[Gov & Now] "19세 이상 국민 누구나 화이트해커"…보안취약점 상시 신고제 첫 도입

배경훈 국가인공지능전략위원회 부위원장이 28일 오전 서울 중구 서울스퀘어 국가인공지능전략위원회에서 국내 첫 '보안취약점 상시 신고조치제' 시범사업 추진 관련 세리머니를 하고 있다. (왼쪽부터) 류제명 과학기술정보통신부 제2차관, 배경훈 국가인공지능전략위원회 부위원장, 김창섭 국가정보원 제3차장. [출처=과학기술정보통신부]

19세 이상 국민이라면 누구나 화이트해커로 참여해 실제 운영 망의 보안 취약점을 탐색·신고하고, 해당 기관이 조치 후 결과를 투명하게 공개하는 제도가 운영된다.

국가인공지능전략위원회와 과학기술정보통신부, 국가정보원, 한국인터넷진흥원(KISA)은 ‘보안 취약점 신고·조치·공개(CVD/VDP) 제도’ 시범 사업을 추진한다고 28일 밝혔다.

이번 제도는 화이트해커가 기업·기관의 취약점을 합법적으로 탐색하는 ‘VDP(취약점 공개 정책)’와 신고된 취약점을 조치한 후 투명하게 공개하는 ‘CVD(조정된 취약점 공개)’를 결합한 상시 보안 점검 체계다. 기존의 모의해킹이나 분기별 신고 포상제가 가상 망이나 특정 제품을 대상으로 한 일회성 이벤트에 그쳤던 것과 달리, 실제 운영 망을 대상으로 365일 연중 상시 운영된다는 점이 특징이다.

미국과 유럽연합(EU) 등에서는 이미 공공기관을 중심으로 널리 시행 중이나 국내 도입은 이번이 처음이다. 정부는 지난해 발생한 연쇄 대형 보안 사고를 계기로 선제적 대응 체계의 필요성을 인식하고 도입을 준비해 왔다. 특히 ‘미토스 사태’ 등 AI 기반의 해킹 위협이 현실화되면서 이번 시범 사업에서는 화이트해커의 AI 활용 해킹 탐색도 허용하기로 했다.

이번 시범 사업에는 민간과 공공을 아울러 총 15개 기관이 자발적으로 참여한다. 민간 기업으로는 LG유플러스, 넥슨, 토스페이먼츠, 삼성생명 등 7개사가 동참하며, 공공기관은 행정안전부, 건강보험심사평가원 등 8곳이 참여한다.

일정은 이달 29일부터 6월 12일까지 참가 신청을 접수한 뒤, 교육과 승인 절차를 거쳐 6월부터 11월까지 약 5개월간 본격적인 취약점 탐색·신고·조치 활동을 진행한다. 연말에는 전체 결과가 공개되며, 우수 취약점을 발굴한 화이트해커에게는 총 16점의 상장과 2천만 원 규모의 상금이 수여될 예정이다.

정부는 이번 시범 사업 결과를 바탕으로 오는 2027년부터 미국·EU 수준으로 제도를 본격 법제화·제도화할 방침이다.

배경훈 부총리 겸 과기정통부 장관은 “AI 시대 보안은 국가 경제와 안보를 지탱하는 핵심 기반”이라며 “AI 기반의 상시 위협에 대응하기 위해서는 실전적이고 선제적인 보안 체계 도입이 불가피하다”고 강조했다. 국정원 역시 “화이트해커의 전문성을 통해 국가·공공기관의 잠재적 취약점을 사전에 발굴하고 개선할 수 있기를 기대한다”며 조기 정착을 위해 만전을 기하겠다고 밝혔다.