“해킹기업 3%도 신고 안해…처벌만능론으론 AI시대 해킹 못막아”

“현재도 보안사고를 당한 기업 중 3%만이 신고한다는 분석이 있습니다. 인공지능(AI) 해킹 시대에 자동화된 해킹이 전방위적으로 이뤄지는데 결과책임주의, 일벌백계 식으로만 기업을 제재해서는 기업들이 사고를 숨기고 대응체계 마련은 더 힘들어질 수 있습니다”

법무법인 세종의 강신욱 대표변호사(사법연수원 33기, ICT그룹장)와 윤호상 변호사(변호사시험 5회)는 매일경제와의 인터뷰에서 이같이 밝혔다. 법무법인 세종은 일찍이 2016년부터 정보통신(IT) 분야 태스크포스(TF) 팀을 만들어 IT보안 분야인력에 투자해 온 로펌으로, 지난해 세종의 두자릿수 매출 증가를 견인한 대표적인 팀이기도 하다. 그는 클로드 미토스 쇼크로 대변되는 AI 해킹 시대에 국가별 보안체계 경쟁이 이뤄지게 될 수밖에 없고, 가이드라인과 세이프하버(면책) 조항을 구체화해 기업과 정부의 공조체계를 구축하는 것이 중요하다고 강조했다. 다음은 일문일답.

누구나 해킹 시도할 수 있는 AI 시대

-앤트로픽의 차세대 AI 모델 ‘미토스(Mythos, 클로드 미토스)’가 너무 강력한 자동 해킹·취약점 분석 능력 때문에 전 세계 보안 업계와 정부가 비상 대응에 들어간 상황이다. 법률시장에 주는 시사점은 무엇인가? 기업과 정부는 어떻게 대응해야 하나?

강신욱 “ AI 기술 도입 이후 예견됐던 사태인데, 미토스라는 AI 툴이 나오면서 한층 더 직접적인 현실로 맞닥드리게 된 것으로 보인다. AI 기술로 여러 분야에서 변화가 있었지만 사이버 안보 분야에서는 가히 혁신적인 영향이 있었다. 과거에는 국가 차원에서 양성한 해커들이 활동했다면, AI 툴이 생기면서 명령어만 제대로 입력할 수 있으면 누구나 손쉽게 해킹을 시도할 수 있는 시대가 됐다. AI툴에 명령을 내려놓으면 툴이 24시간 쉬지 않고 취약점을 찾아낼때까지 해킹을 시도한다.

이런 측면에서 사이버보안에 대해서는 더 이상 기업에만 맡겨서는 안되고, 국가 차원에서 기업과 함께 준비를 해야한다고 생각했다. 반면 지난해에 큰 해킹 사건을 몇 번 겪으면서, 한국 법 제도는 일벌백계식으로만 강화되다보니 약간 아쉬운 쪽으로 간 거 같다. 기업 입장에서는 점점 AI 때문에 해킹을 막기 어려워진 상태에서 기형적인 제도가 된 셈이다. 이번 미토스 사태로 기존 제도 흐름에 대해서도 점검할 수 있는 계기가 됐으면 좋겠다.

실효성 없는 세이프하버 조항... 무과실책임보다 명확한 가이드라인 우선돼야

-어떤 방향이 바람직하다고 보나?

강신욱 “기업이 할 수 있는 것과 없는 부분, 어쩔 수 없는 부분을 나눠서 봐야 한다. 할 수 있는 부분은 제도를 강화해 꼭 하게 만들되, 기업이 어쩔수 없는 부분에 대해서까지 결과 책임으로 가는건 지나친 측면이 있다. 해킹 사고가 나기 전까지 어떤 보안 노력들을 했냐를 같이 평가해줘야 하는데, 사고가 나면 샅샅이 먼지털이 식으로 조사하면서 하나라도 잘못된 점이 있으면 책임을 묻는 식으로 되는 경우가 많다. 기업 입장에서 대비를 한다고 했음에도 불가항력적으로 발생한 사고에 대해서는 과감하게 면책을 해주는 세이프하버 조항이 실효성 있게 운영돼야 한다고 본다.

이번에 미토스 사태로, 과학기술정보통신부, AI국가전략위원회에서도 중요 의제로 다뤄지고 기업과 함께 준비를 잘 하면 좋을 것 같다. 과기정통부에 사이버보안 컨트롤 타워를 강화할 수 있도록 법률적 예산적 뒷받침이 이뤄지는 계기가 됐으면 한다. AI 해킹 시대에 대응하기 위해서는 한 기업에만 맡기는게 아니라, 정부의 정책, 국회 법률, 예산이 다 뒷받침돼서 이를 바탕으로 한 기업 투자 등이 이뤄져야 한다.

윤호상 “결과책임 식으로만 제도가 운영되면, 기업 입장에서도 투자할 때 실질적인 것보다 어떻게 다른 사람한테 책임을 지울 수 있을지를 찾는 면피성 대응을 위한 쪽으로 흘러갈 수 있다. 세이프하버(면책) 조항이 지금도 법에 있긴 하지만 개인정보보호위원회에서 적용하는 것을 보면 개인정보 유출, 침해 사고가 발생했을 때 해당 조항을 활용해 면책을 해 준적은 한번도 없다. 기업들은 사실상 무과실책임 제도로 받아들이는 중이다.

반대로 과정을 보고, 기업이 따라야 할 가이드라인을 명확하게 해주면 법이나 정책이 기업이 나아갈 방향을 제시해주는 셈이 된다. 성능 좋은 서비스를 보유한 국내 보안업체들을 키우는 측면에서도 긍정적일 수 있다. 무조건 면피를 위해서 해외 보안제품을 써야만 할 이유가 사라지기 때문이다”

-국회에서는 소급적용이 가능한 집단소송제 도입 논의가 이뤄지고 있다.

강신욱 “소급효라는 건 법체계나 헌법체계 자체를 흔드는 것이 될 수 있다. 현행법을 다 준수해도 미래에 어떤 법이 생기면 리스크가 될 수 있다는 메시지를 주는 것이기 때문이다. 개인정보나, 보안사고에 있어서만 부작용이 아니라 전체 법체계를 흔드는 일이 될 수 있다.

최근 우려스러운건 무과실책임으로 가겠다는 논의다. 기업에 과실이 없어도 개인정보가 유출되면 기업이 책임을 지게 하겠다는 것이다. 결과책임으로 가는 것과 비슷하다.

기존에는 피해자가 손해봤다는 것을 계산해서 비례해서 기업이 책임을 졌다. 기업의 책임을 명확하게 해두고, 제대로 제도가 갖춰지지 않았으면 과실의 책임을 물어야 한다. 할 일을 다했는데, 결과적으로 개인정보가 유출됐다고 제재하면 잘못된 시그널로 갈 수 있다”

윤호상 “기업들 입장에서, 새로운 침해유형이 나오면 빨리 밝히고 신고하고 정부와 협력해서 막고 다시 재발되지 않도록 해야한다. 반면 무과실책임, 결과책임, CEO 책임으로만 하면 신고를 할 때 주저하는 기업이 많이 나올 수 있다. 대기업은 가능할 수도 있지만, 무과실책임 처벌로 기업이 망할 수 있는 중소 중견업체는 과연 신고를 할지 의문도 든다. 보안업계에서는 침해사고를 당한 기업 중 한국인터넷진흥원(KISA) 등에 공식적으로 신고하는 비율이 3%도 안된다고 본다. 침해 있었는지 모르는 기업도 있고, 알아도 뒤에 이어질 거 때문에 신고 망설이는 기업이 많아서다. 양성화돼서 정부, 국가 차원에서 방어체계 갖추기보다, 한 기업에서 못 막고 다른 기업도 못 막고 식으로 악순환이 되면 안된다.

-지난해 법무법인 세종이 고속성장한 배경에 세종 ICT그룹의 활약이 있었다고 들었다. 성과를 알려달라. 고객들이 세종을 선택한 이유는 무엇이었다고 생각하는가

강신욱 “세종에 인재가 많다. 법률적 현안에 얽매이지 않고, 향후 AI, 사이버보안 등 분야에서 산업적 문제점이 일어날 것들을 미리 예상하고, 이 분야 최고 전문가들을 모셔놓았다. 실제 사고 발생했을 때 바로 고객들에게 조언할 수 있는 체계를 갖추고 있다는 점이 성장 비결 같다.

50여명이 ICT그룹에 소속돼 있다. 통신, 플랫폼, 방송 등 각 분야 최고전문가들이 모여 있다. 저희는 처음부터 경쟁자가 로펌 뿐 아니라 컨설팅 펌이라고 생각하고 있었다. 기존에 있던 사후적 법률 이슈 해석 뿐 아니라, 컴플라이언스 부분과 컨설팅 해주는 쪽으로도 2016년 태스크포스(TF) 팀 만든 이후 10년간 쌓아온 노하우를 갖추고 있다. 작년은 큰 사건들의 법률 이슈들이 많은 상황에서 저희가 준비가 됐기 때문에 고객 입장에서도 저희를 찾았고, 지난해 성장 비결이 됐다.

-지난해 한화손해보험과 파트너십을 맺어 사이버보험을 보급하는 일에도 앞장섰다고 들었다. 실제 시장 반응은 어땠나?

윤호상 “미국에서 사이버보험이 활성화돼 있는데, 저희도 그런 것들을 선도적으로 해보려고 했다. 개인정보 손해보험에서 사이버보험으로 확장되면서 몇십개 기업이 가입했다. 보험이라고 하면, 사고가 났을때 배상해줄 수 있는 책임 자체를 미리 헤징하는 정도로 생각할 것이다. 저희는 그 이상으로, 사전적인 건강검진도 같이 해주는 방식으로 양자협약(MOU)을 맺고 추진했다.

AI 기본법 시행 맞춰 컴플라이언스 강화... 취약점 신고제도(VDP) 등 민관협력 모델 주목

ㅇ지난3월에는 대표변호사로 선임됐다. 올해 ICT그룹의 목표나 새롭게 추진하고자 하는 계획이 있다면 알려달라.

강신욱 “대표라는 타이틀이 명예보다는 책임감으로 다가오고 더 일을 많이 하라는 취지로 이해하고 있다. 올해 추진하는 방향은 3가지다. AI 부분에 있어서, 한국이 선도적으로 통과시킨 인공지능 기본법이 지난 1월 공포됐다. 이제 시행이 됐기 때문에 기업들이 서비스를 개발할 때 컴플라이언스 단계부터 컨설팅까지 로펌이 해야될 일이 많아졌다. 저희는 AI센터를 업계에서 처음으로 만들었고, 지난해 과기정통부 차관을 역임한 강도현 고문, 개인정보보호위원회 초대 위원장인 윤종인 고문, KISA에서 활약한 최광희 고문 등이 모여 강력한 맨파워를 갖췄다. AI기업이 법 어떻게 적용될지 막막할때, 서비스 설계단계에서부터 컴플라이언스 컨설팅을 제공할 수 있다고 본다. 대기업, 스타트업 등 AI 서비스 개발하는 LLM업체도 있지만, AI는 전 영역에 있어서 모든 서비스에 적용되니까 사실상 전산업 기업이 고객이 될 수 있다.

둘쨰는 계속 잘해오고 있는 사이버보안 침해사고 관련 대응이다. 사고가 나기 전 사전 컨설팅도 강화하려고 한다. 셋째는 외국변호사(FLC) 영입이다. 글로벌 기업들이 한국에서 서비스하는 과정에서 발생하는 이슈에 대응하고 글로벌 기업들과 협력하기 위해 외국변호사들을 많이 영입해 팀을 갖추려고 하고 있다. 해외 기업의 한국 사건 뿐 아니라, 한국 기업들이 해외 당국과 이슈가 발생하는 경우에도 활약할 수 있을 것으로 보인다.

ㅇ마지막으로 하고싶은 말이 있다면.

윤호상 “AI기술 발전으로 교과서에서만 보던 취약점이 발견된지 0일날 공격이 들어오는 제로데이 개념이 현실화되고 있다. 기업이 사고를 당하고 나서 얼마나 빨리 회복하고 복구하느냐도 과제다.

최근에 디테일하게 논의되는 제도가 ‘보안 취약점 신고·조치·공개 제도’(CVD/VDP)다. 취약점을 신고하는 제도 창구를 만들어서 화이트해커 같은 사람들이 발견하면 신고하고 포상하고 하는 제도다. 정부가 올해 시범사업을 하고 법제화를 하겠다고 발표한 바 있다. 민관협력이 가능한 구조다. 미국, 유럽은 법제화된 사례가 있다.

한화손해보험에서 취약점 신고제도를 지난 1~3월 오픈해서 보안 취약점을 신고해라, 포상하겠다는 제도를 보험업계에서 처음으로 시도했다. 이 세상에 능력이 뛰어난 젊은 사람이 많아서 깜짝 놀랐다고 하더라. 상상도 못했던 취약점 발생하고, 젊은 인재들이 툴을 잘 개발하는 시대다. 사회가 함께 논의해가면서 해결해가야 할 사례라고 본다. 기업이 개인정보 침해 사고를 당했다고 공격만 하는건 지금 시대에는 맞지 않다고 생각한다.

이 기사가 마음에 들었다면, 좋아요를 눌러주세요.