재난급 정보유출, 재난급 대책 필요[청계광장/이성엽]

자고 나면 들려오면 해킹과 정보 유출 소식이 이제 크게 놀랍지도 않다. 대다수 국민이 내 정보가 이미 다 털렸을 것이라는 자조 섞인 불안이 팽배하다. 정부는 매번 조사를 하고 매출의 최고 10%에 해당하는 과징금까지 부과한다지만, 해킹과 정보 유출이 줄어들기는커녕 증가하고 있다. 개인정보 유출 신고는 2024년 307건에서 지난해 447건으로 45.6% 급증했다. 올들어 8월까지 신고는 579건으로 이미 작년 건수를 넘어섰다. 한국인터넷진흥원에 접수된 올해 상반기 침해사고도 전년 동기보다 19.5% 늘었다.

이런 재난급 해킹과 정보 유출의 배경은 기본적으로 한국의 높은 디지털 이용·의존도다. 과학기술정보통신부의 2025 인터넷 이용실태 조사에서 우리나라 가구 인터넷 접속률은 99.98%, 만 3세 이상 개인 인터넷 이용률은 95%에 달한다. 이처럼 생활과 거래의 온라인화는 공격 접점과 데이터의 집적을 늘리고 사고 발생 시 피해 범위를 확대한다.

단, 높은 온라인 보급률이 사이버 공격의 기회를 늘릴 수 있다 해도 이것만으로 실제 침해의 증가를 모두 설명하기 어렵다. 정보시스템에 대한 관리 공백이 직접 원인이라고 봐야 한다. 금융위원회의 10월 점검 때는 555개 사 중 130개 사에서 미흡 사항이 발견되었다. 구체적으로 보안 패치 미적용, 기술지원 종료 시스템 관리 부실, 24시간 관제 미구축, 외부 시스템의 인증·인가 누락 등이 확인되었다.

이런 관리 공백으로부터 사이버 공격을 방어하는 실효적 대책은 상시적 점검과 조치다. 체크리스트 방식 점검처럼 인증 시 일회적으로 확인하는 방식에서, 실제 보안 조치가 작동하고 계속 유지되는지 검증하는 방식으로 전환해야 한다. 정부도 '정보보호 및 개인정보보호 관리체계(ISMS-P)' 인증 의무화 대상을 확대하기로 했다. 인증 대상 서비스 관련 장비·시설은 물론 외부 인터넷에 연결돼 공격 경로가 될 수 있는 디지털 자산을 인증 범위에 포함하고, 서면과 함께 실제 작동을 확인하고 전문 인력의 취약점 진단과 모의 침투를 수행하기로 했다.

문제는 인증 의무 대상을 확대해도 대다수 중소기업은 빠지게 된다는 점이다. 중소기업이라고 해도 개인정보 유출 위험이 적지 않다는 점에서 중소기업에도 인증 의무를 부과하되, 인증 소요 예산을 정부가 지원하는 방식을 검토할 필요가 있다.

최근 금융권 해킹의 새로운 양상은 AI 에이전트 기반 해킹의 현실화다. AI 에이전트는 사람이 일일이 찾던 보안의 허점을 빠르게 찾아내고 여러 시스템을 동시에 공격할 수 있다. 이런 AI 에이전트 공격을 사람이 확인하고 차단하는 방식은 한계가 있기때문에 AI 기반 방어체계 도입이 필수적이다. 즉, 사이버 침해 대응을 위한 탐지-분석-대응의 전 과정에 AI를 적용해 보안 결함과 이상 행위를 상시 탐지하고 관련 기록을 종합 분석하는 등 신속 대응해야 한다. 이를 위한 사이버보안 특화 AI 모델 개발과 적용도 서둘러야 한다.

다음으로 중요한 것이 피해기업 조사와 처벌에서 끝나는 소극적 대응을 넘어 공격자 검거와 범죄수익 박탈까지 이행하는 적극적 대응으로 전환하는 것이다. 공격자의 신원·소재·자금 흐름을 끝까지 추적하는 상설 수사체계를 구성해야 한다. 특히 해외 소재 해커는 국내 수사만으로 추적하기 어려우므로 사건 초기부터 국제 공조를 해 나가야 한다.

한국 정부의 사이버보안 거버넌스는 청와대 국가안보실을 중심으로 과기정통부·금융위원회·개인정보위원회·국가정보원·행정안전부등이 협력하는 구조지만, 기존 조정 체계에 신속하게 판단 집행할 권한과 역량이 충분한가는 따져볼 일이다. 사이버 공격은 공공·민간·금융의 경계를 넘나들어 통합 집행이 필요하다. 이런 점에서 공공·민간을 연결하는 상시 위협 분석, 중대 사고 대응, 복구 지원, 공격자 검거, 기술개발 및 인력 양성을 담당하는 가칭 사이버보안청의 신설을 검토할 필요가 있다.