서울 28.6º
미세먼지 좋음
강릉 29.3º
미세먼지 보통
청주 29.8º
미세먼지 좋음
여수 23.0º
미세먼지 보통
제주 25.3º
미세먼지 좋음
)
“사이버공간의 세계에서 움직이는 컴퓨터인 스마트폰을 가지고 있는 모두가 사이버전에 노출되어 있다. 북한뿐만 아니라 정보 획득을 노리는 세력들은 ‘네트워크 망’을 통해 실시간으로 사이버공격을 하고 있다고 보면 되고, 그런 측면에서 전 세계 모든 국가는 사이버 위협에 노출되어 있다고 봐야 한다. 언론에 언급되는 ‘보이스피싱’ ‘딥페이크’ ‘디도스 공격’ ‘악성코드 메일’에 모두가 구제 불가의 피해자로 전락할 수 있다. 가장 큰 문제는 국내에서 2003년부터 사이버안보 위협의 심각성에 대해 본격적으로 인식하기 시작한 이후 20년이 넘는 현재까지 사이버 안보를 통합해 관리할 수 있는 범(凡)정부 컨트롤타워가 없다는 것이다.”
정경두 사이버안보연구소 대표는 최근 서울 여의도 사이버안보연구소에서 본지 기자와 만나 점증하고 있는 사이버공격 위협에 대해 이와 같이 언급했다. 가장 시급한 대응 조치로 ‘국가사이버안보기본법’(가칭)부터 법제화해야 한다는 것을 꼽았다. 박근혜정부 시절 공군참모차장과 합동참모본부 전략기획본부장을 거쳐 공군참모총장으로 대북 위협에 대비한 다층방공망을 설계한 정 대표. 그는 문재인정부에서는 합동참모본부 의장과 국방부 장관을 지냈으며 장관 재임 시절 우리 군 첨단화의 초석이 되었다는 평가를 받는 ‘국방개혁2.0’ 계획의 실행력을 높였다. ‘우주·사이버 전장’으로 이어지는 윤석열정부 ‘국방혁신 4.0’의 마중물을 부은 셈이다.
노무현정부 때인 2003년부터 실질적으로 표면화된 북한의 사이버공격이 20년 넘게 이어지고 있는 가운데 우리 사회는 코로나19 이후 디지털 사회로의 이행이 급격히 가속화되고 있다. 따라서 사이버안보 위협이 더욱 커지고 있음에도 이에 대응할 정부의 통합 컨트롤타워가 법제화되어 있지 않은 현실에 ‘일촉즉발’의 위기감을 느낀 것이다.
법 제정은 엎치락뒤치락하며 갈피를 못 잡고 있는 상황. 정 대표의 발걸음이 무거운 이유다. 대표적으로 국정원은 2022년 ‘국가사이버안보기본법’ 제정을 예고하며 각 부처의 사이버안보 관련 역할 정리를 하려 했으나 민간 보안을 총괄하는 과학기술정보통신부 등과의 추가 논의 등에서 결론을 얻지 못해 진행이 지지부진했다. 현재까지도 사이버보안 대응 주체가 △민간(과기부·한국인터넷진흥원·금융감독원) △군사(국방부) △공공(국가정보원) △국외(외교부)의 4개 부처로 나뉘어 있어서 외부 세력의 사이버공격에 국가 차원의 통합 대응을 하는 데 있어서 제약이 있을 수밖에 없는 것이 현실이다.
21대 국회 정보위에도 ‘사이버안보기본법안(조태용 의원 등 27인 발의·2020.6.30.)’ ‘국가사이버안보법안(김병기 의원 등 13인·2021.11.4.)’ ‘사이버보안기본법안(윤영찬 의원 등 12인·2021.12.2)’ ‘국가정보원법 일부 개정 법률안(하태경 의원 등 15인·2021.2.18.)’ 등이 발의되어 있다. 이들 법안의 큰 골자는 ‘범정부 컨트롤타워와 관련부처 간 통합 대응이 필요하다’는 것으로 공감대는 이루었으나 실제로는 기본법 제정이 지지부진한 상태다.
탁상공론만 지속되는 상황을 두고 정 대표는 “어디든 피해가 발생하면 최소한 국민에게 조기 경보라도 울려서 더 이상의 피해를 방지하도록 하는 것이 정부 역할 아니냐”고 역설한다. ‘밥그릇 싸움’은 제쳐 두고 철학부터 재정립하자고도 했다.
정 대표는 “‘민주적 통제’가 가능한 방식을 적용한 사이버안보의 법제화를 통해 미래 위협에 대응 가능한 토대를 다지도록 여야의 경계를 뛰어넘어 ‘초국가적 입장’에서 사이버안보기본법에 다가가야 한다”고 언급했다.
-‘사이버안보’와 위협 대응을 위한 법 제정이 필요한 이유는
“40여 년 군 생활을 하다 보니 사이버안보의 중요’을 자연스럽게 인식하게 되었다. 지금 인터뷰를 하고 있는 이 시간 사이버 위협에 대한 우리 국방의 대응이 완벽하다 하더라도 당장 한 시간 후를 알 수 없는 게 ‘사이버 전쟁’이다. 기본적으로 전쟁은 창과 방패의 싸움인데 사이버상에서는 이 논리가 통하지 않는다. 뚫으려고 하면 뚫리는 거다. 그러므로 100% 완벽한 대응이 사실상 불가능하다고 본다.
무엇보다 사이버는 민·관·군의 영역이 분리되지도 않는다. ‘망’이 깔렸으면 어디든 침투할 수 있다. 이 때문에 사이버안보가 우리 국방 문제뿐 아니라 국익과도 직결된다고 봤다. 그래서 우리 연구소의 목표가 ‘영역을 뛰어 넘는’ (가칭이지만) ‘국가사이버안보기본법’을 만들어 법체계에 따라 철저 대비라도 하자는 것이다. 국방 분야에만 한정될 수 없는 게 ‘사이버 공간’이므로 국가가 법제화를 하지 못한다면 전 국민의 뜻을 모아 국회에서 입법 발의를 할 수 있도록 국민 공감대를 형성하고 ‘사이버안보기본법’을 속히 제정할 수 있도록 여건 조성을 하자는 것이다.
- 우리나라의 사이버 위협 대응 수준은 어느 정도인가
“기본적으로는 전 세계 최고 수준의 능력을 갖고 있다고 본다. 예를 들면 군에 대한 사이버안보 위협 발생 시 국방부 예하 사이버작전사령부만이 움직이는 게 아니다. 국가안전보장회의(NSC)를 필두로 국가사이버안보센터(NCSC)·국가사이버안보협력센터·한국인터넷진흥원 등 모든 관련 조직들이 움직이 상호 협력을 강화하고 있다. 다만, 그렇더라도 소관 부처의 업무 영역에 따른 일정 부분의 제약이 있는 것도 사실이기 때문에 그러한 제약을 반드시 해소해야 하며 이를 위한 제도화가 필요하다. 이것은 미국의 국토안보부가 연방 차원에서 중요한 역할을 하는 것과 같은 맥락이며, 미 국방성 산하 사이버작전사령부의 업무에 국무부와 재무부도 협력하고 있는 것과 동일한 개념으로 이해하면 된다.”
- 철통 방어에도 북한의 사이버 공격이 지속되는 이유는
“사이버상에는 ‘총성’이 없고 100% 안전을 보장할 수 없다. 북한은 현재까지 알려진 ‘킴수키· 라자루스·안다리엘·블루노로프’와 같은 해커 조직을 전문적으로 양성하여 치밀한 계획하에 움직이고 있다. 과거 사례에서 보듯이 우리나라뿐만 아니라 미국·방글라데시 등 자신들에게 이익이 될 수 있는 전 세계 국가 금융기관과 군·공공기관 과 방산업체를 상대로 사이버공격을 통해 중요 정보와 기술 탈취를 시시각각 시도하고 있다. 사실상 전(全) 방위적 공격력을 키워 가고 있다고 보면 된다.
결국은 기술·자금 탈취, 사회갈등 유발 등이 그들의 가장 큰 목표일 것이다. 우리나라도 현재까지 관련 부처에서 철저한 대비와 전문가 공조로 북한의 해킹 공격에 대응하고 있지만 나날이 진화·발전하는 북한의 공격 능력에 완벽한 대응을 하기에는 어려움이 많은 것이 현실이다.”
“북한은 어떻게든 우리의 보안망을 뚫으려 하고 틈새를 노린다. 사이버공간이란 현재진행형의 눈에 보이지 않는 전시 상황이라 보는 것이 타당하다고 생각한다. 북한이라는 군사적 측면의 적뿐만이 아니다. 보이지 않는 적은 어디에든 있다. 또한 ‘데이터가 되면 다 돈이 되는 세상’에서 북한 외의 다른 국가들도 수단·방법을 가리지 않고 너나없이 사이버전에 뛰어들고 있는 것이 현실이다. 그러므로 언제든 공격당할 수 있는 취약 요소들이 새롭게 생겨나고 있다. 사이버상에 국경이 어디 있겠는가. 사이버범죄 대부분은 해외 IP에서 이뤄진다. 타국의 수사 협조까지 필요한 상황이다.”
- ‘밥그릇 싸움’ ‘주도권 싸움’ 등으로 제정이 미뤄진다는 비판이 있다
“관점을 달리해야 한다. 사이버안보기본법 마련이 시급한 상황에서 사이버 협력을 위해 가장 중요한 건 사이버안보에 관한 중심 철학과 관점이다. 중심 철학은 사이버안보 기본법의 법제화를 통한 ‘국내·외의 모든 관련 조직 협력 네트워크 강화’이다. 사이버안보기본법의 핵심은 ‘영역이 없는 컨센서스의 구축’이라고 보면 된다.
사이버 침해엔 분야가 따로 없다. 군사 당국·금융기관·정부 부처와 관공서뿐만 아니라 기업과 국민 개개인마저도 그 대상이 된다. 이러한 현실에서 침해 상황 발생 시 어느 조직은 누가 조사하여 대응하고, 민간 기업은 또 어떻게 할 것이며 하는 등 제각각이라 대응책 수립 및 보완책 강구 등에 있어서 국가적 차원의 콘트롤타워가 법제화되어 있지 않아 애매모호한 취약 요소가 있는 것이다.”
“따라서 국정원·국방부·과기정통부 산하 한국인터넷진흥원(KISA) 등이 자기 소관의 대응 업무는 잘하고 있을지 모르지만 국가 차원의 통합적 관점에서 불안전 요인을 제어하지 못한다면 1%의 취약점으로 인해 100% 실패라는 결과가 나올 우려를 없애야 하는 것이다.
당장 일반기업에서 외부세력으로부터 해킹당한 사실을 인지했다고 가정해 보자. 해킹 피해가 다른 조직에도 번질 위험성이 내포되어 있다고 가정했을 때 사이버 침해 실태를 조사해 대응책을 마련하고 그 대책 방안에 따라 필요 시에는 예산반영을 하며 범정부 차원의 보완 대책을 마련해 충실히 이행하고 결과 확인까지 해야 한다. 그런데 현재 누가 그걸 주도적으로 해야 하는가. 경찰? 아니면 국정원? 국방부? KISA가 할 수 있나? 여기서부터 답변을 내놓을 수가 없다. 이것이 바로 민·관·군을 아우르는 통합 시스템으로 법제화가 이루어져야 한다는 논거의 당위성이다.”
- 사이버안보기본법 제정은 어떻게 진행돼 왔나
“노무현정부 당시 2003년 1월25일 ‘인터넷 대란’을 기점으로 국가적 차원에서 사이버 위기에 대응하기 위해 ‘국가사이버테러대응체계구축 기본 계획’을 마련했다. 이듬해 국가사이버안전센터가 설립됐다. 2006년부터 이명박·박근혜·문재인정부에 이어 이번 윤석열정부까지 20년 가까이 ‘사이버안보 기본법 제정’을 위해 각양각색의 노력을 해 왔다. 이명박·박근혜 정부는 수차례 사이버안보 정책을 발표하고 추진했으며, 2019년에는 문재인정부에서 초연결·초융합·초지능 등 ‘5G 기반’의 새로운 사이버 위협에 대응하기 위해 정부 최초 국가사이버안보전략을 발표했다. 그럼에도 ‘사이버 사찰’ 등으로 오·남용될 가능성을 우려하는 부정적 인식 때문에 ‘사이버안보법’의 기초도 제대로 잡지 못했다.”
“‘기본권 침해’에 해당하는 개인 사찰 문제도 불거질 수 있다. 국정원이나 국방부, 검·경 등이 개인의 일거수일투족을 실시간 감찰할 수 있을 것이라는 우려로 공권력 오·남용 문제가 도마에 올랐다. 수사기관 등에서 특정인을 ‘위험인물’로 지목할 경우 연락처·개인 채무상태·의료 기록 등이 넘어갈 것이라는 이야기다. 도청 등에 따른 무차별적인 통신자료 조회가 속속 이루어질 것이라는 등의 ‘통신 감찰’ 문제도 떠올랐다. ‘개인 프라이버시’라는 논점에서 ‘사이버 사찰’의 위험을 지적하는 반대 의견이 법 제정에 ‘뫼비우스의 띠’ 구도를 그리며 발목을 잡았다. 결국 강 대 강의 논리적 대치를 지속해 온 것이다. 집권 여당이 법 제정을 밀어붙이면 야당은 무조건 반대하는 평행선상의 구도가 고착화됐다”
- ‘민주적 통제’ 개념과 기본법 제정에 대해 알고 싶다
“위의 논쟁 과정에서 ‘민주적 통제’라는 개념이 나왔다. 사이버안보기본법을 시행하더라도 결코 누구도 억울한 일이 없게끔 하는 사이버안보기본법의 제정을 위한 밑바탕을 이루는 것이 바로 ‘민주적 통제’다. 쉬운 예를 하나 들자면 ‘민주적 통제’ 개념하에서 수사에 적용되는 ‘사이버상에서의 개인정보 열람’이 이루어질 경우 열람을 하는 모든 책임자에 대한 기록이 남게 되고 그것을 영원히 불가역적이게 하는 기술을 적용하는 것이다. 정보 보안을 강화하고 문제 발생 시 열람 기록으로 책임 소재까지 확실히 따질 수 있도록 하는 방안을 적용할 것이다. 사이버안보기본법 안에서 민주적 통제가 가능하다면 기술 통제는 자연히 수반되게 된다. 이것이 제도적 통제의 절차적 타당성과 합법성을 모색할 수 있는 구체적 방식이다.”
- 사이버안보기본법에는 어떤 내용이 담겨야 할까
“앞서 언급한 바와 같이, 북한 등 위협 행위 국가가 자행하는 국가안보 혹은 국익에 반하는 사이버 활동을 확인·견제·차단하는 것을 목적으로 해야 한다. 이에 필요한 대응 조치를 ‘강구·이행’하는 게 중요하다. ‘일촉즉발의 상황’을 설정하고, 한시라도 빨리 ‘침해 사실’을 ‘공유’해 ‘공동 해결방안’을 모색하는 게 중요하다. 사이버공격에 대한 실시간 탐지와 그에 따른 위기 경보 발동이 필요하다. 침해사고 원인 분석을 하고 공격 주체에 대한 정보를 공유해야 하며 피해 최소화 및 재발 방지 대책도 세워야 한다. 이를 위해 필요한 게 ‘정보 협력’이다. 관계 기관과 정보 공유를 하면서도 협력 채널을 하나로 ‘일원화’해야 한다. 이를 통해 사이버 보안 기업·소프트웨어(SW) 제조사·통신사·경찰청 등뿐만 아니라 유관 기관과 조직이 적극 협력하여 침해사례에 대한 파급력과 상황 분석 및 대응 전략과 보완대책 이행이 즉시 이루어지게 해야 한다.”
- ‘민주적 통제’에 기반한 사이버안보기본법, 연구소는 이를 위해 어떤 활동을 해 왔나
“우리 연구소는 사이버안보를 다루는 기관과 정부 및 관련 단체들의 담당자를 만나 고충 사항 및 의견을 듣고 있다. 필드에 있는 이들 모두 수준급 전문가인데 한 목소리를 내는 게 쉽지 않다. 그렇지만 각 분야 및 전문가 개인의 의견을 듣다 보면 임무 수행상의 고충에 ‘접점’도 많이 있다는 것을 알 수 있다. 우리 연구소는 수년째 해당 부분들을 기록해 법제화에 필요한 자료를 축적하고 있으며, 22대 국회에서 사이버안보기본법이 제정되도록 법제화 지원을 할 때 이러한 자료들을 토대로 기술적 해결 방안까지 매뉴얼화 한 후 ‘민주적 통제’를 이루는 정책적 대안까지 제안할 수 있도록 발전시켜 나갈 것이다. 국가 차원에서 통합적 대응을 위해 통제를 함에 있어 무조건적 통제가 아니라 어디서부터 어디까지를 통제해야 하는지 그 시작과 끝을 알려 주는 개념의 정당성과 합법성 등을 갖는 방안을 모색할 것이다”
▲프로필
△제46대 국방부 장관
△제40대 대한민국 합동참모본부 의장
△제35대 대한민국 공군 참모총장
△대한민국 공군 대장
△합동참모본부 전략기획본부장
△대한민국 공군 참모차장
△대한민국 공군 중장
이 기사에 대해 어떻게 생각하시나요?
추천해요
좋아요
감동이에요
화나요
슬퍼요
추천해요1
좋아요0
감동이에요0
화나요0
슬퍼요0
연재기획 ‘CIA와 대한민국’ 
연재소설 ‘최초의 당신’
기사제보 
