚫렸을 때 무엇을 지켰고, 얼마나 빨리 신뢰할 수 있는 상태로 돌아왔는가'다. 방어의 성과를 국민의 일상이 얼마나 지켜졌는지로 평가할 때, 국가 사이버안보는 한 단계 더 강해질 수 있다.
손기욱 한국사이버안보학회장·서울과학기술대학교 컴퓨터공학과 교수 kiwook@seoultech.ac.kr