수동 방어에서 선제 대응으로
미 정부의 사이버방어 전략이 ‘모든 공격을 막는다’는 목표에서 핵심 인프라를 우선 보호하고 침투를 사전에 찾아 제거하는 방향으로 옮겨간다. 미국 사이버보안·인프라보안국(CISA)이 26일(미국 시각) 발표한 10쪽 분량의 ‘CISA 2030: Defend, Harden, Prevail’이 그 로드맵이다.
통념은 단순하다. 공격자를 먼저 찾아내면 피해를 줄일 수 있다는 것이다. CISA도 적대 세력의 네트워크 접근을 식별·차단·제거하고, 전력 등 운영기술(OT) 보안과 소프트웨어 보안을 강화하겠다고 밝힌다. 그러나 ‘선제적’이라는 표현이 곧 모든 침투를 막을 수 있다는 뜻은 아니다. 전략의 핵심에는 방어와 함께, 뚫린 뒤에도 국가 기능을 유지하는 회복탄력성이 있다.
선제 방어의 함정과 놓치기 쉬운 변수
첫 번째 맹점은 우선순위 설정이다. 핵심 인프라를 선별해 집중한다는 것은 반대로 보호 수준의 격차가 생길 가능성을 뜻한다. 무엇을 얼마나 중요하게 분류하고, 소유자·운영자·공급업체·제조업체가 각자 어떤 조치를 맡는지에 따라 실행 결과가 달라질 수 있다. 발표문만으로는 이런 책임 배분이나 집행 기준을 확인하기 어렵다.
두 번째는 ‘적의 거점 제거’가 방어자의 역량을 자동으로 보장하지 않는다는 점이다. 네트워크 접근을 찾아내고 제거하려면 이를 식별할 정보와 대응 역량이 필요하다. 그 정보가 불완전하거나 대응이 늦으면 선제 전략도 사후 대응으로 밀릴 수 있다. 따라서 “공격적·선제적”이라는 표현만으로 실제 방어 성과를 판단하는 것은 의심해 볼 필요가 있다.
다만 참고 뉴스에는 과거의 구체적인 실패 사례나 비교 수치가 없다. 이를 근거 없이 끌어와 전략의 효과나 실패를 단정해서는 안 된다. 현재 확인 가능한 사실은 CISA가 국가 사이버 방어 주도, 핵심 인프라 보안 우선, 국가 차원의 회복탄력성 동원을 세 축으로 제시했다는 점이다.
최악의 시나리오에서 잃을 수 있는 것
최악의 경우 핵심 인프라 침해가 국가안보와 경제, 공중보건, 안전을 위협하고 비상대비 통신의 연속성까지 흔들릴 수 있다. CISA가 통신 연속성 개선과 OT 보안을 전략에 포함한 이유도 이 위험과 맞닿아 있다. 방어에 실패하면 피해는 시스템 침해에 그치지 않고, 필수 기능을 유지할 수 있는지의 문제로 번질 가능성이 있다.
결론
CISA 2030의 관전점은 ‘선제’라는 구호보다 핵심 인프라의 우선순위, 공급망 참여자의 역할, 침해 뒤 기능 유지 계획이 실제 조치로 이어지는지다.
- 조직의 전력·OT 등 핵심 기능과 관련 공급업체를 우선 목록으로 정리한다.
- 침투를 사전에 찾고 차단하는 절차와, 침해 뒤 필수 기능을 유지하는 절차를 함께 점검한다.
- CISA의 세 축이 구체적 책임과 실행 기준으로 어떻게 이어지는지 후속 내용을 확인한다.
- #CISA2030
- #CISA
- #사이버방어
- #핵심인프라
- #사이버회복탄력성