[양준영 칼럼] '사이버 차르' 간판보다 중요한 것
세계 최대 암호화폐거래소 바이낸스가 해커들의 사이버 공격을 받아 63억달러(약 8조5000억원)의 디지털 자산을 탈취당했다. 자산이 사라지는 데 걸린 시간은 20분. 바이낸스 임원진은 돈이 빠져나가는 것을 무력하게 지켜볼 수밖에 없었다고 한다. 유럽에서는 해커들이 슈퍼마켓에 이어 혈액 관리시설의 냉장·냉동고 온도를 비정상적으로 상승시키는 일도 발생했다. 빠른 대처로 혈액 손실은 막았지만 환자들이 치명적 위험에 노출될 뻔한 사건이었다.

사이버 위협은 이처럼 정보 탈취를 넘어 일상을 위협하고 먹거리와 생명까지 겨눈다. 인공지능(AI)은 사이버 공격의 속도와 정교함을 끌어올리는 수단이 되고 있다.

미국 연방수사국(FBI)이 바이낸스 공격의 배후로 북한 해커조직 트레이더트레이터를 지목한 것은 충격적이다. 북한 연계 해킹조직의 사이버 범죄는 어제오늘 일이 아니지만, 가상자산 해킹으로 약탈한 자금이 북한의 탄도미사일 등 무기 개발에 쓰인다고 생각하면 등골이 서늘해진다. 금융, 통신, 에너지 등 핵심 시설의 보안이 뚫릴 경우 피해는 치명적이다. 사이버 공격은 미사일에 버금가는 국가안보 위협이다.

정부가 국가 사이버보안 체계의 전면 재정비에 나선 것은 이런 문제의식 때문이다. 이재명 대통령은 최근 국무회의에서 공공과 민간 영역을 아우르며 보안 기능을 총괄·조정하는 ‘사이버보안 차르’ 기구를 적극 검토하라고 지시했다. AI 발전으로 공격 기술이 고도화하는 상황에서 점검과 사후 대응으로는 한계가 있다는 진단에서다. 정보통신, 에너지, 금융 등 핵심 인프라를 선제 보호해야 한다는 주문도 했다. 옳은 진단이다. 그러나 새 기구를 만드는 것이 곧 해법을 가져다주는 것은 아니다.

정부는 그동안 해킹 사고가 나면 범부처 회의를 열어 대책을 발표하는 일을 반복했다. 2013년 방송사와 은행 전산망이 마비된 3·20 사이버 테러와 6·25 사이버공격 직후 ‘국가 사이버안보 종합대책’을, 2014년 한국수력원자력 해킹 사건을 계기로 ‘국가 사이버안보 태세 강화 종합대책’을 내놨다. 2019년과 2024년에는 최상위 사이버안보 정책 지침인 ‘국가 사이버안보 전략’을 발표했다. 통신사와 카드사 정보 유출 사고가 발생하자 작년 10월 범부처 정보보호 종합대책을 발표했다.

하지만 지난 9월부터 이달 초까지 금융회사 38곳이 공격을 받아 개인정보 51만 건이 유출됐다. 여러 차례 대책을 내놨지만 개인정보 유출 및 침해 사고는 반복되고 있다. 사고 당시엔 반짝 대책을 내놓고, 시간이 지나면 보안의식이 느슨해지는 일이 반복된 탓이다.

사이버보안 컨트롤타워가 없었던 것도 아니다. 청와대 국가안보실이 사이버보안 정책을 총괄·조정해왔다. 하지만 인력과 예산을 집행하는 정부 부처가 아니어서 한계가 있다. 쪼개진 관할권과 기관 간 주도권 다툼도 문제다. 공공 부문은 국가정보원, 민간 영역은 과학기술정보통신부와 한국인터넷진흥원, 군은 국방부, 금융은 금융위원회가 담당한다. ‘국가사이버안보기본법’이 20년 넘게 국회 문턱을 넘지 못한 것도 부처 간 힘겨루기 탓이 크다.

사이버 공간이 공공과 민간으로 구분되지 않고, 공격도 무차별적으로 이뤄지는데 부처 간 칸막이가 무슨 의미가 있는지 의문이다. 사이버 공격의 양상이 바뀐 만큼 대응도 달라져야 한다. 국가 보안역량을 하나로 결집할 필요가 있다. 사이버보안 컨트롤타워에 실질적 리더십과 권한을 부여하고 법적·제도적으로 힘을 실어주는 것이 중요하다. 법적 근거 없이 차르라는 직함만 얹으면 옥상옥이 될 뿐이다. 대통령이 사이버안보를 국가 생존의 문제로 규정하고, 부처 간 이해관계를 정리하는 리더십과 정책 의지를 보여줄 때 사이버보안 차르가 제 역할을 할 수 있을 것이다.