2025년이 경고였다면 2026년은 설계의 해다

2025년을 되돌아보면, 한국 사회는 디지털 기반 위에서 우리가 얼마나 불안정하게 서 있는지를 뼈아프게 목격했다. 지난 10여 년간 우리는 ‘혁신’과 ‘효율’을 외치며 세계에서 가장 빠른 속도로 디지털 사회로 진입했지만, 올 한 해 연이어 터진 사고들은 우리 사회 전체가 사실상 ‘단일하고 거대한 위험 표면(Attack Surface)’ 위에 놓여 있음을 증명했다. 특정 기업이나 기관의 개별적인 실패가 아니라, 연결성과 의존성이 심화된 디지털 사회의 구조적 민낯이 드러난 것이다.

계절을 따라 찾아온 위기

마치 예견된 서사처럼, 2025년의 위기는 계절의 흐름을 따라 찾아왔다. 봄에는 SKT 유심 해킹 사건으로 2,696만 건의 정보가 유출되며 모바일 신원 인증 체계인 ‘디지털 신분증’의 뿌리가 흔들렸고, 여름에는 KT 망을 노린 펨토셀 금융 사기가 발생해 통신망 설계 자체의 공학적 허점을 드러냈다. 가을에는 대전 국가정보자원관리원(NIRS) 화재로 행정망이 마비되면서 물리적 재난이 곧 디지털 국가의 마비로 이어질 수 있음을 보여주었으며, 겨울의 문턱에서는 쿠팡에서 3,370만 명의 개인정보가 유출되며 전 국민의 데이터가 잠재적 범죄의 표적이 되는 사태를 맞이했다.

AI 공격이 아니었는데도 흔들렸다

이 일련의 사건들을 관통하는 공통점은 이들이 고도화된 AI 공격이 아니었음에도 사회 전체를 뒤흔들었다는 사실이다. 전문가들이 올해를 심각하게 바라보는 이유는 바로 여기에 있다. 만약 이 취약한 구조 위에, 취약점을 스스로 스캔하고 공격 코드를 생성하는 ‘AI 기반 공격’이 가해졌다면 그 파급력은 재난 수준이었을 것이다. 앤스로픽(Anthropic)이 밝힌 것처럼 AI가 공격의 설계자로 진화하는 현실에서, 2025년의 사고들은 AI 공격 시대가 도래했을 때 발생할 수 있는 사회적 파국을 미리 보여준 ‘전조적 지진(Seismic Tremors)’이었던 것이다.

거버넌스는 재편되기 시작했다

다행스러운 점은 이러한 위기 신호에 맞춰 정부의 거버넌스도 기민하게 재편되기 시작했다는 것이다. 대통령실에 AI수석비서관이 신설되고 범부처 CAIO(AI최고책임자) 협의체가 가동된 것은 AI를 단순한 기술이 아닌 국가 안보와 전략의 최상위 의제로 격상시켰음을 의미한다. 특히 국정원이 발표한 ‘국가망보안체계(N2SF)’는 지난 19년간 공공 보안을 지배해 온 획일적 망분리 정책을 폐기하고, 데이터 중요도에 따라 보안 수준을 달리하는 ‘데이터 중심 보안’으로의 전환을 선언했다는 점에서 시사하는 바가 크다. 이는 보안의 패러다임이 ‘경계 방어’에서 어떤 상황에서도 핵심 데이터를 지키고 서비스를 복구하는 ‘복원력(Resilience)’으로 이동하고 있음을 보여준다.

(여전히 미흡하다고 보는 분들도 계시겠지만) 특히 지난 10월 발표된 ‘범부처 정보보호 종합대책’은 이러한 변화의 정점을 잘 보여준다고 생각한다. 정부는 1,600개 핵심 IT 시스템에 대한 전수 점검과 함께 데이터 중심 보안으로의 전환을 선언했다. 무엇보다 CEO와 CISO의 법적 책임과 권한을 강화하여 보안을 단순한 기술적 지원 업무가 아닌 ‘경영 의사결정의 핵심 축’으로 재위치시킨 점은 시사하는 바가 크다. 이는 기업의 지배구조 자체가 보안 중심으로 재정렬되어야 하며, 최고경영진이 보안 리스크를 직접 책임져야 한다는 강력한 신호이기 때문이다. 아마도 그러한 변화와 혁신의 압력이 2026년에는 더 강력하게 몰아칠 것으로 예상된다.

CISO는 위험의 번역자가 되어야 한다

이러한 거버넌스의 변화는 현장의 보안 책임자들에게도 새로운 역할을 요구하고 있다. AI 시대의 CISO(정보보호최고책임자)는 더 이상 기술적 관리자에 머물러서는 안 된다. 그들은 AI 모델의 환각이나 데이터 편향 같은 새로운 위험을 경영진이 이해할 수 있는 언어로 번역하는 ‘위험의 번역자’이자, 조직의 생존을 위한 복원력을 설계하는 전략가로 거듭나야 한다. 보안은 이제 기술적인 방어 수단을 넘어 조직의 운영 방식이자 생존 조건이 되었기 때문이다.

2026년은 설계의 해가 되어야 한다

이제 우리는 2026년이라는 새로운 시간을 마주하고 있다. 2025년이 우리에게 던진 것이 ‘경고’였다면, 2026년은 그 경고를 바탕으로 새로운 안전 질서를 만드는 ‘설계(Design)’의 해가 되어야 한다. 그런 점에서 곧 구체화될 국가 AI 액션플랜에는 산업 육성책뿐만 아니라, AI 안전성 기준, 공급망 보안, 그리고 공공 인프라의 재해복구 체계가 필수적으로 포함되어야 할 것이다.

우리는 AI 시대를 선언했지만, AI 시대를 안전하게 지킬 준비는 부족한 채로 출발했다. 2025년의 뼈아픈 기록들은 과거의 기준으로는 설명할 수 없는 새로운 위험의 시대가 도래했음을 알렸다. 이제 우리는 AI 기술의 속도에 수동적으로 적응하는 국가가 아니라, AI 시대의 안전과 신뢰라는 새로운 질서를 주도적으로 설계하는 국가로 나아가야 한다. 그것이 2025년의 혼란이 우리에게 남긴, 결코 외면해서는 안 될 과제다.