[보안칼럼]국가 혁신 보안정책, 법규정이 개정돼야 시장이 움직인다

디지털 전환과 재택근무와 사무실 근무가 혼합된 하이브리드 업무 환경의 확산은 기존 보안 체계의 한계를 드러나게 했다. 또 인공지능(AI)과 클라우드 확산에 따른 신기술 기반의 새로운 보안 체계 도입 필요성이 더욱 커짐에 따라, 정부에서는 정보보호의 새로운 패러다임 전환을 이끌 혁신적인 보안 정책을 발표하고 있다.

정부는 올해 1월 획일적인 망분리 정책을 탈피한 국가망보안체계(N²SF) 가이드라인을 발표하면서 신보안체계 시대의 서막을 알렸다. 정부는 강력한 보안 효과를 보인 망분리 정책이 AI·클라우드 등 정보기술(IT) 신기술 도입과 공공 데이터 활용을 제한함에 따라, 관계부처와 산·학·연 전문가로 민·관 태스크포스(TF)를 구성해 새로운 국가망보안체계를 수립했다고 발표했다.

과학기술정보통신부는 2023년 7월 제로 트러스트 보안 모델 확산을 위한 첫걸음으로 '제로트러스트 가이드라인 1.0'을 발표한 데 이어 2024년 12월엔 국내외 최신 기술 동향과 도입 사례 분석, 수요·공급기관의 의견 수렴을 바탕으로 한층 구체화된 '제로 트러스트 가이드라인 2.0'을 공시했다. 이를 통해 국내 기업들이 보안 체계를 전환하고, 선제적인 대응 역량을 갖추도록 지원하고자 했다.

이러한 정부의 혁신적인 보안 정책에 대해 산업계에선 정보보호 시장에서 새로운 모멘텀이 될 것으로 기대하고 있다. 실제로 올해 2월에 개최된 'N²SF 전망과 대응 콘퍼런스'에는 공공기관과 보안 업계 관계자들의 높은 관심이 집중돼, 현장 좌석이 부족할 정도로 많은 이들이 몰렸다. 이는 차세대 보안 체계에 대한 산업계의 궁금증과 기대감을 여실히 보여주는 장면이었다.

그러나 정부의 정책 발표만으론 실제 보안 시장에서 새로운 수요를 유발하기에는 한계가 있기 때문에, 관련 규정의 개정이 수반돼야 한다. 국가·공공기관은 국가정보보안기본지침 제40조에 의거해 내부망과 인터넷망을 물리적으로 분리해 운영해야 하며, 이와 관련된 '사이버보안 실태 평가'의 결과는 공공기관의 경영평가에도 영향을 미치고 있기 때문에, 법규정의 개정 없이는 새로운 보안 시스템으로의 변경을 시도하기 어려운 상황이다.

또 과기정통부의 정보통신기반보호법에 의거해 지정된 주요정보통신기반시설의 경우, 정부로부터 망분리(접근통제) 항목에 대한 취약점 평가를 받고 있다. 따라서 정부가 혁신적인 보안 정책을 내놓더라도, 기존의 보안 평가 규정이 개정되지 않고 그대로 유지된다면 공공기관 입장에선 새로운 보안 체계로의 전환이나 신기술 기반의 보안 솔루션 도입이 현실적으로 쉽지 않다.

미국의 사례는 시사하는 바가 크다. 2021년 5월 미국 정부는 행정명령(EO-14028)을 통해 연방 정부 차원의 사이버보안 현대화 방향을 제로 트러스트 아키텍처 도입으로 명문화했다. 이어 2022년엔 '국가안보회람(NSM)-09' 및 '예산실(OMB) 회람M-22-09'를 통해 각 정부 부처와 국가안보기관에 제로 트러스트 기반 보안 목표와 추진계획, 예산 수립을 의무화했다. 이처럼 법적 근거와 제도화를 통해 정책이 실제 시장 수요 창출로 이어지는 선순환 구조를 마련한 것이다.

국내에서도 정부의 보안 정책이 실질적인 시장 수요 창출로 이어지기 위해서는 법령과 제도적인 규정의 개정, 공공기관 평가 기준의 현실화가 병행돼야 한다. 제도적으로 명시된 보안 기준이 신기술 도입을 가능하도록 개정될 때, 혁신 정책은 비로소 산업계의 실제 수요를 견인할 수 있는 강력한 동력이 될 것이다.

현재 국내 정보보호 산업은 글로벌 시장과의 경쟁 속에서 신기술 투자 부족으로 성장 정체를 겪고 있다. 한국정보보호산업협회(KISIA)가 발표한 2024년도 정보보호산업실태조사에 따르면, 전년 대비 매출 증가율은 4%에 머물렀다. 새로운 보안 시장을 창출하기 위해선 정부와 산업계의 공동 노력이 필수적이다. 혁신 보안 기술이 정부 정책과 국가·공공기관의 보안 평가 기준에 제도적으로 반영되고, 그것이 공공의 투자로 이어질 때 비로소 국가·공공기관의 사이버 보안이 강화되고, 국내 정보보호 산업의 지속적인 성장을 기대할 수 있을 것이다.

정은수 청주대 디지털보안학과 교수 eunsujeong@cju.ac.kr