국방사이버안보전략, 최근 러시아-우크라이나, 이스라엘-하마스 전쟁 교훈 반영해야
사이버전 전문가 그룹과의 협업 등 AI 기반 무기체계의 방어 및 공격 역량 강화 필요

한국사이버안보학회(KACS: Korean Association of Cybersecurity Studies, 회장 김상배)가 개최한 2024년 연례학술대회 세션 1-1 국가전략 라운드테이블에서는 ‘한국의 사이버 안보전략: 현황과 과제’를 주제로 서울대 김상배 교수가 좌장을 맡은 가운데, 국가안보실 신용석 사이버안보비서관, 하렉스인포텍 박종일 글로벌전략실장, 아주대 이원태 교수, 스텔스모어 최상명 CTO, 보안뉴스 김경애 팀장이 패널로 참석해 토론을 진행한 바 있다. 이에 <보안뉴스>는 정부, 군, 산업, 언론 관점에서 바라본 ‘한국의 사이버 안보전략: 현황과 과제’를 각각의 토론문을 통해 소개하고자 한다. 첫 번째 소개할 토론문은 예비역 육군준장이자 공학박사인 박종일 하렉스인포텍 글로벌전략실장의 토론문이다.


[이미지=gettyimagesbank]

[보안뉴스=박종일 하렉스인포텍 글로벌전략실장] 우리나라 국방사이버안보전략의 현황을 살펴보면 먼저 전략사령부의 창설이다. 국가안보 전략에 따라 지난 10월 1일 전략사령부를 창설했다. 전략사령부는 북한의 핵, 미사일 위협 대응을 위해 우주, 사이버, 전자기 스펙트럼 작전 등 보다 새로운 군사 영역으로까지 임무를 확대할 예정이다. 이는 사이버전 역량이 전자전과 더불어 북한의 핵, 미사일 대응을 위한 발사의 왼편 작전인 Left of Launch 작전 등에 중요하게 활용될 수 있음을 시사한다.

다음으로 한미연합훈련이다. 한미 정상이 지난해 4월 워싱턴에서 체결한 ‘사이버안보 협력 프레임워크’에 따라 올해 1월 첫 한미 사이버동맹 훈련이 한국에서 실시됐고, 5월에는 미국의 사이버 플래그 훈련에 한국이 참가했다. 또한 6월에는 한미일 3국이 사이버영역을 포함하는 프리덤 에지 훈련을 수행했으며, 8월 을지 자유의 방패 연습에서도 GPS 교란과 사이버전을 포함한 한미 연합훈련을 진행했다. 이전에는 선언적 발표에만 그쳤던 한미 사이버안보 협력이 이제는 군사 분야에서 본격적으로 이루어지고 있고, 미국뿐만 아니라 일본과의 협력으로도 확대되고 있다.

다음으로 K-RMF 현황이다. K-RMF는 국방정보체계를 포함해 SW가 내장된 모든 무기와 전력지원체계의 사이버 보안을 체계적으로 검증하고 관리하는 제도다. 국방부는 K-RMF를 2024년 7월부터 소요 제기되는 중기 무기체계부터 적용하고, 2026년부터 전면적으로 시행하는 것을 목표로 하고 있다. RMF는 무기 등 방위산업 수출에도 밀접하게 연관되는데 국방부가 시기적절하게 추진하고 있다.

또한 국방부는 군사이버전 인력양성 및 전문성 제고를 위해 유관기관 협력을 추진하는 등 국가안보전략, 국가사이버안보전략 및 국가사이버안보기본계획에 명시된 국방분야 전략과제를 속도감 있게 이행하고 있는 것으로 보인다.

이와 관련 국방사이버안보전략의 향후 과제를 제시하고자 한다. 첫째, 최근 전쟁 교훈이 반영돼야 한다. 현재 진행 중인 러시아-우크라이나 전쟁과 이스라엘-하마스 전쟁은 현대 전면전에 사이버전이 본격적으로 활용된 최초의 사례로 평가되며, AI 기술이 게임 체인저로 떠오른 최초의 AI 전쟁으로도 불리고 있다.

주요 특징들을 요약해보면 물리적 타격과 연계된 사이버 공격, 위성/스타링크/GPS 등에 대한 사이버 전자전 공격 및 방어, AI 기반 딥페이크 등에 의한 사이버 심리전, 이스라엘의 삐삐 폭탄 및 통신망 장악을 통한 핵심 인물 제거, 본격화된 드론 전쟁, 로봇 및 드론 등 AI 기반 무인 무기체계의 참전 본격화, 우크라이나의 글로벌 IT Army 운영 등이 꼽히고 있다.

특히 이번 전쟁에서는 민간인, 민간 해킹범죄단체가 사이버전에 참전했고, 스페이스X와 SNS 기업 등 글로벌 빅테크 기업들이 작전에 큰 영향을 미친 것이 주목할만한 새로운 양상이다. 이번 전쟁의 교훈은 사이버 자산의 생존성과 복원력의 중요성 등 현대전 수행을 위한 사이버전 역량이 무엇인지를 보여주고 있으므로 향후 새로운 국방사이버안보전략 수립에 반영해야 할 것으로 보인다.

두 번째 과제는 북한의 우크라이나 파병이다. 러시아-우크라이나 전쟁에 북한이 파병하면서 이 전쟁은 더 이상 우리와 무관한 남의 나라 전쟁이 아닌 우리의 국가안보에 직접적인 영향을 미치는 상황으로 변했다.

러시아와 북한은 오랜 기간 사이버전 분야에서 협력해 왔으며, 지난 6월에 체결된 ‘포괄적 전략동반자 관계 조약’에 따라 이번 북한군 파병뿐 아니라 사이버 분야에서도 긴밀히 협력했을 가능성이 크다. 따라서 전투병 파병보다 앞서 더욱 은밀하게 사이버 전사들이 파견됐을 가능성도 배제할 수 없다.

군에 있어 실전 경험은 매우 중요하다. 북한은 파병 대가로 핵추진 잠수함, ICBM, 전투기, 자폭 드론 등 첨단 무기체계나 핵심기술을 받을 가능성도 있지만, 북한군이 얻게 될 현대전의 실전 경험 자체가 더 큰 위협이 될 수 있다.

특히 하이브리드전의 선두주자로 인정받는 러시아로부터 북한이 전수받을 수 있는 사이버전 전략, 전술 및 기술과 군사작전과 연계된 사이버전 경험은 매우 중요한 의미가 있어, 만약 우리가 우크라이나에 참관단을 보낼 경우 사이버전 전문가를 포함시킬 필요가 있다.

참고로 군사용 AI 개발에 필수지만 전장이 아니면 구할 수 없는 전쟁 데이터 수집을 위해 민간 자격으로 우크라이나 전선에 투입되어 있는 팔란티어, 드라곤플라이, 클리어뷰 등 글로벌 군사용 AI 전문기업의 활동을 벤치마킹할 필요도 있다. 참관단 활동은 이번 전쟁뿐만 아니라 앞으로 있을 수 있는 전쟁에서도 군이 적극적으로 참여하고 활동할 수 있도록 법적·제도적 장치를 정부 차원에서 마련하는 것이 중요하다.

세 번째 과제는 AI와 사이버보안이다. 최근 AI가 사이버전에 접목되면서 AI는 사이버 공격과 방어를 위한 핵심 기술로 주목받고 있으며, 앞으로 사이버전의 승패가 AI 기술에 좌우될 것으로 예상된다. AI가 무기체계에 탑재되면서 공격과 방어 용도에 관계없이 무기체계의 성능이 비약적으로 향상되고 있다.

예를 들면, 러시아-우크라이나 전쟁에서는 우크라이나의 AI 기반 드론이 러시아의 재밍 등 사이버전자전 공격에도 임무를 수행했으며, 우크라이나와 이스라엘은 GIS Arta, 하브소라 등 AI 기반 무기체계를 통해 군사작전의 효율성과 반응속도를 획기적으로 향상시켰다.

우리 국방부는 2023년에 발표한 ‘국방혁신 4.0 기본계획’에 따라 인구 절벽으로 인한 병력 부족 문제를 해결하기 위해 AI 기반 유무인 복합 전투체계를 구축하고 있으며, 우선적으로 AI 기반 철책경계체계를 시범 운용 중이다. 현재 전체 248km 철책경계에 50만 병력의 1/5에 해당되는 10만명이 투입되고 있는데, AI 철책 완료시 경계 병력을 현재 대비 1/3 이하로 줄일 수 있을 것으로 예상된다.

이와 같은 양상을 고려할 때 사이버전과 유사하게 우리의 AI 기반 무기체계를 보호하고, 적의 AI 기반 무기체계를 무력화할 역량을 확보해야 현대전에서 주도권을 장악할 수 있다.

생성형 AI 등 다양한 AI 기술은 일반 IT 체계와 유사한 보안 취약점 외에도 AI 고유의 보안 취약점이 존재한다. AI 체계는 물리적 타격, EMP 공격, 악의적 학습 데이터, 적대적 예제 입력, AI 모델 해킹, 디도스 공격, 랜섬웨어, 데이터 유출, 플랫폼 장악 등 다양한 형태의 공격에 취약할 수 있다.

이러한 위협에는 사이버 전자전 대응과 유사한 대책이 필요하며, 사이버전 전문가 그룹과의 협업 등을 통해 AI 기반 무기체계의 방어 및 공격 역량을 강화해야 한다. 이를 위해 러시아-우크라이나 전쟁과 이스라엘-하마스 전쟁에서 얻어진 실전 데이터를 확보하고 활용하는 것이 효과적인 방안이 될 수 있다.

마지막으로 군 사이버전문인력 인사관리 및 처우 관련 과제다. 군의 사이버 전문인력의 장기근무 기피는 순환근무, 단순 반복 업무, 처우 불만과 이에 따르는 전문성 약화와 미래의 불확실성 등 다양한 이유가 있다. 크게 인사관리와 처우의 문제로 볼 수 있는데, 전체적으로 사이버 전문인력 관리에 대한 우리 군의 현재 수준을 보여준다고 할 수 있다.

자기가 잘하는 일에만 집중하기 어려운 환경은 마치 교사와 학원강사의 차이와 비슷하다고 할 수 있다. 교사는 가르치는 일에만 전념할 수 없고 담임, 행정 등 부가적인 업무도 해야 하는 구조이듯 사이버 전문장교에게도 연구개발, 고난이도 작전 등 기술적 전문성이 필요한 업무 외에 실무자 및 관리자로서 요구되는 많은 업무가 있는 것이 현실이다. 이는 군에서 국정원 또는 경찰 등으로 이직하더라도 다소 차이는 있을 수 있지만, 우리나라 공무원으로 근무하는 동안은 비슷할 것으로 보인다. 따라서 인사관리를 통해 적절한 균형점을 찾는 것이 중요할 것으로 보인다.

처우에 관련해서는 군의관, 법무관, 공군 조종사와 같이 교육과정, 자격요건, 경력관리 등이 정형화되어 있는 분야와 달리 사이버전문인력은 아직 그렇지 못해 별도의 처우를 하기에 어려운 부분이 있다. 또한 이들과 유사한 수준의 처우를 하더라도 만족할 수 있을지는 알 수 없는데, 일부 글로벌 보안기업들이 우수 인재에 대해 거액의 연봉을 제시하고 있기 때문이다. 이를 위해서는 별도 처우에 대한 군 내부의 공감대 형성이 우선되어야 하고, 별도 처우를 할 수 있는 대상, 직책, 자격기준 등에 대한 구체적인 기준을 설정해 시행하는 것이 타당할 것으로 보인다.

또한 공조직의 한계를 극복하기 위한 발상의 전환을 생각해볼 수 있다. 바로 PMC라는 민간군사기업을 활용하는 것이다. 에드워드 스노든이 근무했던 미국의 부즈앨런해밀턴이 대표적이다. 고액의 연봉이 보장되는 PMC 등으로 취업하기 위해 군 사이버 전문인력 경력이 필수적인 구조가 만들어진다면 지금의 문제가 어느 정도 해결될 수도 있다. 아직까지 우리나라가 컨설팅 회사에 국가 주요 보안업무를 맡기는 것이 쉽지 않겠지만, 장기적으로는 고려해볼 필요가 있다.
[글_ 박종일 하렉스인포텍 글로벌전략실장]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>