김승주 고려대 정보보호대학원 교수
![[디지털산책] 첨단무기 사이버보안 체계 확립해야](http://contents.dt.co.kr/images/201804/2018041102102351607002[1].jpg "[디지털산책] 첨단무기 사이버보안 체계 확립해야")
그런데 이 F35A를 맞이할 준비를 하던 우리 군이 패닉에 빠졌다. 2015년 미군 시험평가 사령부는 첨단 무기 및 군 도입 시스템들을 대상으로 한 '사이버보안 시험·평가 가이드라인(Cybersecurity Test and Evaluation Guidebook)'을 발표했다. 이에 따르면 전투기, 함정, 드론 및 군 위성통신 등 네트워크 기능이 있는 모든 첨단 무기 및 군 도입 장비들은 해당 기능이 해킹의 통로로 악용되지 못하도록 안전하게 설계·제작돼야 하며, 이를 검수 단계에서 평가 받도록 돼있다. 이를 위해 미국은 오래전부터 관련 기술들을 축적해 오고 있었으며, 시험·평가용 테스트 베드 및 전문 인력 양성을 위한 시설(일명, '사이버 레인지(Cyber Range)')도 구축해 운영해 오고 있다.
우리 군이 도입하는 F35A도 예외는 아니다. 다수의 첨단 전자전 능력을 갖고 있는 F35A는 앞서 얘기한 '사이버보안 시험·평가 가이드라인'에 의거해 발생할 수 있는 모든 해킹 공격들에 대해서도 견딜 수 있도록 제작됐다. 이에 이를 도입한 우리 군은 검수단계 및 향후 운용과정에 있어서 이 기능들이 제대로 동작하고 있는지를 지속적으로 점검해야 한다.
문제는 우리 군이 이와 관련한 충분한 인력과 기술을 확보하고 있지 못하다는 점이다.
우선, 군은 그동안 사이버보안 장비의 개발 및 시험·평가에 있어서 대부분을 타 부처에 크게 의존해 왔기에 관련 인력 양성 및 기술 개발에는 다소 소극적이었다.
둘째, 모의 해킹이 사이버보안 시험·평가의 전부라는 생각을 갖고 있었기에 보안 요구사항 분석부터 설계, 구현, 운영 및 유지보수에 이르기까지 전(全) 단계의 일관성 및 추적성을 검사해야 하는 보안성 시험·평가의 중요성을 인식하지 못하고 있었다.
셋째로, 군에 도입되는 무기들은 단순히 보안 관점에서만 평가하면 되는 것이 아니라 신뢰성(trustworthiness) 관점에서 보안성(security), 안전성(safety), 의존성(reliability), 복원력(resilience) 등을 종합적으로 고려해야 한다. 즉, 단순히 해킹만 잘 막는 장비인지를 검사하면 되는 것이 아니라 원인이 어떻든 간에 언제 어디서나 정상적으로 잘 동작할 수 있는지를 종합적으로 평가해야 한다는 것이다. 그러나 그동안 우리는 종합적인 평가 보다는 보안성 또는 의존성 위주의 개별 평가에만 익숙해 왔다.
끝으로 우리가 기존에 해왔던 검수 방식은 체크리스트 기반의 통과(pass)/탈락(fail) 방식으로 일회성이었다. 그러나 군에 도입되는 무기나 장비들은 위험관리프레임워크(Risk Management Framework)를 기반으로 장비의 수명이 다할 때까지 지속적으로 모니터링 돼야만 한다.
이렇듯 우리 군의 첨단 무기에 대한 사이버보안 시험·평가 체계는 외국과 달리 명확하게 마련돼있지 않으며, 관련 연구 또한 부족한 것이 사실이다. 그러나 아직 1년여의 시간이 남아있다. 지금이라도 관련 기술 및 인력 확보에 모든 역량을 집중해야 할 것이다.
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
