AI 핵심 요약
beta- 사이버공격이 28일 공급망 중심으로 진화해 국가·기업에 연쇄 피해를 줬다
- 현재 NCS 중심 인재양성은 공급망·AI·클라우드 등 최신 위협 대응역량을 뒷받침하지 못한다
- NCS·자격·대학·경력관리 통합한 국가 사이버보안 전문직 제도 구축이 시급하다
!AI가 자동 생성한 요약으로 정확하지 않을 수 있어요.
최근 사이버공격은 과거처럼 개별 기관을 직접 공격하는 방식에서 벗어나 소프트웨어 공급망을 공격하는 형태로 빠르게 진화하고 있다.
대표적인 사례가 2020년 미국의 SolarWinds 사건이다. 공격자는 미국 정부를 직접 해킹한 것이 아니라 네트워크 관리 프로그램인 SolarWinds Orion의 업데이트 서버를 침해하여 악성코드를 삽입하였고, 이를 정상 업데이트로 믿고 설치한 미국 재무부, 국토안보부, 상무부, 국방 관련 기관과 글로벌 기업들이 연쇄적으로 피해를 입었다.
이후 2021년 Kaseya 공급망 공격, 2023년 MOVEit 파일전송 솔루션 공격, 3CX 소프트웨어 공급망 공격 등도 모두 동일한 방식으로 이루어졌다.
문제는 이러한 공급망 공격은 기존의 방화벽 운영이나 침입탐지시스템 관리 정도의 능력만으로는 대응하기 어렵다는 점이다.
소프트웨어 개발 생명주기, 코드서명, SBOM, 위협헌팅, 위협정보, 클라우드 보안, DevSecOps, 오픈소스 컴포넌트 분석 등 복합적인 실무역량을 동시에 갖추어야 한다. 즉, 공급망 보안은 특정 기술 하나만 아는 전문가가 아니라 개발과 운영, 보안이 통합된 실전형 전문가를 요구하는 새로운 영역이다.
그러나 현재 우리나라의 사이버보안 인재양성 체계는 이러한 변화 속도를 충분히 따라가지 못하고 있다. 많은 기관이 국가직무능력표준(NCS)을 기준으로 채용을 실시하고 있지만, 실제 채용 이후에는 공급망 공격 대응 경험이 부족하여 새로운 유형의 공격에 효과적으로 대응하지 못하는 사례가 반복되고 있다. 이는 NCS 자체의 문제가 아니라, NCS와 대학 교육, 국가자격, 산업현장 실습이 서로 분절되어 운영되는 구조적 한계에서 비롯된다.
채용은 NCS 기준으로 이루어지지만 교육은 대학마다 다르고, 자격증은 별도의 시험을 준비해야 하며, 실무 경험은 입사 후 다시 쌓아야 하는 구조에서는 최신 공급망 공격에 대응할 수 있는 전문성을 확보하기 어렵다.
예를 들어 한 공공기관이 NCS 기반 채용을 통해 정보보호 인력을 선발하였다고 가정해 보자. 해당 인력은 네트워크 보안과 정보보호 일반에 관한 지식은 갖추고 있지만, SBOM 분석 경험이나 오픈소스 라이브러리 취약점 관리, CI/CD 환경에서의 보안 검증, 코드서명 검증, 공급망 위협헌팅 등의 실전 경험은 거의 없다.
이 상태에서 기관이 사용하는 외부 소프트웨어 업데이트 서버가 침해되어 악성코드가 유입된다면, 해당 인력은 이를 정상 업데이트와 구별하지 못하거나 이상징후를 조기에 탐지하지 못할 가능성이 높다. 결국 사고는 발생한 이후에야 뒤늦게 대응하게 되고, 이미 내부망 전체가 침해된 후에야 원인을 분석하는 상황이 반복될 수 있다. 이는 개인의 역량 부족이라기보다 교육체계가 실제 현장의 위협을 반영하지 못한 결과라고 보아야 한다.
따라서 앞으로의 사이버보안 교육은 단순히 NCS 능력단위를 암기하거나 자격증 취득을 목표로 하는 방식에서 벗어나야 한다. NCS, 국가자격, 대학 교육과정, 산업체 실습을 하나의 국가 표준체계로 통합하고, 공급망 보안과 AI 보안, 클라우드 보안, 디지털 포렌식 등 최신 위협을 중심으로 실전형 교육을 실시하는 체계로 전환되어야 한다.
또한 변호사나 공인회계사와 같이 국가 공인 사이버보안 전문자격을 등록하고, 보수교육과 실무경력, 프로젝트 수행실적을 지속적으로 관리하는 전문직 제도를 도입할 필요가 있다.
사이버공격은 교과서를 보고 대응할 시간을 주지 않는다. 공급망 공격은 업데이트 한 번으로 국가기관과 기업 전체를 동시에 마비시킬 수 있으며, AI는 이러한 공격을 더욱 자동화하고 정교하게 만들고 있다.
이제 사이버보안 인재는 시험을 잘 보는 사람이 아니라 실제 공격을 탐지하고 대응하며 복구할 수 있는 실전형 전문가여야 한다. 대한민국이 세계적인 사이버 강국으로 도약하기 위해서는 NCS, 자격제도, 대학 교육, 경력관리를 하나의 국가 시스템으로 통합한 한국형 사이버보안 전문직 제도를 구축하는 것이 더 이상 미룰 수 없는 과제가 되고 있다.
*박정인 교수(법학박사)는 대통령 국가지식재산위원회 본위원회 위원, 문체부 저작권보호심의위원회 심의위원, 문체부 여론집중도조사위원회 상임위원, 인터넷주소분과위원회, 웹콘텐츠 활성화위원회 자문위원, 강동구 공직자윤리위원회 심의위원, 경찰청 사이버범죄 강사 등 여러 국가 위원을 역임했다. 공공기관 대상 법령입안강의를 하며, 대학에서 특허법, 저작권법, 산업보안법, 과학기술법, 정보보안법, 디지털증거법, ICT트러스트공학, 일반 산업안전, 중대재해법 등을 강의한다. 한국인터넷진흥원, 한국콘텐츠진흥원, 인텔리콘 메타연구소, 해인예술법연구소, 숙명여대 초빙교수, 단국대 연구교수 등을 역임했다.
