이동규 동아대 대학원 재난관리학과 책임교수

미국 행정부의 한 당국자는 “한국이 수십 년간 이어져 온 동맹의 기준을 준수하길 기대한다. 특히 정보와 방첩 문제와 관련해서”라고 밝혔다. 미국은 지난 3월 통일부 장관의 북한 농축시설 공개 발언 이후 일부 대북 정보 공유를 제한하고 있다. 지난해 미국 에너지부는 산하 연구소의 보안 문제를 이유로 한국을 ‘민감국가’ 목록에 올렸다. 정보 동맹의 바탕은 신뢰이고, 신뢰의 바탕은 보안이다.

우리 안의 보안 체계는 곳곳에서 균열이 드러나고 있다. 지난해 4월 SK텔레콤 유심 정보 2700만 건 유출을 시작으로 6월 예스24, 7월 SGI서울보증이 랜섬웨어에 멈췄다. 8월에는 중국인 일당이 가짜 기지국으로 KT 고객 정보를 빼냈다. 올해 1월 교원그룹 랜섬웨어로 이용자 960만 명의 개인정보가 유출될 위험에 놓였고, 2월 정부가 쿠팡 3367만 건의 개인정보 유출을 확인했다. 6월 티빙 1953만 명 정보 유출에 이어 지난달 말에는 은행권이 동시에 공격받았다. 한국은행 해킹 시도는 올해 이미 지난해의 4.5배다.

국내 통신·금융 분야 보안 체계 균열

국가기관 온라인 교육 서버도 뚫려

허술한 인증·검증 없는 장비 등 원인

침투 경로 방치 느슨한 인식 고쳐야

사건의 위협·취약점·피해 법마다 달라

국가 통합적 위기 관리 체계 만들어야

국가기관도 예외가 아니다. 국립외교원 온라인 교육 서버는 10개월간 뚫려 외교관과 교육생 등 1만 건의 신상정보가 새어 나갔다. 경찰 수사 자료 44건은 외부 생성형 AI에 입력됐고, 보안인증 없는 경찰 CCTV 385대는 중국산이었다. 최근 3년간 중소벤처기업부 연구개발 과제 약 1만 건 가운데 보안 과제는 단 1건이었고, 참여한 외국인 연구원 1021명 중 보안 심의를 거친 이는 한 명도 없었다.

이 사건들의 원인은 닮았다. 허술한 인증, 검증 없는 장비, 서류로만 있는 제도, 남지 않은 로그, 준비되지 않은 복구다. 쿠팡은 퇴사자가 가져간 인증 키를 바꾸지 않아 뚫렸고, 국립외교원 서버는 정기 보안점검에서 빠져 있었다. 한 중국 업체 공유기에서는 35초마다 외부 명령을 받는 원격 제어 기능이 발견됐다고 보고된 적이 있었다. 2024년 도입한 연구개발 보안 과제 제도는 수행기관 91%가 일반 과제로 신청하면서 무용지물이 됐다. 위협은 중심이 아니라 취약한 가장자리를 찾아 들어온다.

세계는 이미 총성 없는 전쟁을 치르고 있다. 미국은 군사기지 반경 160㎞ 안의 부동산 거래까지 심사하고, 2024년에는 핵미사일 기지 1.6㎞ 옆 중국계 가상화폐 채굴장에 사상 첫 강제 매각 명령을 내렸다. 플로리다 등 20여 개 주는 우려국 국적자의 군사시설 주변 토지 매입을 막았고, 미국 연방통신위원회는 지난 7월 외국산 로봇과 전력망 인버터의 신규 인증을 중단했다. 폴란드는 군사시설에 중국산 차량 진입을 금지했고, 인도는 중국산 CCTV를 사실상 퇴출했다. 그 사이 우리 국방부 위병소는 지난 7일 국감에서 중국산 전기차를 몰고 스마트안경을 쓴 의원을 그대로 들여보냈다. 미국이 기지 밖에서부터 걸러내는 위협이 우리 군 심장부에는 언제든 들어올 수 있다는 뜻이다. 우리도 군사시설뿐 아니라 경찰관서와 국가 중요 시설, 국가 핵심 기반에도 출입 차량과 장비, 주변 토지 거래를 따지는 기준이 필요하다.

보안의 실패는 국가 기능을 떠받치는 정보와 장비, 사회적 신뢰를 보이지 않는 경로로 잠식한다. 이는 안보 위협이자 새로운 사회재난이다. 그런데 우리는 한 사건의 위협과 취약점, 피해를 법마다 따로 접근한다. 안보는 통합방위법·국가정보원법·테러방지법이, 보안은 정보통신기반보호법·산업기술보호법이, 재난관리는 재난안전법이 맡는다. 우리는 법은 있지만 책임이 흩어져 있는 것이다. 반면 미국은 9·11 이후 국토안보부에 연방재난관리청까지 편입해, 테러와 재난을 모든 위험(All Hazards) 원칙의 통합 국가 위기관리 체계로 다룬다.

AI가 스스로 취약점을 찾아 공격 도구까지 만드는 시대에, 국내 기관은 미국 주도의 AI 보안 정보 공유 체계에 들지 못했고, 미국 국가취약점데이터베이스도 자국 소프트웨어 위주로 분석을 줄였다. 앤트로픽은 AI가 스마트 가전에 스스로 복제돼 퍼질 날이 머지않았다고 경고하고 있다. 남이 찾아주던 위협과 취약점, 예상되는 피해를 이제 우리가 찾아야 한다.

외국인이 참여하는 국가 연구개발 과제는 보안 심의를 거치게 하고, 외부 협력업체, 대학 연구실, 연결형 장비와 차량, 업무용 AI를 전수 조사해야 한다. 정부 시스템을 민간 클라우드로 이전할 때는 물리적 보호, 이중화, 복구 훈련, 보안 운영 전문인력 검증을 조건으로 걸어야 한다. 무엇보다 안보·재난·치안·금융·통신 당국이 위험 정보를 함께 보는 통합 위험평가를 정례화해야 한다.

특정 국가를 향한 혐오는 경계하되, 침투 경로를 방치한 우리의 느슨한 인식은 고쳐야 한다. 항만과 공항, 원전, 금융 등을 품은 부산은 특히 민감하다. 더 늦기 전에 보안과 안보, 재난관리를 하나로 묶을 때다.