전력망 안보, 한국은 준비돼 있는가 [손승우의 지식재산통찰]
최근 영국 정부는 각 가정에 72시간을 버틸 생수와 식량을 갖추라고 권고했다. 사이버 공격으로 전기·수도·통신이 끊기는 상황까지 염두에 둔 것이다. 일본도 ‘최소 3일분, 가능하면 1주일분’을 비축하라고 당부했다. 정전은 이제 재해를 넘어 안보 문제다.

경계에는 근거가 있다. 2015년 우크라이나에서는 해커가 변전소를 원격으로 차단해 약 22만5000가구가 정전을 겪었다. 사이버 공격이 정전으로 이어진 첫 공식 사례다. 미국 사이버보안·인프라보안국(CISA)은 2024년 중국 연계 해킹조직 ‘볼트 타이푼’이 유사시 파괴 공격을 위해 에너지·통신 기반 시설에 미리 침투했고, 일부는 5년 넘게 숨어 있었다고 경고했다. 보안기업 시만텍은 2023년 해킹그룹 ‘레드플라이’가 아시아 한 국가의 전력망에 6개월간 잠복했다고 밝혔다. 대만 국가안전국에 따르면 2025년 중국발 기반 시설 공격 시도는 하루 평균 263만 건이었고, 에너지 분야는 전년의 10배로 증가했다. 전력망은 이미 평시의 전장이다.

한국은 어떤가. 2014년 한국수력원자력이 해킹당해 원전 도면이 유출됐고, 정부는 이를 북한 소행으로 결론지었다. 2022년 판교 데이터센터 화재로 카카오 서비스가 최장 127시간 멈췄고, 지난해 9월에는 국가정보자원관리원 화재로 정부 전산시스템 647개가 올스톱했다. 두 사고 모두 전원설비인 배터리에서 시작됐다. 공격이 아니라 사고에도 국가가 멈춘 것이다. 여기에 AI 데이터센터가 더해진다. 국제에너지기구(IEA)는 세계 데이터센터 전력 수요가 2030년 약 950TWh로 지난해의 두 배 가까이 늘 것으로 본다. 데이터센터는 전력망에 거대한 부하를 거는 동시에, 공격자에게 전력과 국가 데이터에 한꺼번에 닿는 통로가 된다. 에너지의 90% 이상을 수입하는 나라에서 이는 곧 ‘안보’다.

그런데 제도는 진흥에 무게가 실려 있다. 시행을 앞둔 「인공지능 데이터센터 산업 진흥에 관한 특별법」은 입지·전력·인허가 지원이 중심이다. 카카오 사태 이후 정보통신망법은 일정 규모 이상 데이터센터에 보호조치와 서비스 중단 보고 의무를 부여했다. 그러나 이는 화재·정전 같은 물리적 재난 대비에 맞춰져 있다. AI 데이터센터와 전력망이 맞물리며 생기는 사이버 위험을 다룰 기준은 아직 마련되지 않았다. 유럽연합(EU)은 NIS2 지침으로 데이터센터 사업자에게 사이버보안 관리 의무를 지웠고, 미국은 에너지부 시설과 연계된 AI 데이터센터를 핵심 국방시설로 지정하는 절차에 착수했다. 그 전력 설비도 국방 핵심 인프라로 다룬다. 보안은 완공 뒤 덧붙일 것이 아니라 설계 단계부터 내재화(Secure by Design)해야 한다. 공공 전산망용 국가망보안체계(N2SF)를 옮겨 쓰는 데 그치지 말고, AI 데이터센터에서 무엇을 먼저 지키고 누가 책임질지를 정하는 고유의 보안 기준이 필요하다. 탐지와 차단이 즉시 연동되는 대응 체계와 운영 주권도 갖춰야 한다.

전력망 안보는 한 부처나 한 산업의 과제가 아니다. 발전·송배전·데이터센터를 하나의 안보 단위로 묶고, 에너지·과학기술·정보 당국이 위협 정보를 실시간 공유하는 통합 거버넌스가 필요하다. 핵심 설비의 공급망 검증, 데이터센터·전력망 연계 구간의 보안 기준, 침해사고 공유 의무도 관련 법령에 담아야 한다. 72시간 생수 비축이 남의 나라 이야기로 남으려면, 전력망부터 지켜야 한다.