[사이버 컨트롤타워] ② 미국·영국·일본은 어떻게 해킹에 대응하나

잇단 대형 해킹 사고를 계기로 범정부 사이버 대응체계 개편 논의가 본격화하면서 미국·영국·일본 등 주요국의 사이버보안 지휘·조정 방식이 주목받고 있다.

미국과 영국은 사이버 위협 정보 공유와 공동 대응을 강화하면서도 피해 복구와 수사, 기술 지원과 규제·감독 기능을 기관별로 나눠 맡고 있다. 일본은 총리를 중심으로 정책 조정체계를 강화하고 민간 기업이 확보한 미공개 취약점 정보를 정부와 공유해 피해 확산을 조기에 차단하는 방안을 추진하고 있다.

국내 전문가들은 새로운 조직을 만드는 것보다 국가정보원과 과학기술정보통신부, 개인정보보호위원회 등 기존 기관의 전문성을 연결하고 신속한 정보 공유와 공동 대응을 이끌 실질적인 조정 기능을 확보하는 것이 중요하다고 강조한다.

정치적 중립성을 전제로 국정원이 관계기관 간 협의·조정을 주도하는 방안도 제시됐다. 다만 기존 조직과 권한이 중복되는 '옥상옥'을 피하고, 취약점 정보 공유의 제도화와 민관 협력, 국제 공조까지 아우르는 대응체계를 마련해야 한다는 지적이다.

◇ 미국은 복구·수사 분담, 영국은 기술지원·규제 구분…기관별 공동 대응

미국에서는 국토안보부 산하 사이버보안·인프라보안청(CISA)이 피해 시스템 보호와 복구 지원, 주요 기반 시설의 위험 분석과 위협 정보 공유 등을 담당한다.

연방수사국(FBI)은 범죄 수사와 증거 수집, 공격 주체 규명 등 위협 대응을 맡는다.

피해 시스템을 정상화하는 업무와 공격자를 추적하는 업무를 구분하면서 대응 과정에서 확보한 정보를 공유하는 구조다.

미국은 CISA를 중심으로 합동 사이버 방어 협의체(JCDC)를 운영하며 정부기관과 민간 기업, 우방국 파트너 간 사이버 위협 정보 공유와 공동 대응을 추진하고 있다.

영국에서는 정보통신본부(GCHQ) 산하 국가사이버보안센터(NCSC)가 위협 분석과 기술 지원을 제공한다.

NCSC는 피해 기업이 정부 내 관계기관과 협의할 수 있도록 돕고 사고 대응에 필요한 전문기관도 연결한다. 다만 규제기관은 아니며, 개인정보 침해에 대한 감독은 정보위원회실(ICO) 등이 맡는다.

신고 절차에서도 기술 지원과 규제 기능을 구분한다.

NCSC는 기술 지원을 요청하거나 위협 정보를 제공할 수 있는 신고 창구를 운영하지만, 이곳에 신고했다고 다른 법률이나 규제에 따른 신고 의무까지 이행한 것은 아니라고 안내한다.

법정 신고 대상에 해당하는 개인정보 침해는 원칙적으로 인지 후 72시간 이내에 ICO에 별도로 신고해야 한다.

◇ 일본은 총리 중심 사이버 대응 강화…미공개 취약점 공유로 선제 방어 추진

일본은 총리 중심의 사이버보안 정책 조정 기능을 강화하는 상황이다.

지난해 7월 기존 내각사이버보안센터(NISC)를 개편해 국가사이버통괄실(NCO)을 발족한 게 대표적이다.

사이버보안전략본부의 본부장도 관방장관에서 총리로 격상하고 참여 범위를 전 각료로 확대했다.

NCO는 사이버 정책의 종합 조정과 정부 정보시스템의 부정한 활동에 대한 감시·분석 등을 담당한다.

최근에는 정보 수집을 민관 공동 대응으로 연결하는 방안도 추진 중이다.

일본 언론 보도에 따르면 일본 정부가 마련 중인 사이버보안 긴급 대책안에는 미국 빅테크 등으로부터 미공개 취약점 정보를 조기에 확보하는 체계를 구축하는 내용이 담겼다.

취약점이 공개되기 전에 정부 기관과 전력·통신 등 주요 기반 시설에 미칠 영향을 파악해 대응 시간을 확보하겠다는 구상이다.

정보를 모으는 역할은 NCO가 맡는다.

특정 기업의 피해뿐 아니라 다른 기업으로 확산할 가능성까지 분석하고 민관 협력을 통해 대응한다는 목표다.

보안업체와 클라우드 기업을 능동적 사이버 방어 관련 민관 협의회에 참여시키는 방안도 대책안에 포함됐다.

공격 현장의 정보를 가진 보안업체와 여러 고객사의 시스템을 운영하는 클라우드 기업을 대응체계에 연결해 피해 확산을 막으려는 차원이다.

◇ "국정원 중심 협의·조정 검토…정치적 중립·옥상옥 방지가 전제"

국내에서는 대규모 사이버 사고가 발생했을 때 관계기관의 기능을 연결할 범정부 조정체계가 필요하다는 제언이 나온다.

국가정보원과 과학기술정보통신부, 개인정보보호위원회, 한국인터넷진흥원(KISA), 경찰 등 관련 기관이 확보한 정보를 공유하고 대응 방향을 신속하게 조율할 수 있어야 한다는 것이다.

위정현 중앙대 가상융합대학 학장은 "정치적 중립을 전제로 해외 정보 수집·조사 기능을 갖춘 국정원이 주도적으로 관계기관 간 협의와 조정에 나서는 기구를 마련하는 방안을 검토할 필요가 있다"고 제안했다.

외국에서 비롯되는 사이버 위협을 파악할 수 있는 국정원의 기능을 활용하면서 공공과 민간의 대응을 연결하자는 취지다.

다만 위 학장은 새로운 기구가 기존 기관과 업무를 중복하거나 지휘체계를 복잡하게 만드는 '옥상옥'이 되지 않도록 해야 한다고 지적했다.

기관을 추가하는 데 그치지 않고 기존 조직의 역할을 살리면서 실질적인 협의·조정이 이뤄지도록 설계해야 한다는 제언이다.

취약점 정보의 공유와 예방 조치를 제도화하자는 의견도 나온다.

최경진 한국정보법학회장(가천대 법학과 교수)은 공공 분야에서는 AI 사이버쉴드돔과 같은 국가 차원의 방어체계를 구축하고, 민간에서는 취약점 발굴에 인센티브를 제공하면서 신속한 취약점 공유·대응을 제도화하는 것이 시급하다고 제언했다.

정부와 기업의 협력뿐 아니라 국경을 넘는 위협 정보 공유도 주요 과제로 꼽힌다.

미국 백악관 국가안보회의(NSC) 사이버·신기술 담당 국가안보 부보좌관을 지낸 앤 뉴버거 스탠퍼드대 교수는 지난해 5월 국내 세미나에서 광범위한 정보 유출과 사회적 혼란을 낳는 공격에 대응하려면 민관 협력을 통한 방어 역량 강화와 국제 공조가 필요하다고 강조했다.

AI를 활용한 공격의 확산은 이런 공동 대응의 필요성을 키우고 있다.

영국 NCSC는 이달 발표한 연례보고서에서 AI 발전으로 에너지·교통·국방·보건·금융 등 핵심 기반 시설을 겨냥한 사이버 공격 위험이 커지고 있다고 경고했다.