김승주 고려대 정보보호대학원 교수는 기업의 자진 개선을 유도하기 위해 6개월가량의 개선 기간을 두고, 취약점을 찾아 신고·개선한 기업에는 제한적인 책임 감면을 검토할 것을 제안했다. 이를 위해서는 관련 법 개정이 필요하다. 개인정보 보호와 정보통신 관련 법령을 아우르는 만큼 대통령실 등 범정부 차원의 조정이 필요하다는 주장이다.
AI 모의 공격서 드러난 보안 사각지대
22일 업계에 따르면 최근 금융권에서 인공지능(AI) 기반 공격 도구인 ‘아르텍스(ARTEX) AI’를 활용한 모의 공격시험을 진행한 결과, 기존 보안 점검으로 파악하지 못했던 취약점이 확인됐다.
김 교수는 새로운 취약점이 대거 발견됐다기보다, 금융권이 운영 중인 시스템 가운데 망 분리 영역 밖에 방치돼 기존 보안 관리 체계가 놓쳤던 취약점을 찾아낸 것이라고 설명했다.
김 교수는 “문제는 전반적으로 자산 파악이 안 되고 있다는 것”이라며 “내가 무엇을 갖고 있는지 알아야 데이터를 지킬 수 있다”고 말했다. 서버와 데이터베이스(DB)뿐 아니라 개인정보 보유 현황, 외부 접속 경로, 계정과 인증키, 외부 개발자와 협력업체의 접근 권한, 사용하지 않는 시스템과 계정까지 파악해야 한다는 것이다.
실제 보안 사고에서도 자산 관리의 허점이 드러났다. 롯데카드 사고에서도 관리 대상 데이터베이스(DB) 한 곳을 파악하지 못한 문제가 제기됐다. 중국 카드와 연동된 DB여서 국내에서 해당 카드를 사용하지 않는다는 이유로 존재 자체를 몰랐다는 것이다. KT 펨토셀(초소형 기지국)사고에서도 관리·인증 체계의 취약점이 드러났다. 보안 장비를 갖추는 것만큼 관리 대상인 IT 자산을 빠짐없이 파악하고 지속적으로 점검하는 일이 중요하다는 의미다.
“6개월간 찾아 고치면 책임 감면”…범정부 조정 필요
기업이 취약점이나 과거 침입 흔적을 발견하고도 적극적으로 신고하기 어려운 구조도 문제다. 전수조사 과정에서 방치된 자산과 침입 흔적이 발견되면 관계 기관에 신고해야 하고, 과거의 관리 부실에 대한 책임 문제도 불거질 수 있다. 현재 담당자가 이전 관리자의 시기에 발생한 문제까지 책임져야 할 수 있다는 우려가 조사와 신고를 위축시킬 수 있다.
김 교수는 기업이 IT 자산을 전수조사하고 취약점과 침입 흔적을 찾아 개선할 수 있도록 6개월가량의 개선 기간을 두는 방안을 제안했다. 이는 현재 시행 중인 제도가 아니라 자진 점검과 개선을 유도하기 위한 정책 제안이다. 개선 기간에는 기업이 자산과 취약점을 파악해 자발적으로 신고하고, 확인된 문제를 실제로 시정했는지 등을 기준으로 제한적인 책임 감면을 검토하자는 취지다. 반면 고의로 취약점을 방치하거나 침입 사실을 은폐한 경우까지 책임을 면제해서는 안 된다는 원칙이 필요하다. 기간이 끝난 뒤에는 정해진 기준에 따라 엄정하게 책임을 물어야 한다.
이를 위해서는 한 부처의 조치만으로는 부족하다고 강조했다. 개인정보 보호법을 비롯해 정보통신망 관련 법령 등 여러 법률을 함께 검토해야 하기 때문이다. 김 교수는 “대통령이 시키든 국가안보실이 시키든 총리가 하든 누군가 조정해줘야 한다”며 “여러 부처와 법률을 넘나드는 문제라 범정부 차원의 조정이 필요하다”고 말했다.
실제로 2020년 솔라윈즈 해킹으로 미국 연방정부의 보안 사각지대가 드러난 뒤, 미 사이버보안·인프라보안국(CISA)은 피해 시스템을 조사하고 연방기관의 IT 자산과 취약점을 파악하는 체계를 강화했다.
집단소송 확대보다 사고 예방 유인부터
이런 가운데 기업의 보안 책임을 둘러싼 부담은 커지고 있다. 지난 9월 11일 시행된 개정 개인정보 보호법은 반복적인 위반이나 고의·중과실에 따른 대규모 개인정보 유출 등 법정 요건에 해당하면 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 했다.
증권 분야에 한정된 집단소송을 금융·통신·유통·IT 플랫폼 등 다른 산업으로 확대하는 법안도 국회 법제사법위원회에 계류돼 있다. 집단소송은 다수 피해자의 권리 구제를 돕는 수단이지만, 소송 확대만으로 해킹사고를 예방하기는 어렵다는 지적이 나온다.
구태언 법무법인 린 변호사는 집단소송이 확대되면 기업이 감당하기 어려운 규모의 배상 위험에 노출될 수 있다고 우려했다. 그는 “조 단위 배상액을 감당할 기업은 국내에서 삼성전자밖에 없을 것”이라며 소송이 기업의 재무 부담과 시장 평가에 미칠 영향을 지적했다.
최경진 가천대 교수(한국인공지능법학회장)은 과거 보안 사고까지 소급해 소송을 제기하는 방안에 대해 “우리 법제에서 전례를 찾기 어렵다”고 말했다. 실제 피해 규모가 명확하지 않은 상황에서 대규모 원고 모집을 통한 소송 남용이 발생할 수 있지만, 현재 논의되는 법안에는 이를 막을 비용 부담 등 견제 장치가 부족하다는 지적이다.
보안 사고를 줄이려면 기업의 책임을 강화하는 동시에 취약점을 찾아 개선하도록 유도해야 한다. 고의적인 방치와 은폐에는 엄정하게 책임을 묻되, 자산 전수조사와 자진 개선을 가로막는 제도적 장벽은 낮출 필요가 있다. 피해자 구제와 사고 예방이 함께 작동하도록 책임 기준과 개선 유인책을 정비하고 범정부 차원의 실행 방안을 마련해야 한다.
