시사위크=박설민 기자  4차 산업혁명 시대를 맞아 5G, 인공지능(AI), 빅데이터, 블록체인 기반 암호화폐 등 다양한 IT기술이 우리 생활 이곳저곳에 적용되고 있다. 하지만 빛이 있으면 그림자가 있듯이 이와 동시에 해킹, 디도스, 랜섬웨어 등의 사이버 위협 역시 빠르게 능가하고 있는 실정이다. 때문에 전문가들은 디지털 사회로의 안전한 도약을 위해선 사이버 보안문제에 대한 대비책을 강구해야 한다고 지적한다. 

◇ 전문가들, “올해 들어 민간 기업·정부 기관에 사이버 위협 급증”

최근 정보보안분야 관계자들에 따르면 사이버 공격으로 발생한 피해가 2021년 들어 크게 증가하고 있는 것으로 나타났다. 특히 사이버 범죄자들이 경제적 이익을 극대화하려는 경향이 커 특정 타깃을 대상으로 공격하는 ‘지능형지속위협(APT)’의 형태로 이어지고 있는 전 산업군이 주의해야할 것으로 지적했다. 

국가정보원(이하 국정원)이 10일 발표간 ‘2021 국가정보보호백서’에 따르면 올해 랜셈웨어 공격으로 인해 전 세계 1,000여곳의 이상의 기업에서 데이터가 유출된 것으로 알려졌다. 

실제로 국정원에 따르면 지난해 3분기 글로벌 랜섬웨어 조직 ‘메이즈’와 ‘클롭’으로부터 국내 기업이 랜섬웨어 공격으로 인하여 영업을 긴급 중단하는 일이 발생한 바 있다.

당시 사내 네트워크 시스템을 마비시켜 백화점 등 일부 매장 영업 활동에 차질을 일으킨 공격조직은 메일에 악성코드가 내포된 첨부파일을 보내는 방법으로 기업 시스템을 공격했다. 해당 조직은 데이터 일부를 암호화해 접근할 수 없도록 만든 후 2,700만 달러(한화 약 300억원)의 거액을 요구한 것으로 알려졌다.

민간 기업뿐만 아니라 정부 기관에 대한 사이버 공격도 급증하는 추세다. 백신 프로그램 ‘알약’으로 잘 알려진 국내 보안전문기업 이스트시큐리티는 “최근 외교·안보·국방·통일 분야에 종사하는 전문가나 관계자를 겨냥한 이메일 해킹 시도가 국내에서 연이어 발견되고 있다”며 “각별한 주의가 필요하다”고 당부했다.

이스트시큐리티 시큐리티대응센터(이하 ESRC)에 따르면 현재 급증하는 우리나라 정부 기관에 대한 공격은 북한 정부와 공식적으로 연계된 것으로 알려진 해킹조직 ‘탈륨’(Thallium)과 ‘라자루스’(Lazarus)인 것으로 알려졌다.

각 조직은 국내 외교·안보·국방·통일 분야 종사자를 주요 공격대상으로 삼아 사이버 위협 활동을 펼치고 있는데, ESRC측은 일부 방위산업, 군사 전문가들도 공격에 노출된 것으로 분석했다. 공격 방식은 주로 이메일에 악성 DOC 문서를 첨부하는 전통적 방식이며, 수신자를 현혹시키기 위한 위협 시나리오는 나날이 정교해지는 추세다.

이스트시큐리티 ESRC센터장 문종현 이사는 “최근 악성 DOC 파일을 이용한 스피어 피싱 공격이 기승을 부리고 있고, 피해 대상자의 전문 분야에 따라 맞춤형 공격 시나리오를 적절히 구사하고 있다”며, “특히 북한 당국과 연계된 것으로 널리 알려진 탈륨, 라자루스의 사이버 공격 수위가 함께 증대되고 있어 유사 위협에 노출되지 않도록 민관의 각별한 주의와 관심이 요구된다”고 당부했다.

◇ 사이버 위협은 급증하는데… 방어할 인력은 ‘턱없이 부족’

이 같은 사이버 위협 문제를 해결하기 위해 정부 역시 다방면으로 노력을 기울이고 있다. 

과학기술정보통신부(이하 과기정통부)의 경우엔 지난 2월 오는 2023년까지 총 6,700억원의 예산이 투입될 예정인 ‘K-사이버방역 추진전략’을 발표했다. 해당 사업은 △디지털안심 국가 기반 구축 △정보보호산업 육성 기반 확충 △보안 패러다임 변화 대응 강화의 3대 전략으로 추진될 예정이다.

문제는 점점 더 사이버 공격의 위협은 커져 가는데 우리나라의 경우, 이에 맞설 정보보안 인력들이 턱없이 부족한 실정이라는 점이다. 

실제로 국정원에서 중앙행정기관 63곳, 지방자치단체 36곳, 공공기관 26곳 및 정부출연연구소 2곳 등 국가 공공부문 127개 기관을 대상으로 조사한 결과, 지난해 정보보호 전담 인력을 둔 공공기관은 46%로 전년도 52.4% 대비 6.4%나 감소했다. 정보보호 전담 부서를 보유한 공공기관조차 10곳 중 4곳은 담당 직원이 2명 이하였다.

국가 기관뿐만 아니라 민간 기업 부문에서도 정보보호 인력이 상당히 부족했다. 정보보호 조직을 보유한 국내 사업체는 전체의 13.4%에 그쳤다. IT예산 중 정보보호 예산이 차지하는 비중도 5% 이상인 사업체는 1.7%에 불과했다. 

국정원은 “현재 국내 기업의 보안 역량 미흡과 국내 정보보호 시장 협소, 정보보호 인력 부족 등으로 인해 새로운 사이버위협 대응에 한계가 있다”며 “대다수 랜섬웨어 피해사례가 중소기업, 소상공인, 개인에 편중되는 등 보안역량은 미흡한 편”이라고 지적했다.

그러면서도 “국내 정보보안 산업 매출 대부분이 100인 미만 중소기업에서 발생하고 있어 영세성과 기술력 부족 등으로 시장 확대에도 한계가 있다”고 우려했다.

<국가정보원에서 조사한 정보보호 관련 학위 및 공인 자격증 소지자 현황.(2021)/그래픽=박설민 기자>

아울러 정보보호 인재 확충도 크게 부족한 실정이다. 지난해 정보보호산업 인력 5만4,101명 중 물리적 보안인력을 제외한 정보보안 인력은 28.9%인 1만5,655명에 불과했다. 이 중 지난해 정보보호 기업체의 신규 채용은 4,862명이었으나 올해는 4,009명으로 17.5%나 감소했다.

국정원에서 정보보호 업무를 수행하는 인원의 전문성을 파악하기 위해 관련 전공의 석사학위 이상 소지자 또는 정보보호 관련 공인 자격증 소지자의 비율을 조사한 결과, 정보보호 역량도 전년 대비 소폭 감소했다. 

올해 석사 이상의 정보보호 관련 학위 소지자가 있는 기관은 지난해 39.9%였으나 올해는 26.98%로 12.9%p 줄었다. 정보보호 관련 공인 자격증 소지자가 있는 기관도 지난해 52.4%에서 올해 43.65%로 8.75%p 줄어들었다. 관련 학위 및 자격증을 모두 소지한 완성형 인력이 있는 기관은 20.47%에 불과했다.

국정원 관계자는 “우리나라 정보보호 인력은 2020~2025년 약 1만명이 부족할 것으로 예상되는 등 전문인력 공급 부족과 국내 ICT 분야 유망 기업 300개 기업 중 보안분야 기업은 전체 4%에 불과한 12개”라며 “원격서비스의 증가와 점차 사이버공격이 지능화됨에 따라 단말기기와 원격망, 클라우드, 공급망 등 부문별 환경을 고려한 보다 체계화된 사이버방역체계가 요구된다”고 전했다.