사이버보안 인력·예산, 정보화 인력 10%·예산 15% 이상 운영
국가 사이버보안 지침 개정···이르면 내달 초부터 단계적 시행
[데이터넷] 국가·공공기관의 사이버보안 인력과 예산이 크게 늘어난다.
국가정보원은 국가·공공기관의 보안 인력은 정보화 업무 담당인력 대비 10%, 정보화 예산 대비 15% 이상 운영토록 하는 것을 국가 사이버보안 기본지침에 담는다고 밝혔다.
‘제32회 정보통신망 정보보호 컨퍼런스(NetSec-KR)’ 2일차에 진행된 국가안보체계 세션에서 국정원 관계자는 “사이버보안 기본지침을 마련, 각급 기관의 의견을 수렴 및 검토하는 단계로, 빠르면 5월초부터 단계적으로 시행될 것”이라며 구체적인 개정 내용을 설명했다.
보안관제 체계에 EDR 연동···CDS·온북 등 신규 보안 기술 용어 반영
개정 지침에서는 기존 ‘정보보안’이라는 용어를 ‘사이버보안’으로 변경했으며, 사이버보안 담당관의 원활한 직무 수행을 지원하기 위해 인력과 예산 확보 비중을 명확하게 제시했다. 침해사고가 다수 발생한 원격근무자·정보시스템 관리자에 대한 MFA를 강화·의무화했으며, 통합인증체계(SSO) 기준을 신설해 보안성과 편의성을 높였다.
정부 웹사이트 이용 시 강제로 설치하는 소프트웨어를 최소화하거나 제거하도록 했으며, 보안관제 지능화를 위해 EDR 등 단말 보안 소프트웨어 연동을 명시했다.
국가 망 보안체계(N2SF)·AI·클라우드 등 첨단 기술 적용을 위한 정책도 구체화했다. CDS·온북 등 새로운 보안 기술 용어를 반영했으며, N2S로 인해 변경되는 제어 시스템, 무선랜, IoT, 원격근무, 유지보수 등 N2SF 적용에 따라 반영되는 부분을 마련했다. 기존에 발간된 N2SF·클라우드·AI 보안 가이드라인 등을 기반으로 설계해 실무에서는 기존 발간된 가이드라인을 참고하면 된다.
취약점 공개 정책 마련 위한 시범사업 진행
제로데이 취약점과 공급망 공격으로 인한 피해가 늘어나면서 취약점 공개 정책(VDP)도 마련한다. VDP는 협력적 취약점 공개(CVD) 프로그램을 정책화 한 것으로, 보안 연구자가 준수해야 하는 사항과 탐지한 취약점에 대한 신고 및 처리 방법, 법적 책임과 보호, 발견된 취약점이 조치 방안 등을 안내하는 정식 규정이다.
미국, 유럽 등에서 정책화되어 있으며, 우리나라에서는 AI 전략위원회가 2월 25일 로드맵을 의결하면서 공식 시작됐다. 공공기관은 국가정보원, 민간기업은 과학기술정보통신부가 주도하며, 올해 시범사업을 실시하고, 내년까지는 가이드라인 바련, 관련 지침 개정 등을 시행한다.
시범업은 국민 생활과 밀접한 복지, 경제, 의료, 에너지, 교통, 안전 등의 분야에서 시행한다. 발견된 취약점이 특정 기과에서만 사용하는 것이면 대중 공개 않고 조치하도록 하지만, 오픈소스 등 많은 기업·기관에서 사용하는 것이면 보안 권고문을 통해 공개한다.
AI 전략의 핵심은 ‘문화’
윤도웅 팔란티어코리아 국방사업개발실장은 “AI 혁신의 핵심은 ‘문화’이다. 기술은 이상을 실현할 역량을 제공하지만, 실제로 목표를 달성하는 것은 문화이다”라고 강조했다.
한편 이 날 키노트 세션을 진행한 윤도웅 팔란티어코리아 국방사업개발실장은 “가장 중요한 것은 ‘문화’이다. 기술은 이상을 실현할 역량을 제공하지만, 실제로 목표를 달성하는 것은 문화이다”라고 강조했다.
그는 팔란티어의 문화인 ‘투명성’에대해 설명하며 “팔란티어는 실패와 실수에 대해서는 관용과 은폐에 대한 무관용 원칙을 강조한다. 즉시 보고되고 대응한 실수는 기술 발전의 동력이 되지만, 조직이 감추고 은폐하는 실수는 실존적 위험이 되기 때문”이라고 설명했다.
이어 윤 실장은 “또한 보안에 대해서는 집단적 책임을 가지며, 엔지니어, 분석가, 운영자, 경영진 등 전체 구성원이 책임진다. 느리고 불편해도 모두가보안에 대한 책임을 져야 한다는 원칙을 지킨다”고 덧붙였다.
Tag
댓글
0