영국은 실패를 인정하는 데서 출발했다

결국 영국 정부가 사이버보안 거버넌스 차원의 중대 결단을 내렸다. 최근 영국 정부는 공공 부문의 사이버 위험 수준을 “치명적으로 높다”고 공식 선언하며, 기존 보안 정책이 실패했음을 인정했다. 그 해법으로 민관을 아우르는 사이버보안 거버넌스, 이른바 “정부 사이버 유닛”(Government Cyber Unit)을 신설하기로 결정한 것이다. 권고와 가이드라인 중심의 분산 대응을 접고, 중앙 통제와 의무 이행 중심의 국가 사이버 거버넌스로 전환하겠다는 뜻이다.

문제는 기술이 아니라 책임 구조였다

영국의 진단은 명확하다. 문제는 기술이 아니라 책임 구조였던 것이다. 부처별 자율에 맡긴 결과 노후 IT와 기술 부채가 방치됐고, 사고는 반복됐다. 특히 최근 NHS와 학교 시스템 마비 같은 국민 피해가 정책 전환을 촉발했다.

영국은 지난 2024~2025년 동안 NHS(영국 국민보건서비스) 산하의 병원·검사기관·전문의 네트워크가 대규모 해킹을 당했다. 심지어 공립학교·지방 교육청 시스템과 중고등학교 전체가 랜섬웨어, 계정 탈취로 마비되는 사건도 겪었다. 사이버 공격 때문에 학교 문을 닫는 사태가 벌어진 것이다.

2025년, 한국도 사이버 참사를 겪었다

지난 2025년, 대한민국도 사실상 ’사이버 참사’를 연쇄적으로 겪었다. 쿠팡 3,370만 명 개인정보 유출을 정점으로 통신·금융·공공 시스템이 잇따라 뚫렸고, 상당수 공격은 수개월에서 수년간 탐지되지 않았다. 이는 개별 기업의 실수가 아니라, 국가 보안 체계가 구조적 한계에 도달했음을 보여준다.

영국의 정책 변화는 우리에게도 그대로 적용된다. ISMS, N2SF, 제로 트러스트 등 제도와 프레임워크는 충분히 존재하지만, 서로 분절돼 작동하고 있다. 연 1회 인증, 사후 과징금, 임시 TF로는 AI 기반 공격과 장기 잠복 침해를 막기 어렵다. 결국 사고는 늦게 드러나고, 책임 공방만 커진다.

필요한 것은 또 하나의 제도가 아니다

더구나 AI 시대의 사이버 보안은 ’방어’가 아니라 ’복원력’의 문제다. 침해를 전제로 얼마나 빨리 탐지하고, 확산을 막고, 국민 피해를 최소화할 수 있는지가 국가 경쟁력이 된다. 영국 정부가 중앙 조직을 재정비하는 이유다.

우리도 결단을 내려야 하지 않을까. 거버넌스를 둘러싼 부처 간 신경전을 극복하고, 적어도 인증·규제 중심의 보안체계를 넘어선 상시 탐지와 회복 중심 전략이 필요하다. 영국은 “우리는 실패했다”고 인정하는 데서 출발했다. 한국 역시 작년 한 해의 해킹 참사를 더 이상 예외로 치부해서는 안 된다. 지금 필요한 것은 또 하나의 제도가 아니라, 국가 사이버보안 액션플랜이라는 새로운 설계도다.

원문 링크: 영국, 기존 보안 정책 실패 자인…‘중앙통제’ 중심 ‘정부 사이버 액션 플랜’ 발표