[취재.txt] 사이버보안, 처벌 너머 '생태계'를 봐야 할 때

[아이티데일리] 최근 사이버보안 정책 흐름은 분명한 방향을 가리킨다. 사고가 발생하면 책임을 묻고 제재를 강화하는 것이다. 앞으로 중대 과실로 위반 행위를 반복한 개인정보 유출 기업은 전체 매출액의 최대 10% 수준까지 징벌적 과징금이 부과된다. 해킹 신고를 지연하거나 고의로 미신고한 기업에 대한 과태료도 현재 3,000만 원 이하에서 5,000만 원 이하로 상향된다.

제도 역시 촘촘해지고 있다. 2027년부터는 모든 상장사를 대상으로 정보보호 공시가 의무화된다. 같은 해 7월부터는 중요 개인정보처리자라면 ‘정보보호 및 개인정보보호 관리체계(ISMS-P) 인증’을 반드시 취득해야 한다. 보안 취약점을 직접 점검하거나 시스템 접속을 시연하는 등 인증 절차 또한 강화된다.

잇따른 대형 침해사고에 피해는 확산되고 국민 불안은 커졌다. 기업의 보안 체계가 도마 위에 오른 상황에서 정부가 처벌과 규제를 앞세운 강경 대응에 나선 것은 자연스러운 흐름이다.

여기서 한 번 질문을 던져볼 필요가 있다. 사이버보안의 목적은 ‘처벌’일까. 처벌은 사고 이후에 작동한다. 침해가 발생하고 데이터가 유출돼 피해가 현실이 된 뒤에야 의미를 갖는다. 물론 책임을 명확히 하고 재발을 억제하는 기능은 있다. 하지만 그것만으로 보안이 강화됐다고 말할 수는 없다. 자칫 기업이 ‘지키기 위한 보안’이 아니라 ‘처벌을 피하기 위한 보안’에 머물 위험도 있다. 침해 정황을 찾아도 이를 공개하기보다 숨기려는 유인이 커질 수 있다.

인증도 한계는 분명하다. 일정 수준 이상의 보안 체계를 갖추도록 유도하지만 그 결과가 곧 실질적인 방어력으로 이어질지는 미지수다. 인증 기준 충족에 자원이 집중된다고 해도 이를 뚫는 공격은 언제든 나올 수 있다. 그때마다 인증제 무용론을 부르짖을 수만은 없는 노릇이다.

사이버보안은 동적인 문제다. 공격자는 끊임없이 새로운 기법을 만들어내고 방어자는 이를 따라잡아야 한다. 이런 구도에서는 사후 처벌보다 사전 대응 능력과 역량 축적이 중요하다. AI를 등에 업고 공격 속도를 높이는 해커 앞에서 처벌과 규제만 강화한다면 사고를 반복하는 악순환을 피하기 어렵다.

이런 한계를 넘어서는 해법은 결국 ‘생태계’에 있다. 보안은 특정 기업이나 기관의 노력만으로 완성되지 않는다. 취약점 분석과 모의해킹, 제로 트러스트, 위협 인텔리전스까지 다양한 기술과 주체가 연결될 때 비로소 힘을 얻는다. 이 과정에서 민간 보안 기업과 화이트해커, 연구 기관의 역할은 더욱 커지고 있다.

우리나라 사이버보안은 아직 충분한 성장 기반을 갖추지 못했다. 규제와 인증은 강화되며 문턱을 높이고 있지만 보안 기술 개발이나 전문 인력 양성, 시장 활성화를 위한 지원은 상대적으로 부족하다는 지적이 꾸준하다. ‘지키지 못했을 때의 벌’은 커지고 있지만 ‘잘 지킬 수 있도록 뒷받침하는 구조’는 아직 미흡하다는 의미다.

이제는 한 걸음 더 나아가야 할 시점이다. 어떤 처벌이 보안을 강화하도록 만들 수 있는지 묻는 단계는 지났다. 기업, 나아가 우리 사회가 사이버보안을 일상으로 받아들이게 할 방안을 고민해야 한다.

규제에 그치지 않고 자율성과 책임을 함께 물어야 한다. 인증은 목표가 아니라 출발점이 돼야 하며 취득 이후에도 보안 수준을 높이도록 인센티브 구조를 마련해야 한다. 우리나라 정보보안이 글로벌 경쟁에 뒤처지지 않도록 투자도 확대해야 한다. 이런 토대 위에서 성장한 기업과 인재야말로 갈수록 고도화되는 위협으로부터 우리 사회를 지켜낼 수 있다.

처벌과 규제는 출발점일 수 있어도 목적지가 될 수 없다. 지속 가능한 보안은 산업과 인재, 기술이 함께 자라는 생태계 속에서 완성된다. 지키지 못했을 때 벌하는 나라를 넘어 기업이 스스로 지킬 수 있는 힘을 기르도록 하는 나라로 나아가야 한다.