AI 해킹 시대…"법·규제 대비, 사고대응 프로토콜 시급"

상의 ‘사이버보안 위협과 대응 전략’ 세미나

상반기 사이버 침해건수, 2021년 대비 3.5배↑

국내 기업 80%는 ‘대응 초기·형성’ 수준

대한상공회의소가 15일 세종대로 대한상의회관에서 개최한 ‘최근 사이버보안 위협과 기업의 대응 전략’ 세미나에서 이인환 김·장 법률사무소 변호사가 ‘사이버보안 사고 현황 및 법률 대응 방법론’이라는 주제로 발표를 하고 있다.ⓒ대한상의

기업정보 해킹이 지능화되며 기업형 범죄로 전환되는 추세 속에서 우리 기업들의 대응 수준은 미흡한 것으로 나타났다. 정부와 국회는 매출액의 최대 10% 과징금 카드를 꺼낸 상황이고 금융·유통·관광·제조 등 국내 기업들은 보안체계 강화에 분주한 모양새다.

15일 대한상공회의소가 한국인터넷진흥원 통계를 인용한 자료에 따르면 올해 상반기 침해사고 신고건수는 1034건으로 전년 상반기 대비 15% 증가했고 코로나 이후 2021년부터 지속적으로 상승 추세를 보이고 있다. 2021년 한 해 동안 신고된 640건을 이미 상반기에 넘어선 수치다. 이는 계정 관리에 취약한 IoT 등을 활용한 DDoS 공격(238건), 웹셸(Web Shell) 및 악성 URL 삽입 등 서버해킹(531건) 증가에 기인한 것으로 분석됐다.

사이버 위협이 증가하는 추세 속에 국내 기업들의 보안 수준은 글로벌 평균 수준보다 낮은 상황이었다. 네트워킹 및 사이버보안 솔루션 기업인 시스코(CISCO)가 올해 1월 미국·일본·영국·호주·대만 등 30개국의 기업인 8000명을 대상으로 사이버보안 준비 수준을 조사한 바에 따르면 30개국 평균 보안 수준은 ‘발전·성숙’ 단계 30%, ‘초기·형성’ 단계 70%로 집계됐다. 반면 우리나라는 ‘발전·성숙’ 단계 20%, ‘초기·형성’ 단계 80%로 낮게 나왔다.

특히 ‘초기’ 단계라는 응답이 28%로 30개국 평균의 3배에 달했다. 우리 기업들이 지능화되고 있는 해커들의 먹이감이 될 수 있다는 것이다.

최근 예상치 못한 해킹 사고가 연이어 발생하는 상황에서 대한상의와 김·장 법률사무소는 공동으로 이날 ‘최근 사이버보안 위협과 기업의 대응 전략’ 세미나를 개최했다.

먼저 정부 정책에 발맞춰 선제적 준비가 필요하다는 의견이 제시됐다. 정부는 국가 전반의 정보보호 역량 강화를 위해 공공·금융·통신 등 IT시스템 전수점검과 징벌적 과징금 도입 등을 골자로 하는 범부처 정보보호 종합대책을 발표했으며 2차 종합대책도 준비 중인 상황이다. 이에 맞춰 최근 국회에 대규모 개인정보 유출사고 시 최대 과징금을 기업 매출액의 10%까지 강화하는 개인정보보호법 개정안이 발의된 바 있다.

기업들의 법률적 대응방안도 제시됐다. 사이버보안 사고로 기업의 중요 영업비밀 및 개인정보가 유출되거나, 랜섬웨어 등으로 업무 일체가 마비되는 현상이 발생하고 있다. 이에 대비해 기업들은 정보보안 관련 조치 의무를 부과하는 정보통신망법, 개인정보보호법, 전자금융거래법, 신용정보법 등 각종 법령들을 미리 숙지하고 회사의 사이버보안 현황을 점검해야 한다.

사고 발생시 즉각 대응을 위한 프로토콜 마련도 중요한 과제로 지적됐다. 사이버보안 사고가 실제로 발생하는 경우에는 개인정보보호위원회·한국인터넷진흥원·금융감독원, 금융보안원 등의 유관기관 신고와 조사, 소비자 대책, 국회 질의 등 일련의 사고 대응 프로토콜을 분·시간 단위로 세분화해 구성해 두고 단계별 역할을 명확히 정해둬야 한다는 것이다.

사이버 위협 환경의 변화와 기술적 대응 방안에 대한 전문가 조언도 있었다. 최근 클라우드 서비스와 원격근무 환경 확산으로 공격표면이 확대되고 사이버 범죄 생태계가 분업화되는 등 사이버 위협 환경이 빠르게 변하고 있다.

결국 공격자들이 AI를 활용해 정찰 프로젝트를 수행하면서 대부분의 작업을 자동화하며 공격에 소요되는 인력과 시간이 줄어들었고, AI를 통해 실시간으로 코드를 스스로 수정하는 악성코드가 발견되는 등 새로운 위험 요소들이 주목되고 있다. 이러한 상황에서 기업들은 해킹피해 방지를 위해 자산 가시화와 Off-site 백업 시스템 구비 등 다각도로 대비가 필요하다는 주장이 제기됐다.

상의회관에서 90분간 진행된 이날 세미나에서는 제조업과 금융 및 보험업, 관광업, 유통업 등 다양한 업종에서 IT보안 및 법무대응·기획 업무를 담당하는 실무책임자 100여명이 참석했다.