⊙ 北 최고사령부·노동당·국방위 산하 對南 정보수집·사이버테러·심리전 전담하는 사이버戰 조직 운영
⊙ 2008년 이후 과거와 다른 사이버공격 행태 보여…2011년부터 공공기관·언론·금융 등 사회기반시설
공격, 2014년 들어서는 전력·가스·철도 등 국가기반시설 공격 병행
⊙ 김정은 통치자금 확보 위해 불법 도박사이트·개인 스마트폰 해킹 시도
⊙ 사이버戰力 등 非대칭전력 집중 육성… 해킹기술은 미국·중국 버금가는 세계적 수준
⊙ 政府, 사이버공격 받을 때마다 땜질식 처방… 법적·제도적 보완 시급
⊙ 2008년 이후 과거와 다른 사이버공격 행태 보여…2011년부터 공공기관·언론·금융 등 사회기반시설
공격, 2014년 들어서는 전력·가스·철도 등 국가기반시설 공격 병행
⊙ 김정은 통치자금 확보 위해 불법 도박사이트·개인 스마트폰 해킹 시도
⊙ 사이버戰力 등 非대칭전력 집중 육성… 해킹기술은 미국·중국 버금가는 세계적 수준
⊙ 政府, 사이버공격 받을 때마다 땜질식 처방… 법적·제도적 보완 시급
- 서울 내곡동 국가정보원 청사 내 국가사이버안전센터 종합상황실.
최근 비무장지대(DMZ)에서 발생한 북한의 목함지뢰 도발에 대해 우리 정부가 대응을 제대로 했느냐를 놓고 논란이 일고 있다. 북한의 국지도발에 대한 대응방식과 수위에 대한 갈등은 천안함 폭침, 연평도 포격 때도 있었다.
이런 상황에서 북한의 사이버테러에 대해 적극 대응하지 않으면 돌이킬 수 없는 안보재난에 빠질 것이라는 우려도 커지고 있다. 우리 정보당국은 “북한에 의한 사이버안보 위협을 사전에 제거하고 사이버 도발 시(時) 적극 대응하기 위해서는 지금 당장 법과 제도적 장치를 마련해야 한다”고 강조하고 있다.
북한의 대남(對南) 사이버공격은 2004년부터 시작됐다. 2005~07년 사이에는 단순히 자료 절취를 위해 국내 기관의 홈페이지나 관련자 이메일을 해킹했다. 당시의 공격수준은 지극히 낮았다는 게 정보당국의 판단이다.
그러나 김정은이 정권 후계자로 등장하기 시작한 2008년 이후, 북한의 사이버공격 행태는 이전과 전혀 다른 양태를 보였다. 국내 이용자가 많은 채팅·백신·자료공유(P2P) 사이트 등을 이용한 대규모 사이버공격으로 발전했고 공격기술도 높아졌다. 차원이 다른 사이버테러가 시작된 대표적 사례로는 2009년 발생한 게임프로그램 접속자 개인정보 유출 사건과 국내 유해화학물질 제조업체 위치정보 해킹 사건을 들 수 있다.
2009년 9월 북한 정찰총국 소속 해커들은 게임업체 직원으로 위장, 중국 선양에서 우리 게임업체 관계자에게 사행성 프로그램(악성코드가 담긴 프로그램)을 판매했다. 이 프로그램은 국내에 곧바로 유통됐고 여기에 접속한 내국인 60만명의 개인정보가 북한 해커들의 손에 고스란히 들어갔다. 그해 3월에는 육군 ○○사령부 인터넷망에 북한 해킹 세력이 침투해 국립환경과학원에서 운영 중인 ‘화학물질 사고대응 정보시스템’에 접속할 수 있는 인증서를 빼내 가는 사건이 발생했다. 북한 해커들은 인증서를 이용, 유해화학물질 제조업체 위치와 화학물질 정보 등 수천여 건의 자료를 유출했다. 정보당국 관계자는 “우연의 일치인지는 알 수 없으나 김정은이 공식 후계자로 지목된 이후 북한의 사이버공격 기술은 우리가 감당하기 어려운 수준으로까지 급성장했다”고 했다.
정보당국에 따르면, 김정은 집권 이후 북한의 사이버테러 공격 횟수가 크게 늘고 있고 공격수법 또한 다양화·고차원화하고 있다.
청와대·국무총리실 홈페이지에 김정은 찬양 글 게재
북한 사이버테러 세력은 2011년 5월 우리 육군사관학교 총동창회 홈페이지에 침투해 동문(同門) 기수별로 이메일을 확보, 다른 장성·장교 등에게 해킹 프로그램이 숨겨져 있는 안부 메일을 발송한 후 동문 컴퓨터에 저장된 각종 군사정보를 빼내 갔다. 그해 11월에는 고려대학교 정보보호대학원 졸업생들에게 해킹메일을 발송, 컴퓨터 사용자가 이메일로 주고받은 각종 문건과 수많은 이미지 등을 빼냈다. 북한은 이 학교 졸업생 대부분이 국방부 등 국가기관에 근무하고 있다는 사실을 파악한 후 2차 해킹을 시도하기도 했다.
북한은 2011년부터는 국가기관·언론·금융 등 공격 효과가 큰 사회기반시설을 목표로 장기간의 치밀한 준비를 거쳐 사이버공격을 감행하고 있다. 2011년 4월 북한에 의해 사상 처음으로 국내 금융전산망이 마비되는 일이 발생했다. 북한 해커들은 농협 전산망에 침투해 서버 273대를 파괴했고 20여일간 금융업무를 마비시켰다. 2012년 6월에는 《중앙일보》의 신문제작 서버 74개를 해킹, 기사 자료를 삭제하고 홈페이지까지 조작했다.
2013년 6월에는 청와대·국무총리실 홈페이지를 해킹해 김정은을 찬양하는 글로 ‘도배’했고, 같은 시각 동시다발적으로 17개 방송·신문사의 서버 155대를 파괴했다. 그해 12월에는 동아시아 FTA연구지원단과 국방부 정책자문위원 등 150여 명을 대상으로 외교·국방부 직원을 사칭해 정보절취형 해킹메일을 대량 유포하기도 했다. 정보당국 관계자는 “최근 북한 해킹 조직이 동부·대신·하나은행 등 시중은행 10여 개를 대상으로 사이버공격을 감행할 것이라는 첩보도 입수했다”고 밝혔다.
북한은 2014년 들어 남한에 사회적 혼란을 유발하기 위해 전력·가스·철도 등 국가 주요 기반시설을 대상으로 한 사이버공격도 병행하고 있다. 대표적인 사례가 고리·월성 원전(原電) 컴퓨터 파괴 사건이다. 북한 해킹 조직은 원전 컴퓨터에 칩입, 자료파괴형 악성코드를 심은 후 원전 설계도와 직원 연락처 등 자료 84건을 빼내 갔다. 또 이들은 게임 앱으로 위장한 악성 앱을 홈페이지(모바일 웹 포함)에 게시·유포, 우리 국민이 사용하는 스마트폰 2만여 대를 감염시키려 한 적도 있다. 정보당국 관계자는 “북한은 최근 들어 김정은의 통치자금을 확보하려는 목적으로 일반 국민의 스마트폰 금융정보를 절취하거나, 불법 도박사이트를 운영해 접속자의 자금을 갈취해 가는 사례도 늘고 있다”고 했다.
공격코드 암호화 등 고차원 기술 구현
북한은 현재 최고사령부·노동당·국방위원회 산하에 대남(對南) 정보수집·사이버테러 및 심리전을 담당하는 사이버전(戰) 조직을 운영하고 있다. 사이버테러 세력은 대규모 좀비PC를 동원한 디도스(DDoS) 공격, 홈페이지·서버 침투, 하드디스크(HDD) 자료 삭제, 공격코드 암호화·자폭(自爆) 기능 추가 등 고차원의 고급 기술을 구현하고 있다고 한다. 이와 반대로 북한의 방어역량은 오히려 강해지고 있다. 대부분의 정보통신망을 인터넷과 분리·운영하고 있는 데다 인터넷 감시·통제 등 보안관리를 강화하고 있어 외부에서 침투·공격하기가 상당히 곤란하다는 것이다. 정보당국 관계자는 “우리의 높은 정보통신(IT) 의존도를 간파해 온 북한은 오래 전부터 비대칭전력으로 ‘사이버전력(戰力)’을 집중 육성해 왔다. 이에 비해 우리의 대응책은 정치, 사회적 제약으로 한계를 안고 있다”고 했다.
그나마 2010년부터 우리 정부는 북한 사이버공격의 위험성을 심각하게 인식하고 국가정보원, 국방부 등을 중심으로 방어역량을 강화해 왔다. 현재 국가·공공기관의 주요 통신망에 대한 방어역량은 4~5년 전에 비해 많이 향상됐다고 한다. 북한의 기밀절취 공격에 대비해 100여개 국가·공공기관의 업무망과 인터넷망도 분리해 놨다. 그러나 민간분야를 경유하거나 민간영역을 대상으로 한 북한의 사이버공격에 대해서는 아직도 미흡한 상태라고 한다.
정보당국에 따르면, 북한의 사이버 공격 역량은 조직·규모 등 여러 면에서 미국·중국에 버금가는 세계적 수준으로 알려져 있다. 우리의 방어역량이 높아진 것은 사실이지만, 북한의 사이버 대남도발 욕구가 줄어들지 않는 이상 사이버공격은 계속될 것이라고 한다. 사회 전 분야가 인터넷, 모바일 등 IT화(化)되어 있는 우리의 현실적 상황을 고려할 때 사이버전(戰) 발발 시 우리의 피해는 예상을 훨씬 뛰어넘는 재난 수준에 달할 것이라는 판단도 배제하지 않고 있다.
향후 예상되는 사이버공격 양상에 대해 정보당국 관계자는 “북한은 우리 국가안보기관과 국책연구소를 대상으로 기밀절취를 계속 시도할 것이다. 또 사회혼란을 극대화하기 위해 전력·철도 등 사회기반시설에 대한 지능형 공격도 꾸준히 늘릴 것이다. 민원포털, 사물인터넷, 인터넷 결제서비스(핀테크) 등에 대해서도 새로운 유형의 사이버 공격을 획책할 가능성이 매우 높다”고 전망했다.
현재 사이버테러에 대한 우리의 대응체계는 국가기관(주요 사회기반시설 포함)에 한정돼 있다. 민간부문에 대한 대응은 ‘개인정보 보호’ 등 현실적 이유로 많은 제약을 안고 있다.
국가 사이버안보 대응체계의 컨트롤타워는 청와대 국가안보실이다. 실무 총괄은 국정원이 맡고 있고 국방부와 미래창조과학부 등이 역할을 분담한다. 대형(大型) 사이버테러가 발생할 때는 범정부 차원의 ‘민관군(民官軍) 사이버위협 합동대응팀’을 가동해 대처하고 있다.
법적 근거 미비, 조직·예산 부족, 낮은 정보보호 인식
주요 정보통신 기반시설에 대한 보호체계는 국무총리 산하 ‘정보통신기반보호위원회(위원장 국무조정실장)’가 컨트롤타워 역할을 한다. 실무적으로는 국정원과 미래창조과학부가 각각 분야별 실무위원회를 통해 처리한다. 국정원·미래부는 공공분야 227개, 민간분야 127개 주요 기반시설에 대한 보호계획 수립지침을 배포하고 이행 여부를 확인한다.
이런 노력에도 불구하고 북한의 사이버테러에 적극 대응하는 데는 법적·제도적 한계가 있다. 우선 국가 사이버안보 업무를 수행하기 위한 법적 근거가 미흡하다고 전문가들은 판단하고 있다. 사이버안보 주관부처인 국정원의 업무수행 근거가 ‘전자정부법’ ‘정보통신기반보호법’ 등 개별 법령에 산재(散在)해 있어 체계적 집행이 곤란하고 혼선도 초래하고 있다는 것이다. 특히, 국정원 소관 근거 법령은 국가·공공기관에만 영향을 미치는 ‘대통령 훈령’에 불과해 유사시 민간부문까지 포괄하는 신속한 업무수행이 사실상 어렵다.
현행 국정원법도 사이버 공간에서의 활동에 대해서는 정확히 규정하지 않고 있다. 국정원법 제3조에 의하면, 국정원은 국내외 정보의 수집·분석·배포 및 국가기밀(문서·시설 등)에 대한 보안업무를 수행할 수 있다. 이 조항을 사이버 공간에 확대·적용하는 데 대해 정치적 견해를 달리하는 일부 전문가들은 반대하고 있다. 시대적 상황을 반영한 국정원법 개정을 통해 사이버 공간에서의 정보활동을 명확히 규정할 필요가 있다.
국가 차원에서 민·관·군 역량을 결집하고 사이버위기에 적극 대응하기 위한 ‘사이버테러방지법’ 제정도 계속 지연되고 있다. 제18대 국회에서 폐기된 법률을 제19대 국회에서 서상기, 하태경, 이노근 의원 등이 재(再)발의했고, 이철우 의원도 지난 5월 ‘사이버위협정보공유법’을 대표발의했지만 국회에서 논의조차 되지 않고 있다. 민간인에 대한 국정원의 불법사찰 우려가 있다는 야당의 반대 때문이다. 정보당국 관계자는 “사이버테러 방지법안 중 논란이 있거나 불필요한 조항은 제외하고 사이버테러 대응에 가장 시급한 핵심사항 위주로 법안을 만들 수도 있지 않느냐”며 법안의 조속한 제정을 당부했다.
북한 사이버테러에 적극 대응하기 위한 현실적 문제로는 전담조직 미약과 예산부족도 들 수 있다. 현재 중앙행정기관으로는 국방부·외교부 등 2개 기관이, 공공기관으로는 경영평가 대상 62개 기관 중 34개 기관만이 정보보호 전담조직을 운영하고 있다. 2014년도 국정원 정보보안 관리실태 평가자료에 따르면, 국가·공공기관의 정보보호 전담인력은 평균 3.78명에 불과하다. ‘정보화’와 ‘정보보호’는 상호 경쟁·보완이 필수적이다. 그러나 현재 정보보호 업무는 해당 조직의 ‘정보화담당관실’에서 수행하고 있다.
정보보호 업무를 정보화의 부수적 업무로 간주하고 있는 것이다. 이에 따라 정보보호에 필요한 예산도 정보화 예산에 통합·편성돼 있다. 설령 예산이 늘더라도 정보보호에 소요되는 예산은 거의 늘지 않고 있다. 2015년도 국가정보화 시행계획에 따르면, 2015년도 정보보호사업 예산 총액은 2543억원으로, 정보화사업 예산(5조2049억원)의 4.9%에 불과하다.
이처럼 ‘정보화’와 ‘정보보호’의 개념 혼동이나 인식 저조는 국가·공공기관 공직자의 낮은 보안의식에 기인한다. 국가·공공기관 기관장 및 공직자들의 사이버보안에 대한 의식수준이 낮음으로 인해 사이버보안 조직강화나 예산확보에 애로가 발생하는 것이다.
2014년도 국정원 정보보안 관리실태 평가자료에 따르면, 사이버보안 업무 담당자의 가장 큰 애로사항은 전문인력과 예산부족(55%)인 것으로 나타났다. 그 다음으로 직원 및 기관장 인식부족(37.6%)이 차지했다. 국가·공공기관 기관장 스스로가 ‘사이버보안’에 관심이 낮다는 사실도 처음으로 확인됐다. 사이버보안에 대한 국가 차원의 현행 평가제도와 관련해, 개별 국가기관의 경우 사안의 중요성에도 불구하고 별도 평가항목 없이 타 분야 평가항목에 포함돼 있는 것으로 조사됐다. 공공기관의 경우에는 ‘공공기관 경영평가’에서 사이버보안 평가 비율은 1% 내외인 것으로 드러났다.
땜질式 처방
이 같은 현실은 결국 우리 정부가 그동안 여러 차례 발생한 북한 사이버테러에도 불구하고 국가 차원의 사이버안보 정책이나 대책을 제대로 마련하지 않았음을 의미한다. 사이버공격이 발생할 때마다 땜질식(式) 처방만 해 왔을 뿐 종합적이고 일관성 있는 대응을 하지 못한 것이다. 2009년 디도스 공격 후 정부는 ‘국가 사이버위기 종합대책’을 내놨다. 2011년 농협전산망 해킹 사고 후에는 ‘국가 사이버안보 마스터플랜’을, 2013년 동시다발적 사이버테러 사건 발생 후에는 ‘국가 사이버안보 종합대책’을 발표했다. 그러나 사이버안보전략, 기본계획과 시행계획 마련 등 체계적인 집행체계를 구축하는 데는 실패한 것으로 보인다. 정보당국 관계자는 “종합대책은 있었지만 사이버공격이 있을 때마다 사태수습에만 매달렸을 뿐 제대로 된 대응책을 마련하는 데는 한계가 있었음을 부인할 수 없다”고 했다.
북한은 국가·공공기관뿐 아니라 민간 주요 기반시설에 대해서도 사이버공격을 강화하고 있다. 하지만 현재 민간분야에 대한 보안관리나 정보보호는 국가·공공기관에 비해 크게 떨어진다. 주관부처인 미래창조과학부가 민간을 대상으로 정책 제안·권유 등의 업무를 수행하고 있지만, 기술지원·공격 점검 등에 대해서는 소홀하다는 지적이 없지 않다. 해킹 경유지로 악용되는 개인이나 민간기업에 대한 실질적인 예방활동도 이뤄지지 않고 있다. 결국 정부는 정보보호 관련 산업이나 전문인력을 육성하는 데도 미흡했다는 비판을 면하기 어렵다.
대다수 민간업체가 사이버 안보를 ‘곁가지 업무’로 인식, 투자에 인색한 것도 사실이다. 공영방송 KBS는 IT인력 80여 명 중 보안인력이 2명에 불과한 것으로 알려졌다. 현재 영업활동을 하고 있는 정보보호 전문기업의 규모는 중소업체 수준이며, 대학 차원의 전문인력 배출도 저조한 게 현실이다.
기관별 정보보호 역량 강화해야
법적·제도적 미비 상황에서도 현실을 개선하기 위한 방안은 무엇일까. 정보당국과 국가정보학 전문가들의 견해를 정리하면 다음과 같다.
먼저 지금까지 국정원이 국가·공공기관 및 소속·산하기관 등 전(全) 기관을 대상으로 ‘직접’ 보안관리 업무를 수행해 왔는데, 이를 개별 기관에 이양해야 한다. 중앙행정기관(49개)과 광역자치단체(17개) 및 교육청(17개) 등이 자체 보안관리 역량을 확보해 소속·산하기관(2만여 개)에 대한 사이버보안을 총괄·관리하는 방향으로 전환해야 한다.
둘째, 이를 위해 중앙행정기관, 광역단체·교육청에 사이버보안 전담조직을 신설하고, ‘정보보호’ 예산을 ‘정보화’ 예산에서 분리·편성하는 등 정보보호 역량을 강화해야 한다. 사이버보안 담당조직을 정보화 조직에서 분리, 해당 기관의 기획조정실장이 책임 운영하도록 업무 실행력도 강화해야 한다.
셋째, 국가 사이버안보전략(5년)·기본계획(2~3년)·시행계획(1년) 순으로 사이버안보정책 집행체계를 시급히 수립해야 한다.
넷째, 민·관·군 합동 사이버위기 대응 실전훈련을 강화하고, 각 영역 간 사이버위협 정보를 종합 수집·분석·공유할 수 있는 시스템을 구축해야 한다.
다섯째, 사이버공격에 대해 국제사회와 공조·대응하기 위해 주요 국가와의 사이버안보 관련 정책과 정보를 공유해야 한다. 또 국제기구와의 긴밀한 협력을 통해 사이버공격에 대한 억지력을 강화하고 국제규범을 마련하는 데 적극 동참해야 한다.
마지막으로, 국가 사이버안보 관련 법령을 보완해 업무수행 체계 기반을 조속히 정비해야 한다.⊙
이런 상황에서 북한의 사이버테러에 대해 적극 대응하지 않으면 돌이킬 수 없는 안보재난에 빠질 것이라는 우려도 커지고 있다. 우리 정보당국은 “북한에 의한 사이버안보 위협을 사전에 제거하고 사이버 도발 시(時) 적극 대응하기 위해서는 지금 당장 법과 제도적 장치를 마련해야 한다”고 강조하고 있다.
북한의 대남(對南) 사이버공격은 2004년부터 시작됐다. 2005~07년 사이에는 단순히 자료 절취를 위해 국내 기관의 홈페이지나 관련자 이메일을 해킹했다. 당시의 공격수준은 지극히 낮았다는 게 정보당국의 판단이다.
그러나 김정은이 정권 후계자로 등장하기 시작한 2008년 이후, 북한의 사이버공격 행태는 이전과 전혀 다른 양태를 보였다. 국내 이용자가 많은 채팅·백신·자료공유(P2P) 사이트 등을 이용한 대규모 사이버공격으로 발전했고 공격기술도 높아졌다. 차원이 다른 사이버테러가 시작된 대표적 사례로는 2009년 발생한 게임프로그램 접속자 개인정보 유출 사건과 국내 유해화학물질 제조업체 위치정보 해킹 사건을 들 수 있다.
2009년 9월 북한 정찰총국 소속 해커들은 게임업체 직원으로 위장, 중국 선양에서 우리 게임업체 관계자에게 사행성 프로그램(악성코드가 담긴 프로그램)을 판매했다. 이 프로그램은 국내에 곧바로 유통됐고 여기에 접속한 내국인 60만명의 개인정보가 북한 해커들의 손에 고스란히 들어갔다. 그해 3월에는 육군 ○○사령부 인터넷망에 북한 해킹 세력이 침투해 국립환경과학원에서 운영 중인 ‘화학물질 사고대응 정보시스템’에 접속할 수 있는 인증서를 빼내 가는 사건이 발생했다. 북한 해커들은 인증서를 이용, 유해화학물질 제조업체 위치와 화학물질 정보 등 수천여 건의 자료를 유출했다. 정보당국 관계자는 “우연의 일치인지는 알 수 없으나 김정은이 공식 후계자로 지목된 이후 북한의 사이버공격 기술은 우리가 감당하기 어려운 수준으로까지 급성장했다”고 했다.
정보당국에 따르면, 김정은 집권 이후 북한의 사이버테러 공격 횟수가 크게 늘고 있고 공격수법 또한 다양화·고차원화하고 있다.
청와대·국무총리실 홈페이지에 김정은 찬양 글 게재
북한 사이버테러 세력은 2011년 5월 우리 육군사관학교 총동창회 홈페이지에 침투해 동문(同門) 기수별로 이메일을 확보, 다른 장성·장교 등에게 해킹 프로그램이 숨겨져 있는 안부 메일을 발송한 후 동문 컴퓨터에 저장된 각종 군사정보를 빼내 갔다. 그해 11월에는 고려대학교 정보보호대학원 졸업생들에게 해킹메일을 발송, 컴퓨터 사용자가 이메일로 주고받은 각종 문건과 수많은 이미지 등을 빼냈다. 북한은 이 학교 졸업생 대부분이 국방부 등 국가기관에 근무하고 있다는 사실을 파악한 후 2차 해킹을 시도하기도 했다.
북한은 2011년부터는 국가기관·언론·금융 등 공격 효과가 큰 사회기반시설을 목표로 장기간의 치밀한 준비를 거쳐 사이버공격을 감행하고 있다. 2011년 4월 북한에 의해 사상 처음으로 국내 금융전산망이 마비되는 일이 발생했다. 북한 해커들은 농협 전산망에 침투해 서버 273대를 파괴했고 20여일간 금융업무를 마비시켰다. 2012년 6월에는 《중앙일보》의 신문제작 서버 74개를 해킹, 기사 자료를 삭제하고 홈페이지까지 조작했다.
2013년 6월에는 청와대·국무총리실 홈페이지를 해킹해 김정은을 찬양하는 글로 ‘도배’했고, 같은 시각 동시다발적으로 17개 방송·신문사의 서버 155대를 파괴했다. 그해 12월에는 동아시아 FTA연구지원단과 국방부 정책자문위원 등 150여 명을 대상으로 외교·국방부 직원을 사칭해 정보절취형 해킹메일을 대량 유포하기도 했다. 정보당국 관계자는 “최근 북한 해킹 조직이 동부·대신·하나은행 등 시중은행 10여 개를 대상으로 사이버공격을 감행할 것이라는 첩보도 입수했다”고 밝혔다.
북한은 2014년 들어 남한에 사회적 혼란을 유발하기 위해 전력·가스·철도 등 국가 주요 기반시설을 대상으로 한 사이버공격도 병행하고 있다. 대표적인 사례가 고리·월성 원전(原電) 컴퓨터 파괴 사건이다. 북한 해킹 조직은 원전 컴퓨터에 칩입, 자료파괴형 악성코드를 심은 후 원전 설계도와 직원 연락처 등 자료 84건을 빼내 갔다. 또 이들은 게임 앱으로 위장한 악성 앱을 홈페이지(모바일 웹 포함)에 게시·유포, 우리 국민이 사용하는 스마트폰 2만여 대를 감염시키려 한 적도 있다. 정보당국 관계자는 “북한은 최근 들어 김정은의 통치자금을 확보하려는 목적으로 일반 국민의 스마트폰 금융정보를 절취하거나, 불법 도박사이트를 운영해 접속자의 자금을 갈취해 가는 사례도 늘고 있다”고 했다.
공격코드 암호화 등 고차원 기술 구현
 |
| 중국 내 북한 해커 근거지. 이중 선양(瀋陽)은 해외 해킹의 전초기지인 것으로 알려졌다. 북한은 1만여 명의 사이버 해커조직을 운영 중이며 이들 대부분이 IT 인력으로 위장해 활동하고 있다. 특명을 받으면 5~15명 단위의 소규모로 움직인다. |
그나마 2010년부터 우리 정부는 북한 사이버공격의 위험성을 심각하게 인식하고 국가정보원, 국방부 등을 중심으로 방어역량을 강화해 왔다. 현재 국가·공공기관의 주요 통신망에 대한 방어역량은 4~5년 전에 비해 많이 향상됐다고 한다. 북한의 기밀절취 공격에 대비해 100여개 국가·공공기관의 업무망과 인터넷망도 분리해 놨다. 그러나 민간분야를 경유하거나 민간영역을 대상으로 한 북한의 사이버공격에 대해서는 아직도 미흡한 상태라고 한다.
정보당국에 따르면, 북한의 사이버 공격 역량은 조직·규모 등 여러 면에서 미국·중국에 버금가는 세계적 수준으로 알려져 있다. 우리의 방어역량이 높아진 것은 사실이지만, 북한의 사이버 대남도발 욕구가 줄어들지 않는 이상 사이버공격은 계속될 것이라고 한다. 사회 전 분야가 인터넷, 모바일 등 IT화(化)되어 있는 우리의 현실적 상황을 고려할 때 사이버전(戰) 발발 시 우리의 피해는 예상을 훨씬 뛰어넘는 재난 수준에 달할 것이라는 판단도 배제하지 않고 있다.
향후 예상되는 사이버공격 양상에 대해 정보당국 관계자는 “북한은 우리 국가안보기관과 국책연구소를 대상으로 기밀절취를 계속 시도할 것이다. 또 사회혼란을 극대화하기 위해 전력·철도 등 사회기반시설에 대한 지능형 공격도 꾸준히 늘릴 것이다. 민원포털, 사물인터넷, 인터넷 결제서비스(핀테크) 등에 대해서도 새로운 유형의 사이버 공격을 획책할 가능성이 매우 높다”고 전망했다.
현재 사이버테러에 대한 우리의 대응체계는 국가기관(주요 사회기반시설 포함)에 한정돼 있다. 민간부문에 대한 대응은 ‘개인정보 보호’ 등 현실적 이유로 많은 제약을 안고 있다.
국가 사이버안보 대응체계의 컨트롤타워는 청와대 국가안보실이다. 실무 총괄은 국정원이 맡고 있고 국방부와 미래창조과학부 등이 역할을 분담한다. 대형(大型) 사이버테러가 발생할 때는 범정부 차원의 ‘민관군(民官軍) 사이버위협 합동대응팀’을 가동해 대처하고 있다.
▲미국(대통령제) ㆍ컨트롤타워: 백악관(사이버안보조정관) ㆍ실무기관: 국토안보부(보안관제 및 기반시설 보호), FBI(사이버범죄 수사), CIA(사이버 위협정보 수집 및 사이버공작), NSA(사이버위협정보 수집 및 국가기밀 보호), 사이버사령부(국방망 보호 및 사이버戰 대응) 등이 역할분담 수행 ▲중국 ㆍ컨트롤타워: 공산당 산하 중앙 인터넷안전 및 정보화 영도소조(조장 시진핑) ㆍ실무기관: 국가보밀국(국가·공공기관 전산망 보호 및 비밀관리), 국가안전부(안보관련 사이버범죄 수사), 공공안전부(일반 사이버범죄 수사), 공업정보화부(공공전산망 보안관리 및 민간기업 보안업무 지원) ▲일본(내각제) ㆍ컨트롤타워: 총리 산하 사이버시큐리티전략본부(의장 내각관방장관) ㆍ실무기관: 국가정보시큐리티센터(내각관방 산하), 경찰청(사이버범죄 수사), 방위성(국방전산망 보호) ▲러시아 (대통령제) ㆍ컨트롤타워: 연방보안부(FSB) ㆍ실무기관: 연방보안부(사이버안보 업무 총괄), 해외정보부(국내 사이버여론 수집·감시) ▲영국(내각제) ㆍ컨트롤타워: 총리실 소속 사이버보안실(OCSIA) ·사이버보안운영센터(CSOC) ㆍ실무기관: 정보통신본부(GCHQ－사이버안보 실무 총괄), 국내보안부(SS－기반시설 보호) ▲이스라엘(내각제) ㆍ컨트롤타워: 총리 산하 국가사이버위원회(NCB) ㆍ실무기관 : 보안정보부(ISA－공공·민간 사이버보안 실무 총괄), 軍정보국(IDI－국방분야 사이버보안 업무) |
법적 근거 미비, 조직·예산 부족, 낮은 정보보호 인식
 |
| 북한은 김정은의 통치자금을 확보하기 위해 우리의 불법 도박사이트에 침투하거나 스마트폰을 해킹해 개인 금융자산을 빼내려 하고 있다. |
이런 노력에도 불구하고 북한의 사이버테러에 적극 대응하는 데는 법적·제도적 한계가 있다. 우선 국가 사이버안보 업무를 수행하기 위한 법적 근거가 미흡하다고 전문가들은 판단하고 있다. 사이버안보 주관부처인 국정원의 업무수행 근거가 ‘전자정부법’ ‘정보통신기반보호법’ 등 개별 법령에 산재(散在)해 있어 체계적 집행이 곤란하고 혼선도 초래하고 있다는 것이다. 특히, 국정원 소관 근거 법령은 국가·공공기관에만 영향을 미치는 ‘대통령 훈령’에 불과해 유사시 민간부문까지 포괄하는 신속한 업무수행이 사실상 어렵다.
현행 국정원법도 사이버 공간에서의 활동에 대해서는 정확히 규정하지 않고 있다. 국정원법 제3조에 의하면, 국정원은 국내외 정보의 수집·분석·배포 및 국가기밀(문서·시설 등)에 대한 보안업무를 수행할 수 있다. 이 조항을 사이버 공간에 확대·적용하는 데 대해 정치적 견해를 달리하는 일부 전문가들은 반대하고 있다. 시대적 상황을 반영한 국정원법 개정을 통해 사이버 공간에서의 정보활동을 명확히 규정할 필요가 있다.
국가 차원에서 민·관·군 역량을 결집하고 사이버위기에 적극 대응하기 위한 ‘사이버테러방지법’ 제정도 계속 지연되고 있다. 제18대 국회에서 폐기된 법률을 제19대 국회에서 서상기, 하태경, 이노근 의원 등이 재(再)발의했고, 이철우 의원도 지난 5월 ‘사이버위협정보공유법’을 대표발의했지만 국회에서 논의조차 되지 않고 있다. 민간인에 대한 국정원의 불법사찰 우려가 있다는 야당의 반대 때문이다. 정보당국 관계자는 “사이버테러 방지법안 중 논란이 있거나 불필요한 조항은 제외하고 사이버테러 대응에 가장 시급한 핵심사항 위주로 법안을 만들 수도 있지 않느냐”며 법안의 조속한 제정을 당부했다.
북한 사이버테러에 적극 대응하기 위한 현실적 문제로는 전담조직 미약과 예산부족도 들 수 있다. 현재 중앙행정기관으로는 국방부·외교부 등 2개 기관이, 공공기관으로는 경영평가 대상 62개 기관 중 34개 기관만이 정보보호 전담조직을 운영하고 있다. 2014년도 국정원 정보보안 관리실태 평가자료에 따르면, 국가·공공기관의 정보보호 전담인력은 평균 3.78명에 불과하다. ‘정보화’와 ‘정보보호’는 상호 경쟁·보완이 필수적이다. 그러나 현재 정보보호 업무는 해당 조직의 ‘정보화담당관실’에서 수행하고 있다.
정보보호 업무를 정보화의 부수적 업무로 간주하고 있는 것이다. 이에 따라 정보보호에 필요한 예산도 정보화 예산에 통합·편성돼 있다. 설령 예산이 늘더라도 정보보호에 소요되는 예산은 거의 늘지 않고 있다. 2015년도 국가정보화 시행계획에 따르면, 2015년도 정보보호사업 예산 총액은 2543억원으로, 정보화사업 예산(5조2049억원)의 4.9%에 불과하다.
이처럼 ‘정보화’와 ‘정보보호’의 개념 혼동이나 인식 저조는 국가·공공기관 공직자의 낮은 보안의식에 기인한다. 국가·공공기관 기관장 및 공직자들의 사이버보안에 대한 의식수준이 낮음으로 인해 사이버보안 조직강화나 예산확보에 애로가 발생하는 것이다.
2014년도 국정원 정보보안 관리실태 평가자료에 따르면, 사이버보안 업무 담당자의 가장 큰 애로사항은 전문인력과 예산부족(55%)인 것으로 나타났다. 그 다음으로 직원 및 기관장 인식부족(37.6%)이 차지했다. 국가·공공기관 기관장 스스로가 ‘사이버보안’에 관심이 낮다는 사실도 처음으로 확인됐다. 사이버보안에 대한 국가 차원의 현행 평가제도와 관련해, 개별 국가기관의 경우 사안의 중요성에도 불구하고 별도 평가항목 없이 타 분야 평가항목에 포함돼 있는 것으로 조사됐다. 공공기관의 경우에는 ‘공공기관 경영평가’에서 사이버보안 평가 비율은 1% 내외인 것으로 드러났다.
 |
| 북한의 사이버 공격 사례들. 김정은 등장 이후 사이버테러 횟수가 늘고 있고 공격기술도 고도화하고 있다. |
북한은 국가·공공기관뿐 아니라 민간 주요 기반시설에 대해서도 사이버공격을 강화하고 있다. 하지만 현재 민간분야에 대한 보안관리나 정보보호는 국가·공공기관에 비해 크게 떨어진다. 주관부처인 미래창조과학부가 민간을 대상으로 정책 제안·권유 등의 업무를 수행하고 있지만, 기술지원·공격 점검 등에 대해서는 소홀하다는 지적이 없지 않다. 해킹 경유지로 악용되는 개인이나 민간기업에 대한 실질적인 예방활동도 이뤄지지 않고 있다. 결국 정부는 정보보호 관련 산업이나 전문인력을 육성하는 데도 미흡했다는 비판을 면하기 어렵다.
대다수 민간업체가 사이버 안보를 ‘곁가지 업무’로 인식, 투자에 인색한 것도 사실이다. 공영방송 KBS는 IT인력 80여 명 중 보안인력이 2명에 불과한 것으로 알려졌다. 현재 영업활동을 하고 있는 정보보호 전문기업의 규모는 중소업체 수준이며, 대학 차원의 전문인력 배출도 저조한 게 현실이다.
기관별 정보보호 역량 강화해야
법적·제도적 미비 상황에서도 현실을 개선하기 위한 방안은 무엇일까. 정보당국과 국가정보학 전문가들의 견해를 정리하면 다음과 같다.
먼저 지금까지 국정원이 국가·공공기관 및 소속·산하기관 등 전(全) 기관을 대상으로 ‘직접’ 보안관리 업무를 수행해 왔는데, 이를 개별 기관에 이양해야 한다. 중앙행정기관(49개)과 광역자치단체(17개) 및 교육청(17개) 등이 자체 보안관리 역량을 확보해 소속·산하기관(2만여 개)에 대한 사이버보안을 총괄·관리하는 방향으로 전환해야 한다.
둘째, 이를 위해 중앙행정기관, 광역단체·교육청에 사이버보안 전담조직을 신설하고, ‘정보보호’ 예산을 ‘정보화’ 예산에서 분리·편성하는 등 정보보호 역량을 강화해야 한다. 사이버보안 담당조직을 정보화 조직에서 분리, 해당 기관의 기획조정실장이 책임 운영하도록 업무 실행력도 강화해야 한다.
셋째, 국가 사이버안보전략(5년)·기본계획(2~3년)·시행계획(1년) 순으로 사이버안보정책 집행체계를 시급히 수립해야 한다.
넷째, 민·관·군 합동 사이버위기 대응 실전훈련을 강화하고, 각 영역 간 사이버위협 정보를 종합 수집·분석·공유할 수 있는 시스템을 구축해야 한다.
다섯째, 사이버공격에 대해 국제사회와 공조·대응하기 위해 주요 국가와의 사이버안보 관련 정책과 정보를 공유해야 한다. 또 국제기구와의 긴밀한 협력을 통해 사이버공격에 대한 억지력을 강화하고 국제규범을 마련하는 데 적극 동참해야 한다.
마지막으로, 국가 사이버안보 관련 법령을 보완해 업무수행 체계 기반을 조속히 정비해야 한다.⊙
