• “빈손으로 테러 잡겠다는 꼴”
• 정보보안 취약한 ‘스마트 정부’를 어이할꼬
• 北 I-war 전력 실체는…
• “주무비서관? 없다”

상상해보자. 여성 종업원이 옆에 앉는 카페에서 3시간 넘게 떠들었다. 격 낮은 대화를 나누면서 신나게 놀았다. 아내가 집에서 대화를 모조리 엿들었다. 끔찍한 일이다. 불가능하다고?

2010년 4월5일 최경환 지식경제부(이하 지경부) 장관 스마트폰으로 e메일이 전송됐다. 평범한 문서처럼 보였다. e메일을 열어본 순간 해킹·도청 프로그램이 설치됐다. 최 장관이 회의실에서 전화통화를 하자 대화내용이 노트북에 녹음됐다. 통화를 마친 후에도 엿듣기가 계속됐다. 스마트폰이 회의실 대화를 밖으로 전하는 스피커 구실을 한 것이다.

지경부 회의실에서 발생한 이 사건은 실제 상황은 아니다. 최 장관이 보안전문가를 불러 스마트폰 보안을 실험한 것이다. 청와대는 2010년 상반기 직원들에게 스마트폰을 지급하려고 했으나 보안을 담보하기 어렵다는 이유로 지급을 유보했다. 지경부 실험이 이 결정에 영향을 미쳤다는 후문이다.

이 일화를 전해준 안보당국 고위인사는 “안보문제를 다룬 청와대 회의를 북한이 엿들었다 치자. 끔찍한 일 아닌가”라고 했다. 지급이 보류된 후 자비로 스마트폰을 구입해 사용하는 청와대 보좌진이 적지 않다. 보안이 염려된다고 스마트폰을 쓰지 말라 할 수는 없는 노릇이다.

GPS 수신 장애



사이버전(cyber warfare) 시대가 열렸다. △화력 우위→정보 우위 △플랫폼 중심→네트워크 중심으로 전장 환경이 바뀌고 있다. 컴퓨터 기술 발달로 군사 전력이 정보 시스템에 의존한다. 국방정보 체계가 공격받으면 지휘통제, 임무수행이 타격받는다. 민간 상대 사이버 테러는 공격받은 나라를 혼란에 빠뜨린다.

첨단무기는 위성유도시스템(GPS)을 기반으로 적을 타격한다. GPS에 결함을 일으키거나 체계를 파괴하면 첨단무기는 무용지물로 전락한다. 연평도 도발 때 북한이 GPS를 교란하는 전자전을 벌였다는 보도가 나왔으나, 국방부는 “그런 일 없다”고 부인했다.

북한이 네트워크, GPS를 공격하는 전력을 갖췄다는 게 전문가들의 평가다. 북한이 무기를 팔고자 베네수엘라 정부에 제시한 리스트에 GPS 교란 장치가 포함돼 있었다고 한다(‘신동아’ 2010년 6월호 “정보당국의 ‘북한 어뢰 능력 추적’ 총력전” 제하 기사 참조). 국방부는 2010년 8월 서해에서 발생한 GPS 수신 장애를 북한 소행으로 판단했다.

북한은 I-war를 수행해 사회 운영 시스템, 무기체계가 첨단화한 한국을 타격할 수 있다. 반면 북한에는 한국이 공격할 곳이 별로 없다. 사이버 인프라가 열악해서다. 전자전은 북한이 확보한 비대칭전력인 것이다. I-war는 비용 대비 효과가 높으면서 약소국이 강대국을 공격하는 최적 수단으로 평가된다.

광운대 방위사업연구소 박영욱 교수는 미래전(未來戰)의 특징으로 △육·해·공·우주·사이버 5차원전 △네트워크전 △정보전 및 사이버전 △장사정 정밀 타격전 △비대칭전 등을 꼽았다. 이어지는 박 교수 설명.

“수신전파를 방해·교란하는 재밍(jamming)은 큰돈, 기술을 들이지 않고 확보가 가능하다. 24w급 재머를 공중에서 송출하면 남한 대부분 지역의 GPS 수신이 제한될 것이다. 국군 C4I(지휘통제통신전산정보체계)를 원거리에서 타격하는 전자기펄스(ENP)나 발생장치기술은 북한이 확보하지 못한 것으로 보인다.”

신(新)기술이 등장하면 국가안보 패러다임도 바뀌어야 한다. 한국은 I-war, 전자전 준비를 잘해왔을까.

“한심한 수준”

G20 서울 정상회의(2010년 11월11~12일) 직전 보안을 다루는 국정원 관계기관이 밥 때 요릿집처럼 분주했다. 월, 화, 수, 목, 금, 금, 금 일하는 이 기관엔 20~30대 박사가 즐비하다고 한다. 안보당국은 북한의 I-war 테러를 우려했다. 인천국제공항 관제센터·물류시스템을 공격할 수 있다고 봤다.

북한이 사이버전으로 전력망을 공격하면 어떻게 될까. 전력망이 첨단화할수록 공격에 취약해지는 역설이 발생한다. 한국은 배전망을 컴퓨터로 제어해 낭비를 줄이는 스마트그리드를 국책사업으로 추진 중이다. 배전망의 보안이 뚫리면 어떤 일이 벌어질까? 안보당국 관계자 설명이다.

“회복불능 정전사태가 일어날 수 있다. 스마트그리드의 생명은 보안인데, 실무자들은 자동계량기쯤으로 여겼다. 구더기 무서워 장을 못 담그는 일은 없어야 하지만 보안이 완벽해야 한다. 그래야만 스마트그리드 기술을 외국에 수출할 수 있다.”

미국 정부가 배전시스템 컴퓨터 조작을 통해 발전기를 파괴할 수 있는지 실험한 적이 있다(2007년). 배전망을 공격하자 과부하가 걸린 발전기가 가동을 멈췄다. 미국은 테러리스트로부터 전기를 지키고자 보안에 막대한 예산을 투입했다.

유비쿼터스 환경도 적의 비대칭 공격 대상이다. 일상생활에서 예를 들어보자. 유비쿼터스 환경을 표방한 아파트가 들어서고 있다. 가스·전기·수도·방범을 집 밖에서 휴대전화 등으로 제어하는 것이다. 이 시스템 보안은? 안보당국 관계자는 “한심한 수준”이라고 답했다.

테러리스트가 유비쿼터스 환경을 뚫으면 요인도 암살할 수 있다. 가스를 누출하거나 전기를 조작하는 것이다.

비대칭전력

주변국은 경쟁적으로 사이버전을 준비하고 있다. 미국·러시아·이스라엘은 실전(實戰)에서 사이버 전력을 가동했다.

미군은 이라크전쟁을 수행하면서 적군 정보시스템을 해킹해 들여다봤다. 암호화 시스템이 파괴당한 이라크는 감청이 용이한 통신채널을 이용해야 했다. 미군은 전자전 공격으로 이라크군 C4I체계와 방공망을 무력화했다.

미국의 사이버전 역량은 세계 최강으로 평가된다. 전 지구적 도·감청망을 구축했으며, 해킹 능력도 최고다. 미군은 네트워크를 지배하는 자가 세계를 지배한다는 모토 아래 2010년 5월 사이버사령부를 창설했다. 기술지원은 국방정보체계국이 맡고 있다. 사이버사령부는 사이버 공간에서 미국·동맹국 활동을 보장하고 적 활동을 무력화하고자 광범위한 작전을 펼치는 것을 임무로 삼았다. US-CERT가 인터넷을 이용한 사이버 공격에 대응하고, NIPC는 국가기간 인프라를 노린 공격을 방어한다. 국토안보부 중심으로 2006년부터 ‘사이버 스톰’이라는 I-war 억지 훈련도 벌여왔다.

러시아는 2007년 4월 I-war 전력을 활용해 에스토니아를 공격했다. 에스토니아 국간기간 통신망·이동통신망·방송·은행이 마비됐다. 러시아는 사이버 공격 사실을 부인했지만 3주 동안 100만대에 달하는 컴퓨터로 도발을 감행한 것으로 알려진다. 2008년 8월 그루지야를 침공했을 때도 사이버전을 병행했다. 그루지야군 정보시스템이 제대로 가동되지 않았으며 은행·언론·정부 인터넷 시스템이 무용지물로 변했다. 러시아는 논리폭탄, 전자기펄스(EMP)를 실전배치하고 있다.

이렇듯 전쟁 패러다임이 물리적 타격과 사이버전을 병행하는 형태로 바뀐 것이다.

중국의 사이버전 전략은 북한과 마찬가지로 비대칭을 키워드로 한다. 중국보다 네트워크 의존도가 높은 미국이 사이버 공격으로 당할 피해가 더 크므로 I-war를 통해 전력 열세를 극복한다는 것이다. 중국은 “사이버 공격이 원자탄보다 효율적일 수 있다”면서 사이버 공격과 정보교란을 임무로 삼은 넷 포스(Net Force)와 전자전부대를 각각 2000년, 2003년 창설했다.

110호 연구소

북한의 실력은 어떨까? 안보당국 관계자 진단이다.

“프로그래밍 능력은 우리보다 크게 떨어진다. 우수한 개발자를 보유했으나 프로그램을 사용할 곳이 적다보니 능력개발에 한계가 있다. 프로그램을 시중에 유통한 후 버그를 수정하면서 기술이 축적된다. 해킹기술, 사이버전 수행능력도 우리가 월등하다. 문제는 우리는 공격할 곳이 별로 없고, 북한은 공격할 곳이 많다는 것이다. 인천공항 관제센터를 마비시킬 정도의 능력은 가진 것으로 판단된다. 사이버전은 부드럽지만 치명적이다. 네트워크를 무용지물로 만드는 사이버 공격은 장사정포보다 더 파괴적이다.”

북한이 I-war 전력으로 공격하면 어떻게 보복해야 할까. 공격자가 북한이란 증거를 찾아낼 수 있을까.

국정원은 2010년 국회 정보위원회 국정감사에서 “올해만 9200여 건의 정부기관에 대한 사이버공격이 있었고, 2004년 1월부터 현재까지 4만8000여 건의 사이버 공격사례가 있었다”고 보고했다. 국방부가 국회에 제출한 자료는 “2007년부터 2010년 6월까지 해킹을 통해 유출된 군사기밀이 1763건에 달한다(군사2급비밀 123건, 군사3급비밀 78건, 군사대외비 95건, 훈련비밀 1467건)”고 밝힌다.

존 타식 헤리티지재단 전 선임연구원은 자유아시아방송(RFA) 인터뷰에서 이렇게 말했다.

“북한 내 전문가는 소수지만, 국제 대회 수상 경력이 있을 만큼 잠재력을 갖췄다. 북한의 사이버전 전담부대가 자체기술로 양성된다기보다 중국 지원을 받고 있을 소지가 크다. 중국의 기술적 지원을 받는다면 위협적이다.”

북한은 인민군 총참모부 산하에 사이버전쟁 전담부대와 110호 연구소를 운영하고 있다. 사이버전 전문요원은 김일 전 부주석 이름을 딴 김일군사대학에서 양성하는 것으로 알려진다. 5년제인 이 대학에서 해마다 100명 넘는 특수요원이 배출된다고 한다. 인민학교 학생 중 영재를 선발해 집중교육한 후 김일군사대학에서 사이버 전사로 육성한다고 한다. “엘리트 학생들이 만 10세 때부터 6년간 매년 500시간이 넘는 집중교육을 받는다”고 김흥광 NK지식인연대 대표는 전한다. 1000명 가까운 해커가 북한에서 활동하고 있으며, 북한은 자국과 중국에 수개의 해킹기지를 운영하고 있다고 한다. 통일전선부, 총참모부 적공국도 사이버전 역량을 갖췄다.

팥소 없는 찐빵

한국 I-war 억지력은 어떨까.

국군은 2010년 1월 사이버전 대응 조직인 사이버사령부를 창설했다. 준장을 사령관으로 한 이 조직은 해킹 예방, 보안관제, 복구를 총괄·지휘하며 유사시 군사작전을 수행한다. 국정원 국가사이버안전센터는 국가·공공분야를 맡고 있으며, 국군 정보사령부도 사이버전 역량을 확보하고 있다. 육·해·공군 사이버침해대응체계(CERT)가 군 인트라넷을 보호한다.

사이버사령부 창설을 두고 뒷말이 적지 않다. 이진삼 의원(자유선진당)은 2010년 국정감사 때 “기무사 통합관리센터에서 사이버 방호체계를 통합 관리했는데, 사이버사령부와 업무가 중복되는 것 아니냐? 예산, 인력 낭비로 비칠 수 있다”고 지적했다. 사이버사령부를 기무사 예하로 둘 것이냐를 놓고도 논란이 있었다. 기무사, 정보사, 국정원이 주도권, 기득권을 놓고 다툰다는 얘기도 들린다.

안보 관련 국가기관 관계자는 이렇게 말했다.

“사이버사령부를 창설했는데, 기술지원센터가 없다. 사령관은 있는데 두뇌조직은 없는 것이다. 빈손으로 테러 잡겠다는 꼴이다.”

사이버사령부가 팥소 없는 찐빵을 닮았다는 것이다. 국정원 국가사이버안전센터도 인원이 200명이 채 안 되는 것으로 알려진다. 이 조직은 국가·공공 분야 사이버안전을 총괄·관리하는 곳이다.

전문가들이 지적하는 사이버전 준비태세 문제점을 종합하면 다음과 같다.

“컨트롤타워가 없는데다, 각 기관이 헤게모니 다툼을 한다. 사이버전 개념이 정착돼 있지 않다. 군 간부의 사이버전 관련 인식과 지식이 낮다. 사이버전 조직과 수행체계가 미약한 수준이다. 사이버 전력으로 적을 공격하는 체계가 구축돼 있지 않다. 기술개발 인력과 조직이 부족하다.”

익명을 요구한 보안전문가 지적이다.

“주무비서관? 없다. 사이버전, 사이버보안을 담당하는 비서관이 청와대에 없다. 군 출신 안보특보는 장관급이지만 권한이 적은데다 사이버 안보를 잘 모른다. IT특보는 국방을 모른다. 사이버 안보를 책임지는 컨트롤타워가 없는 것이다. 백악관은 막강한 권한을 가진 사이버안보조정관을 두고 적 공격을 막는다.”

백악관 사이버안보조정관은 하워드 A 슈미트로 2009년 12월 임명됐다. 사이버안보조정관은 군과 민간의 사이버전 대응을 총괄한다. 그는 조지 W 부시 정부 때인 2001년부터 2년간 백악관 자문역을 맡아 사이버전 관련 국가전략을 수립했다. 1967년부터 15년간 공군에 근무했으며, 마이크로소프트와 e베이에서 일했다.

두 번으로 족하다

‘신동아’가 23개 국가기관의 해킹방어 능력을 점검한 적이 있다.(‘신동아’ 2010년 3월호 ‘정부 대외비 문건에 나타난 공공기관 웹 취약점 실태’ 제하 기사 참조) 경찰청 e메일, 외교부 출장정보도 뚫려 있었다. 국세청 보건복지부가 ‘우수’했고, 행정안전부 대검찰청 경찰청 등 8개 기관은 ‘심각’했으며, 외교통상부 통일부 등 10개 기관은 ‘나쁨’으로 분류됐다.한국판 위키리크스 사태가 발생할 수 있는 것이다.

행안부는 2010년 12월14일부터 스마트 정부 구축 첫 단계로 ‘정부 모바일 오피스’를 시범운영하고 있다. 간단한 업무상 자료를 스마트폰으로 주고받는 ‘모바일 메모보고’가 시범운영 대상이다. 인터넷 전자정부는 한국의 효자 수출 상품이다. 2010년 수출액이 1억4876만달러에 달한다. 스마트 정부도 IT 효자 상품이 될 것으로 보인다.

스마트 정부 구축을 놓고 국정원과 행안부가 충돌했다고 한다. 행안부는 업무 효율을 높이고, 경제를 활성화하는 차원에서 속도를 내야 한다고 주장했다고 한다. 국정원은 “보안 문제가 심각하다. 가이드라인이 잡히면 하자”는 쪽이었다고 한다. 보안이 우려된다고 스마트 정부 구축을 마냥 미룰 수도 없는 노릇이다.

아날로그 시대엔 존재하지 않던 위협이 우리를 감싸고 있다. 북한은 I-war 역량을 비대칭전력으로 키우고 있다.

천안함 폭침, 연평도 피폭을 두고 기습공격을 당해 어쩔 수 없었다는 변명이 들린다. 정보전 전력은 기습공격 징후를 파악하라고 국민이 세금으로 사준 것이다. 실수는 두 번으로 족하다.