보안체계가 이 상태라면 AI 3강은 불가능하다

<<우리 보안체계, AI 시대를 버틸 준비가 되어 있는가?>>

올해 대한민국 사이버 보안은 그야말로 ‘참사’의 연속이었다. KT, 롯데카드 등 내로라하는 기업들이 잇따라 뚫리더니, 급기야 지난 주말 쿠팡에서 역대급 사고가 터졌다. 무려 3370만 명, 성인 인구 4명 중 3명의 정보가 유출된 것이다. 그러나 피해 규모보다 더 충격적인 것은 그 과정에서 드러난 우리 사회의 총체적 보안 무능이다.

퇴사자의 계정 토큰은 147일간 방치됐고, 해외에서의 무단 접속은 아무런 제지 없이 이루어졌다. 쿠팡은 최초 신고 10일 뒤에야 피해 규모를 4500건에서 3370만 건으로 정정했고 , ‘유출’이 아닌 ‘노출’이라는 말장난으로 책임을 축소하려 했다. 이것이 ‘IT 강국’이자 ‘AI 3강’을 꿈꾸는 대한민국의 민낯이다.

이번 사태는 단순히 개별 기업의 일탈이 아니다. 한국형 정보보호 체계의 ‘시효 만료’를 알리는 경종이다. 쿠팡은 정부가 인증하는 정보보호 관리체계(ISMS-P)를 취득하고 갱신까지 한 기업이었다. 인증을 받고도 기본적인 퇴사자 권한 관리조차 작동하지 않았다는 사실은, 현재의 제도가 실질적 방어력보다는 문서와 절차를 맞추는 ‘보안 극장(Security Theater)’에 불과함을 여실히 보여준다.

더욱 뼈아픈 문제는 사고가 반복되면서 사회 전체에 보안 피로감이 축적되고, 위험이 ‘일상적 현상’처럼 취급되고 있다는 점이다. 위험의 정상화(Normalization of Risk)는 국가적 재난보다 깊은 상처를 남긴다. 문제의 본질은 그대로인데 관심만 사라지기 때문이다. 보안 사고 둔감증이 만연한 상황에서는 어떤 강력한 대책도 현장에서 작동하지 않는다.

이제 필요한 것은 ‘고시 개정’이나 ‘기준 보완’ 수준의 미봉책이 아니다. AI 시대에 맞게 국가 보안체계를 완전히 다시 설계해야 한다.

첫째, 기존 정보보호 법제를 ‘AI 보안 법체계’로 전면 재편해야 한다. 향후 보안 위협은 단순 개인정보 유출을 넘어 AI 모델 탈취, 학습 데이터 오염, 자율 AI 에이전트 악용 등으로 진화할 것이다. 이미 시행을 앞두고 하위법 정비 논의 중인 ‘AI 기본법’에서 ‘AI 보안’이 핵심적으로 다뤄지지 않은 점은 아쉬운 대목이다. 그렇다면 개인정보보호법·정보통신망법 등으로 파편화된 법률을 융합 보안 관점에서 통합하고, ‘AI 보안법체계’로 전면 개정하는 방안을 적극 모색해야 한다.

둘째, 현행 ISMS-P와 같은 문서 중심 인증체계를 ‘AI-레질리언스(Resilience) 인증체계’로 대전환해야 한다. 체크리스트만 채우는 ‘죽은 인증’이 아니라, 실시간 행위 기반 모니터링 중심으로 패러다임을 바꿔야 한다는 것이다. 평균 탐지 시간(MTTD)과 평균 복구 시간(MTTR) 등 사고 대응 속도와 회복력을 핵심 지표로 삼고, AI 기반 이상행위 분석을 의무화하여 실제 위협을 탐지하고 방어하는 ‘살아있는 인증’으로 거듭나야 한다.

셋째, 대형 플랫폼과 중요 인프라 기업에 대해서는 기본적인 보안 수칙을 법률로 의무화해야 한다. 쿠팡 사태에서 드러난 퇴사자 계정 관리 부실과 무방비한 해외 접속은 치명적이었다. 퇴사자 계정 자동 폐기, 해외 접속 기본 차단, 그리고 ‘아무것도 신뢰하지 않는다’는 제로 트러스트(Zero Trust) 아키텍처 도입을 법적 의무로 강제해야 한다.

넷째, ‘사고를 은폐할 수 없는 공시 체계’를 도입해야 한다. 기업이 피해 규모를 축소하거나 은폐할 수 있는 현 구조에서는 국민의 신뢰를 얻을 수 없다. 사고 발생 시 판단 주체를 기업에서 공적 영역으로 옮겨, 제3의 공적 기관이 실시간으로 위협을 탐지하고 공표하는 투명한 감시 구조를 법제화해야 한다.

AI 시대의 보안은 더 이상 기업의 ‘비용’이 아니라 국가 생존의 필수 인프라다. 올해 한국에서 벌어진 일련의 사건들이 던지는 메시지는 분명하다. 보안체계가 이 상태라면 ‘AI 3강’은 불가능하다는 것이다. 오히려 AI 강국을 향한 국가 전략 자체가 뿌리부터 흔들릴 수 있다.

지금이야말로 정부·국회·기업 모두가 낡은 보안 패러다임을 넘어 AI 시대에 걸맞은 새로운 국가 보안체계를 설계해야 할 때다. 이것이야말로 한국이 데이터 경제와 AI 경쟁에서 진정한 도약을 이루기 위한 최소한의 출발점이다.