[리스크 콕] '숨기는 게 남는 장사'의 역설…침해사고 조사 기관만 4곳

서버 해킹을 시도하는 해커 모습 / 사진 콕스뉴스가 제미나이로 생성

사이버 공격을 당한 기업이 가장 먼저 느끼는 것은 수치심이 아니라 무력감이다. 서버가 뚫린 그 순간부터, 기업은 자신이 통제할 수 없는 연쇄 반응 속으로 빨려 들어간다. 데이터가 새고, 고객이 등을 돌리고, 주가가 흘러내리고, 기자들이 줄을 선다. 거기까지는 그나마 예측 가능한 고통이었다. 이제는 신고하지 않아도 조사가 들어온다.

과기정통부는 19일 '침해사고 조사 심의위원회' 첫 회의를 열었다. 3월 31일 개정된 정보통신망법에 따라 신설된 법정 위원회로, 공식 시행은 올해 10월 1일이다. 정부는 법 시행 전이라도 중대 침해사고에 빈틈없이 대응하고 민관 협력 체계를 조기에 안착시키겠다며 위원회를 앞당겨 출범시켰다. 지금은 자문위원회 역할이지만, 10월부터는 권한이 달라진다. 침해사고 정황이 명백하거나 국민 피해가 우려된다고 판단되면, 기업의 신고 없이도 직권조사에 착수할 수 있다.

위원회는 학계와 민간 보안업체 전문가를 중심으로 KISA, 금융보안원, 국가보안기술연구소 등을 포함해 총 13인으로 구성됐다. 조사 대상 기업과 이해관계가 확인되면 심의 참여를 즉시 제한하는 조항도 뒀다. 구성만 보면 전문성과 공정성을 갖추려 한 흔적은 보인다. 배경도 있다. AI 기반 사이버 공격이 고도화되면서 자동화·지능화된 위협이 현실로 부상하는 상황에서, 정부가 기존 대응 체계로는 속도를 따라가기 어렵다고 판단한 것은 이해할 수 있다. 류제명 과기정통부 2차관이 "침해사고 발생 초기 신속한 원인 파악과 선제 대응이 추가 피해확산을 막는 핵심"이라고 강조한 것도 같은 맥락이다.

그럼에도 기업 입장에서 이 위원회는 불편하게 읽힌다. 기존에도 침해사고가 터지면 KISA, 국정원, 경찰 사이버수사대가 각자의 이름으로 접근해왔다. 이미 복수의 기관이 같은 사고를 들여다보는 구조였다. 여기에 위원회가 하나 더 얹혔다. 감시망이촘촘해질수록, 일부 기업은 투명한 신고보다 서버를 먼저 정리하는 쪽이 합리적이라는 역설적 계산을 할 수 있다.

LG유플러스가 실제로 그 경로를 걸었다. KISA로부터 침해사고 정황을 안내받은 이후, 해킹 관련 핵심 서버의 OS가 재설치되고 일부 서버는 폐기됐다. 조사단이 네트워크 경로상 주요 서버를 들여다보려 했을 때 이미 흔적은 지워진 상태였고, 정부는 이를 위계에 의한 공무집행 방해로 판단해 경찰청에 수사를 의뢰했다. 감추려다 수사까지 자초했다.

보안업계 한 관계자는 "기업 입장에서 공개는 리스크이고 은폐는 상대적으로 비용이 적은 선택이 될 수 있다"며 "결국 제도가 '숨기면 유리하다'는 신호를 주고 있는 셈"이라고 짚었다.

직권조사는 그 압박을 한 단계 더 끌어올린다. 기업이 신고 여부를 결정하는 과정에는 피해 규모 산정, 법적 책임 검토, 고객 통보 시점 조율이 따라붙는다. 이제는 그 준비 시간조차 보장되지 않는다. 더 근본적인 문제는 '정황이 명백하다'는 판단 기준이 아직 구체화되지 않았다는 점이다. 기준이 모호할수록 불확실성은 기업의 위기 대응 발목을 먼저 잡는다.

정보유출을 막겠다는 방향 자체를 탓할 생각은 없다. 침해사고를 스스로 묻어버리는 관행도 분명히 바로잡아야 한다. 그러나 규제가 기업을 더 투명하게 만드는지, 더 위축되게 만드는지는 따져봐야 한다. 해킹으로 너덜너덜해진 기업에 조사 기관이 하나씩 더 붙는 구조는, 보안 생태계를 강화하는 것이 아니라 사고를 드러낼 용기를 먼저 꺾는다.

10월 1일, 위원회가 공식 가동된다. 그날 이후 침해사고를 당한 기업의 선택지는 몇 개나 될까. 국가 단위로 움직이는 해커를 완벽히 막는 것이 현실적으로 가능한지조차 불분명한 상황에서, 뚫리면 피해자가 아니라 피의자가 될 수 있다는 공식만 하나 더 추가됐다.