공공 서비스와 기업의 업무가 디지털 시스템에 의존할수록 사이버 공격의 피해는 정보 유출을 넘어 업무 중단과 잘못된 의사결정으로 이어질 수 있다. 공격을 막기 위한 노력과 함께 일부 시스템이 침해된 상황에서도 필요한 업무를 유지하고 신뢰할 수 있는 상태로 회복하는 능력을 갖춰야 한다. 사이버회복력이 필요한 이유다.
미국 국립표준기술연구소(NIST)는 사이버회복력의 목표를 예상, 견딤, 회복, 적응으로 제시한다. 위협을 예상해 준비하고, 사고의 영향을 견디며, 기능을 회복하고 변화하는 위협과 운영환경에 맞춰 설계와 운영을 조정하는 것이다. 네 가지 목표는 사고 전·중·후에 걸쳐 반복적으로 함께 추구해야 한다. 보안 성과를 평가할 때에도 침해 상황에서 업무가 어떻게 지속되고 회복되는지 확인할 필요가 있다.
인공지능데이터센터(AIDC)는 사이버회복력을 갖춰야 할 중요한 기반이다. AIDC는 인공지능(AI)의 학습과 서비스 실행에 필요한 연산 자원과 저장공간을 제공하고, 데이터와 모델을 여러 서비스에 연결한다. AIDC에서 실행되는 AI가 공공서비스와 기업의 업무 판단에 활용되면 데이터센터의 사고는 이용기관의 업무에도 영향을 줄 수 있다. 여러 서비스가 자원과 관리체계를 공유하므로 하나의 침해가 다른 서비스로 번질 가능성도 살펴야 한다. 특히 서비스가 계속 응답하더라도 변조된 모델이나 오염된 자료를 사용한다면 결과를 신뢰하기 어렵다. AIDC의 회복에는 설비와 시스템의 정상화에 더해 AI 서비스의 신뢰성을 확인하는 과정이 포함돼야 한다.
사이버회복력을 구현하는 출발점은 보안 내재화다. 보안 내재화는 업무 요구사항을 정하는 단계부터 보호 대상과 허용할 위험을 식별하고, 필요한 보안 기능과 운영 절차를 시스템 구조에 반영하는 접근이다. NIST의 시스템보안공학 지침도 보안을 시스템 수명주기 전반의 설계와 운영에 연결한다. AIDC에서는 구축 초기에 사고 중 유지할 업무, 피해 확산을 제한할 범위, 복구 후 재개 조건을 함께 정해야 한다. 대체 자원을 확보하는 비용과 시험에 필요한 시간도 사업 계획에 포함돼야 한다. 회복 목표를 나중에 추가하면 이미 결정한 자원 배치와 운영 권한을 바꿔야 할 수 있다. 따라서 사이버회복력은 설계 요구사항으로 구체화할 필요가 있다.
첫째, 사고 중 유지할 최소 업무와 그 조건을 정해야 한다. 업무 책임자는 서비스 중단이 이용자와 다른 업무에 미치는 영향을 분석해 필수 기능, 허용 중단시간과 데이터 손실 범위를 결정해야 한다. 운영자는 결정된 기준에 따라 지연 가능한 학습 작업을 조정하고 필수 AI 서비스에 자원을 우선 배정하는 방안을 검토할 수 있다. 대체 환경이 실제 수요를 감당할 수 있는지도 확인해야 한다. 다만 업무를 계속하려면 접근권한과 자료의 신뢰성, 업무상 안전성이 확보돼야 한다. 안전성을 확인할 수 없는 기능은 중지하고 담당자가 직접 처리하거나 다른 업무 절차로 전환해야 한다. 서비스 범위가 줄어들거나 대체 모델을 사용한다면 이용자에게 기능과 품질의 제한도 알려야 한다. 유지·중단 기준을 미리 정해야 사고 현장에서 운영자에게 판단의 부담이 집중되지 않는다.
둘째, 운영 환경이 침해돼도 대체 서비스와 복구 수단을 보호할 수 있도록 설계해야 한다. 서버를 다른 장소에 두더라도 같은 관리 계정이나 인증체계에 의존하면 함께 영향을 받을 수 있다. 운영 권한을 탈취한 공격자가 백업까지 삭제하거나 복구에 필요한 권한을 바꾸지 못하도록 관리 범위를 나누고 접근 경로를 제한해야 한다. 백업 자료뿐 아니라 복구에 필요한 암호키와 비상 접근 절차도 사용할 수 있는지 점검해야 한다. 분리 수준은 업무의 중요도와 의존관계, 비용을 고려해 정하되 격리 조치가 보안관제와 복구 담당자의 접근까지 막는 상황은 피해야 한다. 정보시스템을 격리하거나 복구하는 과정에서 전력·냉각 설비의 보호 기능이 훼손되지 않도록 해야 한다. 운영과 복구가 함께 중단될 수 있는 지점을 줄이는 것이 회복력 설계의 중요한 과제다.
셋째, 복구된 서비스의 신뢰성을 확인할 기준을 마련해야 한다. NIST 사이버보안 프레임워크(CSF) 2.0은 백업 등 복구 자산의 사용 전 무결성 확인과 복구된 자산의 검증을 제시한다. AIDC에서는 모델과 데이터, 접근권한, 실행 설정이 서로 맞는 조합으로 복구됐는지 확인해야 한다. 이전 버전의 백업도 생성 당시 이미 오염돼 있었을 수 있으므로 백업이 있다는 사실만으로 정상 복구를 보장할 수 없다. 복구한 서비스가 승인된 기능을 수행하고 이용자별 접근 제한을 지키는지 시험해야 한다. 운영자와 업무 책임자는 재개 승인 기준을 함께 정하고, 확인한 구성과 시험 결과를 남겨야 한다. 사고 뒤 모델이나 운영 방식이 달라지면 재개 승인 기준도 다시 검토해야 한다. 복구는 업무를 신뢰할 수 있는 상태로 되돌리는 과정이다.
예를 들어 AI 문서검색 서비스에서 파일이나 데이터의 오염이 의심되는 상황을 가정할 수 있다. 의심 자료의 사용을 제한하고 조사에 필요한 기록을 보존해야 한다. 동시에 별도의 관리 권한으로 운영되고 자료와 이용자 권한에 대한 검증을 마친 대체 서비스에서 승인된 조회 기능을 제공할 수 있다. 대체 서비스도 신뢰할 수 없다면 운영을 중지하고 다른 업무 절차로 전환해야 한다. 이후 오염 원인을 조사·해소하고 자료와 접근권한, 응답의 적정성을 확인한 뒤 서비스를 단계적으로 재개한다. 이미 제공한 잘못된 결과가 업무에 미친 영향도 살펴야 한다. 원활한 대응을 위해서는 대체 자원과 제한 기능, 복구 절차가 사전에 설계돼 있어야 한다.
법·제도도 사이버회복력 설계를 뒷받침한다. 유럽연합(EU)의 사이버보안지침(NIS2)은 적용 대상인 데이터센터 서비스 제공자에 업무연속성·재해복구 조치를 요구하며, 이행규정(EU) 2024/2690은 복구시험을 구체화한다.
국내 '정보통신기반 보호법'은 지정된 주요정보통신기반시설의 관리기관에 예방·백업·복구를 포함한 보호대책을 요구하고, 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준에도 복구목표와 시험이 포함돼 있다. 적용 대상과 법적 효력을 구분하면서 관련 요구사항을 AIDC의 모델·데이터·권한과 서비스 복구 기준으로 연결해야 한다.
국가와 발주기관은 사이버회복력 목표를 사업의 요구사항과 검수 기준에 반영해야 한다. 최소 서비스 수준과 대체 자원, 복구 조건, 사고 대응 책임을 계약에서 구체화하고 실제 배치 구성에서 시험해야 한다. 일부 계정이 탈취되거나 백업이 오염된 상황을 가정해 어떤 업무가 유지되고 무엇을 확인한 뒤 재개할 수 있는지 점검하는 방식이다. 시험은 서비스와 설비의 안전에 미치는 영향을 통제할 수 있는 환경에서 수행해야 한다. 서비스 영향과 복구 시간, 확인하지 못한 범위를 함께 기록하고 미달 항목은 개선과 재시험으로 연결해야 한다. 운영기업과 이용기관도 자원 제공, 모델·자료 검증, 업무 재개 승인의 책임을 나누고 정기적인 훈련으로 실제 이행 여부를 확인할 필요가 있다.
사이버회복력을 갖추려면 설계와 운영을 지속적으로 연결해야 한다. 모델과 데이터, 운영 권한이나 복구 구성이 크게 바뀌면 기존의 회복 목표를 충족하는지 다시 확인해야 한다. 사고와 훈련에서 발견한 실패를 다음 설계와 시험에 반영하고, 필요한 인력과 예산을 지속적으로 확보해야 한다. AIDC의 보안 내재화는 사이버회복력 확보를 사업 초기부터 준비하는 일이다. AIDC 구축과 도입을 결정할 때에는 침해 중 유지할 업무와 검증된 복구 능력을 함께 요구해야 한다.
김창훈 대구대 교수 kimch@daegu.ac.kr
〈필자〉인프라 보안과 제로트러스트를 중심으로 연구와 교육을 수행해왔으며, 산학연 공동기술개발사업을 통해 사이버보안 기술의 현장 적용을 이끌어왔다. 국가정보원 사이버안보센터 정보보호 실태평가 위원으로 활동하며 공공 영역의 사이버보안 정책과 실무 점검에 참여하고 있다. 또 교육부 지정 영남권 정보보호영재교육원장으로서 정보보호 인재 양성에 힘쓰고 있다.