[전문가기고] 뚫려도 무너지지 않는 국가, 사이버회복력이 답이다

손기욱 한국사이버안보학회장, 서울과학기술대학교 컴퓨터공학과 교수 금융권의 잇따른 해킹과 고객정보 유출은 국가 사이버안보에 중요한 질문을 던진다. 우리는 공격을 막을 준비만 하고 있는가, 아니면 침해가 발생해도 국민의 일상을 지킬 준비까지 하고 있는가. 크라우드스트라이크의 공개 분석에 따르면, 최근 국내 금융기관을 겨냥한 공격에는 인공지능(AI) 기반 침투시험 도구 아르텍스(ARTEX)와 대규모언어모델(LLM)이 활용됐다. 주목할 것은 AI라는 이름 자체가 아니다. 익숙한 취약점을 찾아 악용하는 과정이 자동화되면서 공격의 속도와 규모가 커지고 있다는 점이다. 방어의 목표도 침입 차단을 넘어 피해 확산 억제와 핵심 기능의 지속으로 넓어져야 한다. 국가 사이버 회복력은 개별 기관의 방어 수준을 넘어선 국가적 능력이다. 학술적으로 '국가가 여러 계층으로 구성되어 있고, 핵심 자산을 동원해 사이버 공간에 가해지는 특정 유형의 손상에 대처하고 결국 정상 상태로 회복하는 능력'으로 정의된다. 침해를 예상하고, 충격을 견디며, 핵심 기능을 유지하거나 신속히 복구하고, 경험을 다음 설계에 반영하는 능력이다. 금융·통신·에너지·의료 등 개별 부문의 대응 역량은 물론, 한 부문의 피해가 다른 부문으로 번지는 것을 막는 국가적 역량까지 포함한다. 여기서 중요한 구분이 있다. 서비스가 계속 운영된다고 해서 회복력이 확보된 것은 아니다. 고객정보가 유출되거나 거래 기록의 정확성을 신뢰할 수 없다면, 화면이 정상적으로 열려도 안전한 서비스라고 할 수 없다. 반대로 피해 확산을 막기 위해 일부 기능을 일시 중단하는 것은 책임 있는 대응일 수 있다. 회복력의 목표는 무조건적인 무정지가 아니라, 국민에게 필요한 기능을 안전하게 유지하고 신뢰할 수 있는 상태로 복구하는 것이다. 한국은 2024년 국가사이버안보전략에서 국가 핵심인프라의 사이버 복원력 강화를 제시했다. 이제 필요한 것은 선언을 실행 기준으로 바꾸는 일이다. 무엇을 반드시 지켜야 하는지, 어느 정도의 중단과 데이터 손실까지 허용할 수 있는지, 누가 복구를 결정하고 책임질 것인지가 구체적이어야 한다. 이를 위해 네 가지 기반을 강화해야 한다. 첫째, 거버넌스다. 보안 평가에는 취약점 조치와 통제 준수뿐 아니라 핵심 서비스의 지속 능력이 포함돼야 한다. '보안 장비가 있는가'에 더해 '침해 시 어떤 기능을 유지할 수 있는가' '목표한 시간 안에 검증된 데이터를 복구할 수 있는가'를 물어...