[이슈 점검] 북한의 국가 주요기관 전방위 해킹 대책은? : 월간조선

지난 7월 한국원자력연구원과 한국항공우주산업(KAI), 대우조선해양(DSME)이 북한과 제3국 추정세력에 해킹당해 주요 비밀문건이 대량 유출된 것으로 알려졌다. 블랙 햇 해커(black-hat hacker)들이 국가핵심기반, 즉 원전(原電)과 핵연료 원천기술, 신형 잠수함, 그리고 차세대 전투기, 정찰위성, 무인기(無人耭) 등을 개발하는 정부 핵심 연구기관과 방위산업체를 표적으로 삼은 것이다.

이번 사고는 2009년 정부기관과 금융권에 대한 디도스(DDoS) 공격과 2014년 한국수력원자력 해킹, 2016년 국방통합데이터센터 해킹의 연장선으로 판단된다. 아울러 안보위협과 도발양상이 기존의 물리적·대면(對面) 위주에서 사이버·비대면(非對面) 중심으로 변환됨을 다시금 각인시켜 주었다.

이번에 해킹당한 피해의 실태 공개와 재발방지책 없이 얼렁뚱땅 넘기려고 하면 곤란하다. 문재인 정권의 직무유기 내지 이적(利敵)행위라는 비판에 앞서 이미 입은 내상(內傷)이 깊고 넓게 곪아 터져 치유가 시급하기 때문이다.

이번 해킹 사건을 계기로 물리적 정보통신기술(ICT) 기반의 시스템 분리와 핵심기반 간 상호 의존성이 낮은 현행 국가핵심기반 위기관리 틀(frame)을 재설계하고 운영해야 할 필요성이 절실해졌다. 국가위기관리 패러다임 변환은 고르디우스 매듭(gordian knot) 풀기보다 훨씬 더 어렵고 힘든 일이다. 그동안 정부 조직개편 때마다 부처 이기주의와 정치적 흥정 등으로 당초 취지와 달리 본래 취지가 왜곡되었던 역사가 이를 잘 말해주고 있다. 그럼에도 우리 공동체의 생존과 번영을 위해 국가핵심기반 위기관리 틀을 재설계하는 ‘혁신의 행군’은 결코 멈춰서는 안 될 것이다.

무방비로 노출된 국가핵심기반

2003년 2월 미국 정부가 수립한 ‘주요기반시설 및 핵심자산의 물리적 보호를 위한 국가전략(National Strategy for Physical Protection of Critical Infrastructure & Key Assets)’에 따르면, 국가핵심기반이란 ‘국가안보, 통치, 경제적 안정, 일상생활의 기반이 되는 매우 정교하고 복잡한 시설(facility), 체계(system), 기능(function)으로, 인적자원, 물리적 자산, 정보통신 시스템이 포함된다’고 규정하고 있다. 주로 금융, 에너지, 정보통신, 교통수송, 원자력, 방위산업체, 정부기관 등이 대상이다. 이들은 정치·경제·군사·사회 각 분야가 상호 연계·의존성을 갖고 작용하기 때문에 국가안보, 국민생활과 매우 밀접한 관계에 있다.

국가핵심기반의 지정은 첫째로 타 기반시설·체계 등에 미치는 연쇄효과, 둘째로 둘 이상의 중앙부처와의 공동대응 필요성, 셋째로 국가안전보장과 경제·사회에 미치는 피해 규모 및 범위, 끝으로 재난발생 가능성 또는 복구 용이성 등을 고려한다. 국가핵심기반은 현재 11개 분야에 총 340개로 추산된다.

외형상으로는 효율적인 관리가 이루어지고 있는 것처럼 보이지만 현실은 딴판이다. 〈표〉에서 보는 바와 같이 법령과 업무조직의 분산, 컨트롤 타워 부재, 지정분야 중복·상이, 그리고 시설물 안전관리 위주의 관성적 위기관리 행태 등 적지 않은 문제점이 똬리를 틀고 있어 개선이 필요하다.

국가핵심기반은 24시간 북한의 정치·군사적 도발, 핵미사일·장사정포·드론·GPS 교란·EMP탄·사이버 공격, 20여만명의 특수작전부대 그리고 평시 재난 등 위협에 노출되어 있다. 만일 북한이 도발을 자행한다면 전력·정보통신·방송·철도·에너지 등의 시설을 타격해 군사적 목표 달성과 남한의 정치·심리적 타격을 주는 효과기반 작전(Effects Based Operation) 수행이 예상된다.

예컨대 전쟁 이전이나 개전 초기에 장사정포나 특작(特作)부대 공격으로 남한 발전소가 파괴되면 대규모 정전(停電)이 발생하게 되고, 이는 곧 전시(戰時) 동원물자·장비 생산라인 가동 중단과 철도 수송 제한으로 이어져, 전시 미증원물자와 남한 동원자원의 전방지역 전개에 차질을 초래할 수 있다. 이처럼 연쇄 피해는 국가총력전의 걸림돌로 작용해 전쟁 승리를 불투명하게 만든다는 데 그 심각성이 있다. 이러한 측면에서 현 국가핵심기반 위기관리 체제의 개선 방향을 제시해보고자 한다.

위기관리전담기구 신설이 시급

우선, 가칭 ‘국가핵심기반보호기본법’을 제정해야 한다. 현행 분산된 법령 체제는 용어, 명칭, 지정대상·지정절차·관리기준 및 보호계획수립, 확인평가 등이 제각각이어서 여간 문제가 아니다. 특히 조직기능 분산과 핵심기반시설 간 상호 연계성 미약은 북한의 물리적·사이버 위협과 도발, 그리고 재난의 대비·대응에 한계를 노정시키고 있다.

이로 인한 행정력, 자원, 노력의 중복과 낭비 같은 기회비용을 줄이고 효율적인 국가핵심기반 보호를 위해 법적 뒷받침을 통한 위기관리 패러다임 변환이 요구된다. 이런 맥락에서 가칭 ‘국가핵심기반보호기본법’ 제정이 선행되어야 한다. 또한 사이버 침해 관련 정보공유, 대비대응, 국제협력 등을 지원하기 위해 가칭 ‘사이버안보기본법’ 제정도 간과해선 안 된다. 급변하는 안보환경에서 소 잃고 외양간도 제대로 못 고치는 현실에서 더 이상 관련법 제정을 해찰할 만큼 한가롭지 못하다.

둘째, 국가핵심기반 컨트롤 타워의 신설이다. 전문성과 민첩성을 갖춘 국가핵심기반 위기관리전담기구 신설이 시급하다. 현재 국가정보원, 국방부, 행정안전부, 과학기술정보통신부로 분산된 수직적이고 규제 위주의 위기관리 체제는 탐지, 정보공유, 대응의 민첩성과 협력성을 떨어뜨려 국가핵심기반 기능의 연속성 유지를 가로막는 걸림돌이 되고 있다.

따라서 전·평시 국가핵심기반 파괴·기능마비 시 긴급복구와 지휘통제, 국제협력, 정책수립, 취약성 확인·지도점검 등을 총괄하는 전담기구 설치와 운영이 필요하다. 가칭 ‘국가핵심기반관리청’을 신설해 수직·수평적 업무계선(business chain) 구축과 행정·공공기관·핵심기반 소유주(운영자) 간 상호 협력(governance)을 제도화해 안정성과 지속성을 보장해야 한다.

또한 대통령의 의사결정을 보좌하기 위해 국가안보실에 국가핵심기반 비서관(담당 행정관) 신설도 적극 고려해야 한다. 영국은 9·11테러 이후 2007년 기존 국가핵심기반조정센터(NISCC), 영국안보서비스(UKSS), 국가안보자문센터(NSAC)로 분산된 조직기능을 국가핵심기반보호센터(CPNI)로 묶어 효율성을 극대화하고 있다. 미국도 기존 국토안보부(DHS)의 국(局) 조직을 2018년 사이버&핵심기반보안청(Cyber Security and Infrastructure Security Agency)으로 확대·개편해 컨트롤 타워 기능과 대비대응 능력을 강화하고 있다.

국가핵심기반의 지정기준과 대상 일원화해야

지난 4월 9일 경남 사천 한국항공우주산업(KAI) 공장에서 열린 첫 국산 전투기 KF-21 보라매 시제기 출고식 장면. 북한 해커로 추정되는 세력이 최근 KAI를 해킹한 정황이 포착돼 당국이 조사를 벌였다. 사진=뉴시스

셋째, 국가핵심기반 보호계획의 상호 의존성 유지대책의 강구이다. 오늘날 정보통신기술(ICT) 발달로 네트워크화해 있는 국가핵심기반은 한 곳의 피해로 인해 다른 기반으로의 피해 연쇄파급 효과가 발생할 가능성이 매우 높다. 국가핵심기반 보호는 시설물 보호뿐만 아니라 네트워킹이 된 각종 시스템이나 정보통신시스템을 보호하는 것으로, 국가안보에 미치는 영향이 매우 크다.

그럼에도 현행 국가핵심기반 보호계획은 소관 분야의 연계성과 긴급 대응기관, 즉 소재지 소방, 군, 경찰 등과의 협력만을 규정하고 있다. 이러한 현실은 위기 대비・대응 간 상호 공조(共助), 정보 공유, 연쇄파급 효과 차단, 그리고 통합적·체계적 복구를 가로막고 있다. 따라서 모든 국가핵심기반 보호계획은 상호 의존·연계성이 유지되도록 수립하는 것이 중요하다. 국가핵심기반 상호 의존성과 기능 연속성을 위해 국가핵심기반 간 상호 의존 매트릭스를 작성·활용하는 미국과 호주 사례를 본보기로 삼을 필요가 있다.

넷째, 국가핵심기반의 지정기준과 대상을 일원화해야 한다. 국가핵심기반 관련 기관별로 지정대상 종류, 수량, 기준 등이 상이한 것은 위기관리 취약성을 가중시키는 요인 중 하나다. 예컨대 이번에 해킹 피해를 입은 정부출연 연구기관과 방위산업체가 국정원, 합참, 행안부, 과기정통부가 지정한 국가핵심기반 대상에서 제외된 것은 아이러니다.

북한의 물리적·사이버 공격 위협이 실존하는 안보 현실에서 소형 원자로, 최신형 잠수함·전투기, 인공위성 및 신형 우주발사체 등을 연구, 시험·생산하는 군수산업기지 보호에 구멍이 뚫린 것은 여간 큰 문제가 아니다. 따라서 현행 국가핵심기반 지정기준, 절차, 대상의 중복·상이로 인한 부조리를 해소하기 위해 일원화된 기준과 절차를 가칭 ‘국가핵심기반보호기본법’에 규정하여 위기관리 효율성을 높여야 한다.

끝으로, 지방자치단체의 역할 강화와 민관협력(governance) 구축이다. 지자체는 관할 구역의 유관기관·개인들과 안보 파트너십을 구축하고, 정보공유, 자원동원과 투입(projection)의 역할을 담당하는 중심축(軸)이다. 특히 지자체는 국가핵심기반의 소유주(운영자)와 연계된 협력으로 통합적 위기관리를 주도하여 주민에게 필수 공공서비스를 제공해야 한다.

이를 위해 각급 행정기관, 공공기관, 민간부문(개인·기업체)의 수평적 협업 네트워크(governance)를 구축하고, 국가핵심기반 보호계획과 위기관리 매뉴얼을 활용한 위기 대응 조치의 절차 숙달훈련을 실시해야 한다. 또한 민간부문, 즉 사기업체와 개인이 자발적으로 국가위기관리 과정에 참여하다 입은 피해와 손실을 보상해주도록 관련 법령에 이를 명시하는 일이 급선무다.

‘착한 사마리아인(Good Samaritan)’이나 애국심에 기댄 시민참여는 현실적으로 한계가 있으므로 법적·제도적 지원을 통해 그들의 참여를 활성화해야 한다. 미국의 경우 국가리스크관리센터(the National Risk Management Center·NRMC)에서 정부기관, 민간부문, 주요 이해 당사자(stakeholder)가 국가핵심기반의 전략적 리스크 식별, 분석, 우선순위, 그리고 관리를 함께 하도록 협력하는 것을 유념해볼 필요가 있다.

위기관리조직 설계 때 유의할 점

오늘날 국가핵심기반은 전·평시 국가 기능 연속성을 유지하는 중추신경으로 그 중요성은 아무리 강조해도 지나침이 없다. 정부 수립 이후 지금까지 국가위기관리 체제는 정부 조직개편 때마다 신설·축소·폐지·복원의 반복을 거쳐왔다. 그 여파로 관련 법과 제도는 현실과 유리된 채 제자리걸음을 면치 못하고 있는 실정이다.

위기관리조직 설계 당시 위협요인, 국가역량, 대외관계 등 객관적 사실을 도외시한 채, 얼치기 전문가의 조언과 대통령 당선자 진영의 주관적 판단이 어우러져 빗어낸 결과다. 차기 정부에서는 정부 조직도의 사각형을 이리저리 옮기고 없애기를 반복하는 시행착오의 고리를 끊어야 한다. 국리민복(國利民福)의 숭고한 가치를 되세우는 첩경은 사회적 희소가치의 권위적 배분이라는 정치의 본질을 살리는 것이기 때문이다. 자칫 대선 승리에 취해 개혁은 한 발짝도 못 떼고 기회비용만 증대시켜 그 피해를 오히려 국민에게 떠넘기는 우(愚)를 또다시 범하지 말아야 할 것이다.⊙