임종인 청와대 안보특별보좌관
사이버 열강 틈에서 견제와 조력 줄다리기 필요
자주국방 위해서는 사이버 수사·외교력 키워야
필요시 선제 대응·능동적 방어 능력 향상 시급
사이버 열강 틈에서 견제와 조력 줄다리기 필요
자주국방 위해서는 사이버 수사·외교력 키워야
필요시 선제 대응·능동적 방어 능력 향상 시급
![[DT초대석] "적·우방 없는 사이버전쟁, 자주국방 역량 배양 절실"](http://contents.dt.co.kr/images/201505/2015051402101060800001[1].jpg "[DT초대석] \"적·우방 없는 사이버전쟁, 자주국방 역량 배양 절실\"")
31년 전, 상아탑 안에서 수학을 연구하며 암호학에 깊이 탐닉하던 한 학자가 있었다. 연구활동 중 그는 전 세계적으로 암호를 이용해 벌어지는 기이한 현상들에 주목했다. 컴퓨터 프로그램을 통해 암호화된 정보를 주고받는가 하면, 이를 악용한 모종의 공격 행위도 목격했다. 당하는 이는 자신이 공격받았다는 사실조차 알지 못한 채 기밀 정보를 빼앗기거나 감시, 도청당했다. 이 학자의 눈에는 지난 2차 세계대전 당시 세계가 동서로 갈라져 냉전을 벌이던 긴장감, 그 이상의 냉기가 감지됐다.
사이버 세상에 대한 독보적인 안목과 앞선 식견으로 국내 정보보호 분야를 이끈 임종인 청와대 안보특별보좌관 얘기다. 수학자이자 암호학자였던 그가 '정보보호'를 외치며 사이버 공격의 위험성을 알리고 경고할 때 '지나친 국수주의자'라느니, '현실성 없는 경고를 한다'느니 하며 냉소를 보내던 대한민국은 '사이버 테러'가 물리적 전쟁 수준의 위협을 현실화하자 그를 안보특보로 청했다. 임 특보는 수학과 암호학을 연구하다 정보보호의 새 길로 첫걸음을 내디딜 때처럼, 안보특보를 받아들이며 교편을 내려놓고 국가를 위해 새 발걸음을 뗐다. 임 특보는 지금이 두려우면서도 설레고 행복하다고 했다. 박근혜 대통령은 지난 1월 20일 고려대학교 정보보호대학원장을 맡고 있던 임종인 교수를 청와대 대통령비서실 소속 안보특별보좌관으로 임명했다. 지난해 12월 한국수력원자력 내부 문건을 빼돌려 온라인에 공개하고, 이를 빌미삼아 원자력 발전소 가동을 멈추라며 국민을 협박한 사건이 있었다. 국민들은 행여 사이버 공격이 원전 가동에 영향을 미쳐 방사능 재앙이 오는 것 아닌가 불안에 떨었다. 결국은 유출범의 '심리전'에 불과한 해프닝으로 끝났지만, 국민들은 사이버 공격이 재산을 갈취하고 사기를 치는 '범죄' 수준을 넘어 정치, 사회적으로 큰 혼선을 초래하고 생명과 안전에 직접적인 위협을 미치는 심각한 테러행위가 될 수 있음을 알게 됐다. 대통령이 안보특보라는 자리에 사이버 정보보호 전문가를 앉힌 것도 이런 국민의 불안을 인지한 때문이다.
임 특보 역시 지금의 특보 자리를 '사이버 특보'라고 규정했다. 본인이 그간 정보보호와 사이버 보안분야에 몸담으면서 쌓았던 경험을 이제 국가 안보를 위해 사용해 달라는 뜻으로 받아들이고 있다는 것이다. 5월 7일 오후, 임 특보가 근무하고 있는 창성동 정부청사별관을 찾았다. 간단한 인사와 소소한 일상의 대화를 나누다가 '사이버'라는 단어를 꺼내자 눈빛이 달라진다.
-사이버 전문가로서 안보특보라는 자리를 맡았다. 그만큼 사이버 안보가 중요 부분이라는 것을 국가가 인지했기 때문으로 보인다.
"대통령의 관심이 정말 높다. 안보특보 뿐만 아니라 사이버안보비서관 직책도 신설했다. 그만큼 국가 안보에 사이버 분야 비중이 높다는 의미다. 사이버 공격을 제대로 방비하지 못한다면 안전, 생명, 재산에 직접적인 타격이 온다. 국가는 이를 지켜야 한다. 직을 신설하고 사람을 들이는 것은 이러한 의지의 표현이다."
-이미 우리 정부는 정치적 목적의 사이버 테러를 수차례 당하지 않았나.
"우리 민족은 과거 역사를 살펴봐도 항상 침략을 당하는 입장이었다. 사이버 분야도 마찬가지다. 과거 2003년 1.25 인터넷 대란부터 시작해 2009년 7.7 디도스 공격, 2011년 금융전산망 마비, 2013년 3.20 및 6.25 사이버 테러, 2014년 한수원 사태 등 모두 일방적으로 우리가 당한 공격들이다. 국민 입장에서는 '왜 우린 맨날 당하기만 하느냐'며 속상해 할 수도 있다. 그래서 더욱 사이버 안보 역량을 키워야 하는 것이다."
-실제로 글로벌 보안업체가 발표한 자료를 보면 전 세계에서 사이버 공격을 가장 많이 받는 나라가 미국, 그다음이 우리나라였다. 협박도 서슴지 않는 최근의 사이버 위협을 보면, 위기감이 높은 것은 사실이다.
"세계적인 사이버 전투 역량을 확보하고 있는 국가를 꼽으라면 미국과 중국, 러시아, 이란(중동), 그리고 북한이다. 특히 사이버 전투 기술을 호전적이고 적극적으로 활용하는 두 국가가 북한과 이란이다. 우리나라는 지리적으로 중국, 러시아, 북한과 인접해 있고 미국과는 상호방위조약을 통해 밀접한 관련을 맺고 있다. 사이버 전투역량을 갖춘 주요국과 지리적, 정치적으로 인접하게 얽혀있으니 공격의 대상이 될 수밖에 없는 것이다. 국가 차원에서, 안보 차원에서 사이버 역량을 강화하고 대응 능력을 키우는 것은 이 때문에 더욱 중요하다. 그들의 공격을 막아내기 위한 단순 이유 때문만이 아니라 스스로 사이버 역량을 갖추고 있어야 '사이버 도발'을 견제할 수 있는 '억제력'을 갖출 수 있기 때문이다.
-스스로 역량을 갖춰야 한다는 말씀이 와 닿는다. 결국 자주 국방의 문제 아닌가. 사이버 분야 역시 자주적인 안보태세를 갖춰야 할 필요성이 있는 것 같다.
"물론이다. 사이버 자주국방을 할 수 있는 실력 업그레이드가 절실하다. 안타깝게도 지난 한수원 사태 때 정부 합동수사단은 해커의 공격 IP가 중국 선양지역이라는 것을 찾아 냈지만 중국 정부의 협조를 얻지 못해 더이상 수사를 하지 못하고 중단했다. 중국 선양에서 무슨 일이 있었는지 원격 수사를 할 수 있는 역량도 없었고, 중국 정부의 협조를 이끌어 낼 만한 사이버 외교력도 부족했다. 그러니 공격의 배후를 북한이라고 '추정'만 할 뿐 증거도 찾지 못하고 더 이상의 후속조치도 취하지 못했다. 우리가 키워야 할 역량이 아직 상당히 많다."
-우리 정부의 사이버 자주 국방력은 100점 만점에 몇 점이라고 평가하나. (임 특보는 이 질문에 확답을 피했다.)
"사이버 안보 위협에 대한 심각성, 그리고 우리의 부족한 역량에 대해 국가도, 대통령도 뼈저리게 인지하고 있다. 그간 정보보호라고 하면 '비용'이나 '보험'이라고 생각하는 인식이 강했다. 국가가 그랬고 기업도 그러했다. 하지만 '안보'라고 하면 투자대비효율(ROI)을 따지지 않는다. 기업은 사용한 돈에 대한 효익을 추구하겠지만, 국가는 그러지 않는다. 이제는 국민의 안전한 삶을 위해 사이버 안보에 최선의 투자를 하려고 한다. 올해를 사이버 안보 확보의 원년으로 삼아 본격적인 투자를 해 나갈 것이다. 특히 스스로 해킹 공격 루트에 대해 수사하고 공격자를 특정하는 수사력, 공격이 발생했을 때 최단시간 내 차단하고 피해를 최소화할 수 있는 대응 및 복원력, 공격을 미리 예측하고 방어할 수 있는 사전 방어 능력을 동시에 키워내는 데 역점을 둘 것이다."
-전세계적으로 발생하는 사이버 공격 양상을 보면, 국제사회의 공조가 반드시 필요할 것으로 보인다. 어떤 노력을 하고 있나.
"사이버 분야에 대해서는 '미묘'하다. 통상 우리나라의 안보에서 가장 강력한 파트너는 미국이다. 한미상호방위조약이 있기 때문이다. 하지만 사이버 분야에서도 그러냐면, 이는 다소 미묘한 부분이 있다. 다만 우리 정부는 미국과의 방위 협력에서 사이버 분야도 확대하기로 하고 미국 국방성과 협약을 체결하는 등 다양한 노력을 하고 있다. 미국은 지난해 소니픽쳐스 해킹 사태 때 자국의 사이버 수사력을 총 동원, 공격 배후를 북한이라고 규정 짓고 북한 인터넷망을 차단했다. 경제 제재를 가하는 방법까지도 고려했다. 미국 입장에서는 북한이 공격했다는 정보를 수집할 수 있는 능력도 있고, 중국을 압박해 북한을 고립시킬 수도 있다. 어찌보면 우리 국민들이 '왜 우리 정부는 그렇게 하지 못하나' 답답해 하시는 부분도 있을지 모르겠다. 하지만 이것이 우리의 현실이다. 열강의 틈바구니에서 대한민국이 사이버 분쟁 지역 최전선에 있다. 그들에게 휘말려서도, 이용당해서도 안된다. 사이버 전쟁이 벌어지는 이 시대에 우리는 열강 국가간 견제와 조력 사이의 미묘한 줄다리기를 해야 한다. 아주 어렵지만 반드시 해야 하는 일이다.
-미국은 유사시 상대를 타격할 수 있는 사이버 역량을 갖고 있다. 소니픽쳐스 사건 때 북한에게 보복한 것이 대표적이다. 우리 정부는 어떤가. 사이버 침략에 대한 반복되는 방어와 대응 말고, 우리도 능동적으로 사이버 공격을 가할 수 있는 역량이 있기는 한가.
"역량은 분명히 있다. 다만 이를 '사이버 공격'이라고 하지는 않는다. 이는 국가간 외교, 군사적으로 매우 민감한 문제라 언급하기가 조심스럽지만, 선제 대응 및 능동적 대응을 해야 할 필요는 분명히 있다. 상대가 우리를 공격할 것인지 미리 살피고 공격 행위 이전에 '방어'하는 것이 능동적 대응, 선제 대응이다. '킬 체인'이라고 아는가. 위성으로 적국을 감시하다가 (무기를 싣고 갈)대형 트럭에 주유가 시작되는 순간, 미사일 공격이 있을 것이라 판단하고 방어 미사일을 설치하거나 한발 앞서 선제 대응(먼저 공격)하기도 한다. 이런 의미에서 사이버 킬 체인도 반드시 필요하다. 적국이 우리 시스템에 침투하려면 그에 앞서 사전 작업이 이뤄지는데 이를 면밀히 감시해 선제 대응하는 것이다. 사전 능동적 대응으로 상대의 사이버 공격을 무력화 시킬 필요가 있다. 특히 원자력 발전소나 지하철 제어 시스템처럼 국가 기반시설을 해킹해 위해를 가하려고 한다면 이는 국민의 생명에 직접적 영향을 미치기 때문에 선제 대응이 필요한 것이다."
-우리 정부는 선제 대응, 능동적 방어를 한 사례가 있는가. 국제 사회엔 또 이런 경우가 있었는가.
"(우리 정부의 선제 대응 사례에 대해선)대답하기 곤란하다. 다만 국제 사회엔 UN 탈린 메뉴얼에 따라 사이버 공격에 대한 자위권을 발동할 수 있는 기준이 있기는 하다. 미국은 북한의 인터넷 망을 마비시켰을 때 이 조항을 적용한 것으로 보인다. 하지만 이 기준에 대한 명확한 국제적 합의는 이뤄져 있지 않다. 이에 대해서는 국제 사회의 논의가 아직도 치열하게 이뤄지고 있다. 북대서양조약기구(NATO) 부설 연구소가 5월말 에스토니아에서 개최하는 '사이콘(CYCON)'이라는 국제 사이버전 학술대회가 열린다. 이 자리에서 사이버 전쟁의 성격을 어떻게 규정하고 또 어떻게 수행할 지 국제적인 논의를 하게 될 것이다. 저 역시 이 학회에 참석한다."
-중국산 통신 장비가 이미 우리 국가통신망에 들어왔다. 이번에 재난망 구축에도 외산 장비가 들어올 가능성 높아지고 있다. 사이버 안보 전문가로서 어떻게 보나
"굉장히 어려운 부분이다. 이런 부분(외산 장비가 국가 기간망에 들어오는 것)은 자주 국방이나 국제적인 사이버 전쟁이라는 측면에서 보면 굉장히 우려스러운 부분이다. 미국은 2012년 '국방수권법'을 제정해 외국 장비가 국가 시설에 도입되는 것을 사실상 원천 봉쇄했다. 중국도 외산 장비를 국가 시설에 들이려면 소스코드를 공개하라는 원칙을 만드는 중이다. 하지만 우리나라는 그렇게 할 수 없다. 미국과 중국에 대한 무역 의존도가 절대적인 상황에서 자칫 통상 이슈로 불거질 수 있기 때문이다.
-그렇다고 이렇게 심각한 우려가 있는데 마냥 보고 있을 수만은 없는 것 아닌가.
"외산 장비가 들어오는 것을 무조건 막을 수는 없다. 때문에 들여온 장비가 어떤 악성행위를 하는지, 백도어나 악성 프로그램이 있는지를 밝혀낼 '수사 역량'이 중요하다. 지금 이런 기술이 우리에게는 없다. 속히 역량을 배양해야 한다."
-사이버 안보가 이처럼 중요하지만 사실 지난 대선 때 사이버사령부의 댓글조작 논란 등 정치 논란에 휘말려 사이버 안보를 논하는 것이 정치권에서는 금기가 돼 버렸다. 사이버 국방을 어느 때보다 강화해야 하는 시점에서 특보의 고민도 깊을 것 같다.
"사이버사가 2010년에 만들어졌는데 정치적인 일에 휘말리면서 제대로 활동하지 못했다. 사실상 2년을 허비했다. 사이버 사령부의 역할과 위치는 너무나 중요한데 이를 재추진하기에도 논란이 심하다. 하지만 이제 사이버 사령부는 (의혹을) 털어낼 부분은 다 털어냈다고 본다. 세계 열강에 대항해 전략적인 사이버 안보를 수행할 수 있는 기관으로 거듭나야 하고 그렇게 되고 있다."
-결국 사이버 세상에서 우방과 적국은 사실상 구분하기 어렵고, 때문에 자주적인 사이버 안보 역량을 확보해야 한다는 얘기인데, 이런 상황에서 외국 기술과 제품에 우리 안보를 맡길 수는 없지 않나.
"아주 중요한 지적이다. 외국의 기술과 제품이 매우 뛰어난 것은 사실이지만, 안보 측면에서라면 얘기가 달라진다. 우리 기술, 우리 역량으로 지켜내야만 자주국방이고 자주적 안보인 것이다. 물론 모든 제품과 기술을 무조건 토종으로 바꿔야 한다는 것은 아니다. 설령 외국 기술을 도입하는 부분이 상당수이더라도, 우리가 이를 견제할 수 있는 역량은 분명히 갖춰야 한다. 무기체계만 보더라도 국산화 할 수 있는 역량이 있어야 외국 무기를 도입할 때 가격 경쟁도 하고 품질도 끌어올리 수 있는 것 아닌가. 사이버 역시 마찬가지다. 전 세계에서 자국 백신 및 보안 소프트웨어를 가지고 있는 국가가 몇이라고 보나. 채 10곳이 되지 않는다. 우리나라는 그 중 하나다. 분명히 기술 역량은 있다. 다만 토양이 열악하고 생태계가 확보되지 않아 토종 보안 산업이 외국의 기술에게 밀리는 양상을 보일 뿐이다. 이 토종 보안 산업을 살려야 사이버 자주국방을 이룩할 수 있다."
-민간 보안 산업이 사이버 자주 국방을 위한 '무기'이자 '첨병'이란 의미인가.
"그렇다. 하지만 익히 아시다시피 우리 토종 보안 산업은 외국 보안 기업에 비해 뒤떨어지는 것이 사실이다. 최근에는 그 기술 격차가 더욱 벌어지고 있다. 구조적인 문제가 있다고 본다."
-지난 해 보안산업인들이 모인 자리에서 국내 보안 산업의 체질 개선에 대해 아주 따끔한 일침을 가하신 것을 기억한다.
"보안업체들이 시장 수요를 창출할만한 매력적인 제품과 서비스를 제시해야 하는데 국내 보안업체들의 주요 제품을 보면 10년 전 제품, 기술과 그다지 큰 차이가 없다. 시장 수요를 끌어들일 경쟁력을 개발하지 못한 채 영세함을 해결해 달라고 정부에 정책지원만 바라고 있는 것이다. 자주적인 사이버 안보를 위해서라도 이들의 성장은 너무나 중요한데 세계 기업과의 격차는 자꾸만 벌어지고 있다."
-구조적인 문제가 있다는 얘긴데, 무엇인가.
"국내 시장이 너무 작다. 법에 의해 강제화 하고 시장 환경을 조성한다 해도 보안 업체들이 스스로 먹고 살기에는 너무 작은 것이 현실이다. 보안 산업이 사이버 안보에 갖는 의미를 생각하면 절대 포기하면 안되는 산업인데도, 시장 자체가 너무 작으니 정부가 섣부르게 손을 대면 오히려 시장이 왜곡되고 업체의 자생력이 무너진다. 자생력을 잃고 영세한 경영을 이어가다 보니 우수한 인재가 떠나가고 연구개발 동력을 잃는다. 결국 외국 업체와의 경쟁에서 도태되고 더 영세한 경영에 직면한다. 악순환인 셈이다."
-어떻게 해야 해결할 수 있나.
"결국 먹고 살려면 외국으로 나가야 한다. 해외 시장 개척이 얼마나 힘든지는 잘 알지만 충분히 틈새시장이 있다. 미국이나 이스라엘, 중국, 러시아 등 우리보다 강력한 나라의 시장을 뚫으라는 의미가 아니다. 오히려 이들 국가는 특정 세력 국가에서는 배척을 받는다. 우리나라의 경우 발달된 ICT 인프라로 세계의 주목을 받고 있는 데다 사이버 위협 상황에서 대응력을 키워왔기 때문에 치우치지 않은 역량 있는 '사이버 중립국'의 이미지를 갖고 있다. 중동이나 남미 등의 국가는 우리의 이런 부분에 상당히 주목하고 있다. 실제로 대통령의 중동, 남미 순방 때 우리 정부에 협조를 요청하는 국가가 많았다. 인터넷진흥원(KISA)을 통해 협력을 맺은 국가도 상당수다. 이런 곳에 우리 토종 보안업체가 진출한다면 새로운 수요 창출을 통한 시장 경쟁력을 확보할 수 있으리라 생각한다."
-국내 보안 생태계가 열악한 경영을 이어가도록 한 데 대한 정책적 '패착'은 없다고 보나
"그 부분도 물론 있다. 정부는 보안 산업의 중요성을 알고 육성하려고 여러모로 노력해 왔지만 결과적으로 시장에 좋지 않은 영향을 미친 부분도 있다. "
-국가가 해결할 수 있는 구조적인 문제는 무엇인가.
"얼마 전 국회 본회의에 정보보호산업진흥법이 상정됐다. 다른 부분 때문에 본회의 통과를 하지는 못했지만, 모든 검토가 끝났기 때문에 다음번 국회에서 무난히 통과하리라 본다. 이 법는 정보보호 제품에 대한 제값 주기, 보안성 지속 대가 신설, 가격 대신 성능 중심 제품 선택, 정보보호 투자 기업에 대한 인센티브 제공 등 보안 산업을 위한 다양한 경제적 지원책이 담겨 있다. 물론 이 법률만으로 보안 산업이 갑자기 활황을 맞으리라는 기대는 하지 않는다. 하지만 최소한의 마중물 역할은 해 줄 수 있지 않나 기대하고 있다."
-안보특보 임기가 3년이다. 앞으로 3년 후 임기를 마칠 때 쯤이면 우리나라의 사이버 안보 역량이 어떻게 변화돼 있을 것이라 예상하나.
"우리나라는 왜 매번 사이버 공격을 당하기만 하나, 이런 답답한 국민의 마음. 언제 사이버 공격이 또 덮쳐올까, 하는 불안한 마음을 다소 안심시켜 줄 수 있는 정도는 될 수 있도록 일 해야겠다는 생각을 한다. 아마 이후에 사이버 안보를 위한 더 훌륭한 인재가 더 많은 일을 해 주지 않겠나.(웃음)"
정리=강은성기자 esther@
사진=김민수기자 ultrartist@
![[DT초대석] "적·우방 없는 사이버전쟁, 자주국방 역량 배양 절실"](http://contents.dt.co.kr/images/201505/2015051402101060800001[2].jpg "[DT초대석] \"적·우방 없는 사이버전쟁, 자주국방 역량 배양 절실\"")
■ 임종인 안보특보는…
◇학력
- 고려대학교 수학과 학사
- 고려대학교 암호학 석사
- 고려대학교 암호학 박사
◇경력
- 2000년~2015년 고려대학교 정보보호대학원장
- 2010년 제15대 한국정보보호학회 회장
- 국가정보원 사이버보안 자문위원
- 대검찰청 사이버수사 자문위원장
- 2011년 대통령 직속 개인정보보호위원 회 위원
- 2012년 고려대학교 정보보호대학원 사이버국방연구센터 센터장
- 2013년 경찰청 디지털수사자문위원회 위원장
- 2015년~ 대통령비서실 안보특별보좌관
◇수상
- 2012년 제1회 정보보호의 날 기념식 홍조근정훈장
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
