사후대응 보안에서 사전예방 보안으로

임문영 부위원장의 리더십 하에 지난 3개월 동안 민간 전문가들이 준비한 AI액션플랜의 모습을 드러내는 기자간담회를 무사히 마칠 수 있었다. 짧은 시간이었지만, 나도 보안TF의 책임자로서 한국 보안정책의 방향을 바꾸는 중요한 이야기를 꺼낼 수 있었다는 점에서 뜻깊은 하루였다.

보안TF의 대표과제

우리 보안 TF의 대표과제는 명확하다. 이제 보안 사고가 터진 뒤에 뒷수습하는 사후대응 중심 보안에서 벗어나, 기업과 기관이 스스로 보유한 ICT 자산을 정확히 식별하고, 취약점을 상시적으로 발견·조치하는 구조로 전환하자는 것이다.

이를 위해 화이트해커와 민간 연구자를 활용한 상시적 보안 취약점 점검 체계, 즉 VDP·CVD·버그바운티를 통합적으로 운영하는 제도화를 추진하겠다는 것이다. 제도화의 방향은 가이드라인 제정과 시범사업을 거쳐, 2026년 4분기까지 단계적으로 제도화를 완료하는 것이 목표다.

2025년의 참사가 남긴 반성

이런 제도 개선을 모색하게 된 배경에는 2025년 한 해를 뒤덮은 해킹 참사와 정보유출 참사에 대한 뼈아픈 반성이 있다. 기술이 부족해서가 아니라, 취약점을 미리 발견하지 못한 구조 자체가 문제였다는 점을 더 이상 외면할 수 없었기 때문이다.

또 하나의 중요한 계기는 지난 2017년 워너크라이 랜섬웨어, 2020년 솔라윈즈 공급망 공격이라는 대참사를 겪은 이후 미국과 EU가 VDP·CVD를 제도화하고, 일부 영역에서는 법적 의무로까지 끌어올린 정책 변화가 있다. 국제적으로도, 보안을 ‘사고가 나면 얼마나 잘 대응했는가’가 아니라 ‘사고가 나기 전에 무엇을 했는가’로 평가하기 시작했다는 것이다.

이제라도 방향을 틀어야 한다

제도 변화에 늘 인색하고 보수적이었던 보안정책의 역사 속에서, 이번 논의가 사후대응 중심 보안에서 사전예방 중심 보안으로 나아가는 중요한 전환점이 되기를 기대한다. 늦었지만, 이제라도 방향을 틀어야 할 시점이다.

*VDP (Vulnerability Disclosure Policy): 취약점 공개 정책. 기업·기관이 우리 시스템의 취약점은 이 경로로 신고해달라”고 공식적으로 열어두는 신고·소통 창구.

*CVD (Coordinated Vulnerability Disclosure): 협력적 취약점 공개 절차. 화이트해커가 발견한 취약점을 기업·기관과 협력해 먼저 조치한 뒤, 안전한 시점에 공개하는 표준 절차.

*버그바운티 (Bug Bounty): 취약점 보상 제도. 발견된 취약점의 심각도에 따라 금전·포상 등 합당한 보상을 제공하는 제도