[IT돋보기] '끝없는 해킹공격' 공공·민관 안 가린다…"사이버보안청 신설해야"

[아이뉴스24 최은정 기자] 최근 한국원자력연구원·한국항공우주산업(KAI) 등 주요시설을 겨냥한 사이버 공격이 늘고 있는 가운데, 통합 사이버 보안 조직인 이른바 '사이버 보안청'을 설립해야 한다는 주장이 다시금 제기됐다.

과학기술정보방송통신위원회 양정숙 국회의원(비례 무소속)이 26일 온라인 방식으로 주최한 '일원화된 사이버보안청 설치' 주제 토론회에서 학계 전문가들의 이같은 목소리가 이어졌다.

현재 국내 사이버 보안 대응체계는 컨트롤타워인 청와대 국가안보실을 중심으로 민·관·군 부문으로 나눠져 있는 상황. 민간은 과학기술정보통신부, 공공은 국가정보원, 군은 국방부가 맡아 서로 협력하면서 사이버 공격 등에 대응하고 있다.

그런데 최근 공격 대상과 범위가 넓어짐에 따라 통합 거버넌스 구축 필요성이 높아지고 있다.

오진영 한국인터넷진흥원(KISA) 미래정책연구실 실장은 "팬데믹(대유행) 시기 디지털 서비스, 비대면 기술 등이 확대되면서 사이버 보안 인식도 함께 강조되고 있다"면서 "공격 방식이 특별히 변한건 아니지만 공격 대상·범위가 굉장히 넓어지고 있어 통합 거버넌스 관련 논의가 활성화되고 있다"고 짚었다.

이날 전문가들은 제대로 된 컨트롤타워가 필요하다고 입을 모았다. 미흡한 이유 등 분석이 선제돼야 통합 대응체계를 마련할 수 있다는 의견도 나왔다.

박춘식 아주대 사이버보안학과 교수는 "국가 주요시설이 잇달아 사이버 공격을 당하고 있지만, 제대로 된 역할을 하는 사이버 안보 컨트롤 타워가 없다"면서 "사고가 발견되면 사후약방문식 대응만 반복할 뿐 사이버 공격의 범인 조차 밝히지 못하는 상황"이라고 지적했다.

그러면서 "사이버 안보는 기본적으로 국가사이버안보청을 중심으로 이뤄져야 짧은 기간 발생하는 사이버 공격의 특성을 고려한 통합, 총괄, 선제적인 사이버 보안이 가능하다"고 강조했다.

김승주 고려대 정보보호대학원 교수는 "컨트롤타워를 정상화할 수 있을 지 여부를 우선 검토하고 이후에도 문제가 있다고 판단 시 별도 청을 구성해야 한다는 결정이 나오게 되는 것"이라면서 "안보실에서 급에 걸맞는 안건이 논의되는지, 관련 주요 내용이 대통령에게 잘 보고되는지도 등도 점검해봐야 한다"고 제언했다.

사이버 보안청의 조직 규모, 형태, 결정 권한 등 사항도 논의됐다.

오진영 실장은 "단일화된 거버넌스의 필요성, 규모, 형식, 기능 등에 대한 면밀한 고려가 필요하다"면서 "우리 현실에 맞는 효율적인 사이버 보안 대응체계를 추진할 수 있도록 해야한다"고 했다.

그러면서 "개인적으로는 사이버 보안청에 평가 인증, 침해대응센터 관련 업무가 포함돼야 한다고 본다"며 "부처 아래 조직이 마련되면 '청', 국무총리 아래 '처', 혹은 대통령 소속 '위원회' 형태로 조직을 구성할 수 있을 것"이라고 덧붙였다. 다만 외부 감시가 필요한 위원회 형태는 정부 조직법 개편, 개별법 마련 등이 필요하다는 설명이다.

김승주 교수는 "해당 조직에 힘을 싣기 위해서 예산권, 감사권 등을 부여해야 한다"면서도 "그러나 과연 이것이 국회, 국민 정서 등에 부합할지는 의문"이라고 말했다.

사이버 보안청 설치 근거 등이 내년 정부가 제정할 '사이버보안 기본법(가칭)'에 포함돼야 한다는 의견도 제기됐다.

박춘식 교수는 "국가사이버안보청의 직무와 설립 근거 등이 기본법에 반드시 포함돼야 사이버안보청이 제대로 설립되고 사이버 안보 역량 강화를 통한 사이버 안보도 제대로 될 것"이라며 "사이버 안보의 퇴보·역행 등을 막기 위해 일관된 사이버 안보 정책 유지는 물론이고, 급변하는 세계 사이버 안보 정세에 적극 대응하기 위해 기본법 제정이 반드시 필요하다"고 주장했다.

신대식 과학기술정보통신부 정보보호기획과 과장은 "기본법 제정에 대해 부처들이 공감했으며 현재 구체적인 논의를 진행하고 있다"며 "정보보안 분야 기본법을 마련해 3년, 5년 등 단기 계획을 세울 수 있도록 추진하고 있다"고 설명했다.

이어 "보안 관련 현장점검, 정보 공유, 국정원과 과기정통부 등 부처간 협력 등 관련 근거들이 포함될 예정"이라고 말했다.

양정숙 의원은 "정부 교체, 관련 직원 순환근무제 등으로 인한 사이버 위협에 대한 인력 전문성은 떨어질 수밖에 없다"며 "통합된 관리 체계가 만들어질 수 있도록 관련 법안 마련에 최선을 다할 것"이라고 했다.