[K-보안 주권⑩] 조달·책임·거버넌스 세 톱니 맞물려야 'K-보안'이 돈다 작성일 07-03 19 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">[인터뷰] 이석준 가천대 교수 "기술평가 비중 90% 확대 및 CEO 책임 법제화해야"</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="y5LHSiSrCT"> <p contents-hash="2e99710bcfca4547198ea1e44c3f5211b35ce2bdfb327f61a67654ba5a3d5832" dmcf-pid="W1oXvnvmCv" dmcf-ptype="general"><strong>디지털데일리는 [K-보안 주권] 기획 시리즈를 통해 한국이 서 있는 보안 현주소와 향후 나아갈 방향을 짚어본다. 대한민국이 'AI 3대 강국'을 넘어 사이버 방위의 핵심 축인 '보안 주권(소버린 시큐리티)'을 확보하기 위해 필요한 과제와 방향성을 살펴보고 국내 보안 기업과 관계자, 전문가들이 현장에서 말하는 한국의 경쟁력과 미래 전략을 알아본다. <편집자></strong></p> <figure class="figure_frm origin_fig" contents-hash="ab905c710f721aff6fa55258dfa27497d2e01f1654fa7c3d9426394ee492148f" dmcf-pid="YtgZTLTsyS" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202607/03/552796-pzfp7fF/20260703060017147mvxb.jpg" data-org-width="640" dmcf-mid="xgUge0e4ly" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202607/03/552796-pzfp7fF/20260703060017147mvxb.jpg" width="658"></p> </figure> <p contents-hash="5d53e0f592b2a79af4ad3f611c6da7109349bf9627b3e34ecccdb1ac0d95e4b3" dmcf-pid="GGdyIRIkWl" dmcf-ptype="general">[디지털데일리 박재현기자] <strong>"공공 보안관제 발주 중에는 소프트웨어(SW) 대가 산정 가이드가 정한 적정 대가의 42% 수준으로 나온 사례도 있었다."</strong></p> <p contents-hash="f60c149ce902cc92a4141bb8cf2a9fb701c2b2b17816b678063bcdf86e9252e3" dmcf-pid="HHJWCeCESh" dmcf-ptype="general">이석준 가천대 교수는 <디지털데일리>와의 인터뷰에서 국내 보안 정책의 가장 큰 문제로 조달 구조의 왜곡을 지목했다. 예산 규모보다 그 예산이 제대로 쓰일 수 있는 구조가 선행돼야 한다는 설명이다. 조달·책임·거버넌스를 함께 손보지 않으면 투자를 늘려도 현장에 닿지 않는다고 말했다.</p> <p contents-hash="c27080e612c5a866cba075eb6d1bef568a820fccbbc5f20e0c9a4c503bdff082" dmcf-pid="XXiYhdhDvC" dmcf-ptype="general"><strong>◆ "보안 사고 한 건이 공급망 전체를 흔든다"…발주는 적정가의 42%</strong></p> <p contents-hash="5942e29473346081b86fe9b084405b54b29bca60151c7e30ff0b5551e6b48906" dmcf-pid="ZZnGlJlwTI" dmcf-ptype="general">핵심 인프라 보안의 경제적 가치를 산정하려면 두 가지를 봐야 한다. 사고 발생 시 손실 규모와 예방 투자 대비 효과다. 이 교수는 이 중에서도 진짜 비용은 간접 손실이 직접 손실보다 훨씬 크다는 게 이 교수의 핵심 진단이다.</p> <p contents-hash="37d059c9c14e86a9693d3ddd283e808c4c5a4a9e486e82a88904713f57aeb54c" dmcf-pid="55LHSiSrTO" dmcf-ptype="general">2021년 미국 콜로니얼 파이프라인 침해 사태가 대표 사례다. 단일 기업의 사고 하나가 미국 동부 전역의 연료 공급을 5일간 끊어놨다. 2024년 체인지 헬스케어 사고는 그 격차를 더 극명하게 보여준다. 모회사 UHG의 직접 손실은 약 28억7000만달러였는데, 의료 생태계 전반으로 번진 청구 손실은 3주 만에 63억달러를 넘었다.</p> <p contents-hash="305748a838a29ff77315e4e10225c70372a967c55a5e4eee2ee79bb4e6b2ba00" dmcf-pid="11oXvnvmTs" dmcf-ptype="general">이 교수는 "재난경제학의 투입-산출 분석에 따르면 인프라 중단의 간접 손실은 직접 손실의 수 배에서 수십 배에 달할 수 있다"고 말했다. 직접 손실만 놓고 봐도 규모는 작지 않다. IBM '데이터 침해 비용 보고서 2024'가 집계한 글로벌 평균 침해 비용은 488만달러(약 66억원)다. 에너지·금융·의료 분야는 이 평균보다 40~80% 높다.</p> <p contents-hash="78e5ff26b880f9855b2506aa507bab4e125853238392d6c7b24cd0ddc63b1bf0" dmcf-pid="ttgZTLTsTm" dmcf-ptype="general">다만 그는 "간접 손실은 통계로 정확히 산출하기 어려운 만큼, 사회적 공황 비용이 과장되거나 무시되지 않는 수준에서 평가돼야 한다"고 단서를 달았다.</p> <p contents-hash="9f5ad0634e546f19e8de9742948a6af5fd817b49b58a52acea09907ca8bfc384" dmcf-pid="FFa5yoyOTr" dmcf-ptype="general">문제는 이렇게 큰 손실 위험이 존재하지만, 국내 공공 조달 상황은 거꾸로 간다는 점이다. 소프트웨어(SW) 대가 산정 가이드는 보안관제 서비스비를 직접인건비·제경비·기술료·직접경비로 계산하도록 정해뒀다. 업계는 이 가이드에 따른 최소금액(100% 기준)을 발주 기준으로 요구한다.</p> <p contents-hash="d86d2df60f243096ad8f8122e0ec24c8f389ea159b1621a7832edb1043a04700" dmcf-pid="33N1WgWISw" dmcf-ptype="general">이 교수는 "SW 대가 산정 가이드 내 보안관제 서비스비를 준수하는 공공 보안관제 사업을 발주한 곳은 단 한 곳도 없었고, 최소금액의 42% 수준으로 발주를 낸 기관도 있었다"고 지적했다.</p> <p contents-hash="a1d196c7fd99a8b2cfffdda579df90d57019f648103bfd5dca5638d5ff51384f" dmcf-pid="00jtYaYCWD" dmcf-ptype="general">여기에 긴축 재정까지 겹쳤다. 행정안전부 통계상 2023년 공공부문 정보화 사업 예산은 3조5967억원으로 전년(4조327억원) 대비 16.88% 줄었다. 유지보수 비용을 낮게 책정하는 관행과 소프트웨어의 무형 가치를 인정하지 않는 관행도 같은 맥락에서 나온다.</p> <p contents-hash="5a0271913dcc3d6a002d00e81697968f17d5c0240d3095781cbd771a0b2a3022" dmcf-pid="pVCKUOUZCE" dmcf-ptype="general">공공 SW 사업의 유지보수 요율은 통상 개발 원가의 10~15% 수준인데, 지속적인 보안 패치와 취약점 대응 비용을 반영하기엔 턱없이 부족하다. 하드웨어 단가가 오르면 SW 가격을 깎아 총액을 맞추는 일 역시 비일비재하다.</p> <p contents-hash="0405350b7bfeb07c84de7772f5a2068682a790c922ecc9a736ff0b32acaa9418" dmcf-pid="Ufh9uIu5vk" dmcf-ptype="general">다만 2022년 SW 사업대가의 제경비가 30여 년 만에 30%p오른 것은 그동안의 저평가를 뒤늦게 보완한 조치로 평가된다.</p> <p contents-hash="f0ac7fd0625107cc2df3f9053d61ae1178251f31c2d3df9485daf74147a178e6" dmcf-pid="u4l27C71lc" dmcf-ptype="general"><strong>◆ "기술평가 90 대 10으로"…CEO 책임 법제화·KISA 독립성 확보 시급</strong></p> <p contents-hash="fc7fc5d7b77b7cd2303ce00c456688f21af9ce757d30e7c33c1992a53c779c4a" dmcf-pid="78SVzhztTA" dmcf-ptype="general">이 교수가 가장 먼저 꺼낸 처방은 조달 방식 자체를 바꾸는 것이다. 보안 사업의 평가 비중을 기술 90: 가격 10 수준으로 조정하고, 국가계약법 시행령에 정보보호 사업의 최저가 낙찰 예외 조항을 명문화해야 한다는 설명이다.</p> <p contents-hash="46c6bc28982f590dc3d522ecc87db067888f70ce3269c3961d31261fab1d829a" dmcf-pid="z6vfqlqFlj" dmcf-ptype="general">참고 모델로는 미국 연방조달청(GSA)을 들었다. GSA는 제로트러스트, CDM APL, 페드램프(FedRAMP) 등 특정 보안 인증을 만족하는 솔루션만 조달 목록에 등록해 보안 서비스 전용 트랙을 따로 운영한다.</p> <p contents-hash="e307010e42dcb39cc05e549d10637c22e082683fbb2ec46979514b34760b4bf7" dmcf-pid="qPT4BSB3TN" dmcf-ptype="general">국내에도 비슷한 구조가 필요하다는 것이 그의 판단이다. 조달청 다수공급자계약의 2단계 경쟁 기준 금액을 정보보호 제품군에 한해 올리거나, 우수제품 지정 제도에 중소기업 보안제품이 더 진입할 수 있도록 문턱을 낮추는 방안을 제시했다. 조달 목록에 등록된 보안 제품을 쓰는 기업에는 보험이나 세제 혜택을 주는 방안도 함께 거론했다.</p> <p contents-hash="54c99b34fa48ef97a8c15464236755125059f0c86e56d1c9d54104e12109875b" dmcf-pid="BQy8bvb0ha" dmcf-ptype="general">조달을 고쳐도 사고 책임 구조가 그대로면 실무자만 위축된다. 그는 롯데카드 사례를 들며 "권한이 많지 않은 CISO와 보안 실무자에게 책임을 묻는 인적 제재는 보안 분야 기피를 가속화한다"고 말했다.</p> <p contents-hash="75cca5ee4899b6f6d1d23310d39bd58fd1ff20a8b22388a4e291063cca673c7d" dmcf-pid="bxW6KTKpSg" dmcf-ptype="general">2023년 발효된 EU NIS2 지침은 필수 기관과 중요 기관을 구분해 이사회 수준의 사이버보안 책임을 명시하고 있다. 국내도 이를 참조해 사고 발생 시 CEO에게 책임을 물을 수 있도록 법제화해야 한다는 것이다. CISO의 이사회 보고를 의무화하고 독립적인 예산 편성 권한을 줘야 한다는 점도 함께 강조했다.</p> <p contents-hash="c294f332bab133383eff5506ce74afd6841a053c53b7420f4547665a713ee4d6" dmcf-pid="KMYP9y9Uvo" dmcf-ptype="general">사이버보험 가입을 조달 요건이나 인센티브로 연계하고, ISMS-P·CC(국제공통평가기준) 인증 취득 기업에 가점과 비용을 지원하는 방안도 제안했다.</p> <p contents-hash="461a91cbb244162e13dc599cace183e44ddd3a11c6be8fe0ffc54f6933cfa0bc" dmcf-pid="9RGQ2W2uyL" dmcf-ptype="general">KISA와 국가보안기술연구소의 기술 자율성 확보도 시급하다. 이 교수는 미국 NIST가 정치적 간섭 없이 사이버보안 프레임워크와 양자내성암호 표준을 주도해 국제적 권위를 확보한 사례를 참조점으로 들었다.</p> <p contents-hash="af736e2447880232aeb401ef06d123db10085bb87ffe2f2d6b325022c4802f4e" dmcf-pid="2eHxVYV7Cn" dmcf-ptype="general">이 교수는 "부처 종속 구조에서 벗어나 연구 독립성과 전문성에 기반한 책임 거버넌스 체계를 법제화해야 한다"고 강조했다. 두 기관이 부처의 성과 발굴을 위한 정책 지원 기관에 머물면 오히려 민관 협력과 정보 공유에 방해가 될 수 있다는 우려도 존재한다. 이 구조를 뒷받침할 법적 기반도 아직 없다. 사이버안보 기본법이 거듭 발의됐다가 폐기·계류를 반복하면서, 컨트롤타워 기능도 민관 협력 체계도 제도적 근거 없이 겉돌고 있는 상황이다.</p> <p contents-hash="0a22fa71103e9ebde6553e7b4db56b9b05d668ee6191dc2484514b59a2730355" dmcf-pid="Vc7NJUJ6Si" dmcf-ptype="general"><strong>◆ 범용 시장 대신 OT·공급망 보안 틈새로 승부해야</strong></p> <p contents-hash="86ca839c7233383a9f0b17cadcf06ba05ef42b24f4239a6d07d75b071b0e1027" dmcf-pid="fkzjiuiPCJ" dmcf-ptype="general">해외 전략에서는 정면승부를 피해야 한다고 봤다. 범용 보안 솔루션 시장에서 MS·팔로알토·크라우드스트라이크 같은 글로벌 빅테크를 상대로 싸우기는 쉽지 않다는 것이다. 대신 운영기술(OT)·CPS 보안, 산업 특화 AI 보안 탐지 같은 고부가가치 틈새 시장에 집중해야 한다고 했다.</p> <p contents-hash="b3b60b57830e525de13500460a773db358b61da62fb89e4b2864f490d221fd5e" dmcf-pid="4EqAn7nQvd" dmcf-ptype="general">특히 소프트웨어 자재 명세서(SBOM) 기반 공급망 보안을 국내 제조업의 강점과 결합할 수 있는 유망 분야로 꼽았다.</p> <p contents-hash="edadcd251232be9e3698b911a6f08f4832b4500d3c6496903d250cafed229693" dmcf-pid="8DBcLzLxCe" dmcf-ptype="general">해외 시장 진입을 위한 선결조건으로는 인증을 꼽았다. SOC 2 타입 II, ISO 27001, 페드램프, IASME(영국) 등 수출 대상국이 요구하는 인증을 선제적으로 취득하고, CC EAL 인증으로 나토·EU 시장 진입을 노려야 한다는 것이다.</p> <p contents-hash="7a487db1ed3ec23225e0b55313206a6f321c847aadaf362f3b98c1a428e51065" dmcf-pid="6wbkoqoMWR" dmcf-ptype="general">정부에는 초기 시장을 열어주는 역할을 주문했다. 공공이 첫 번째 고객이 돼 국내 기업의 첫 레퍼런스를 만들어주고 이를 적극 홍보하며, 사례가 쌓여 시장이 형성되면 조달 패스트트랙으로 이어져야 한다는 것이다. 이 과정에서 글로벌 제품과 단가·요구사항을 이유로 국내 기업을 차별하지 말아야 한다는 점도 강조했다.</p> <p contents-hash="11f51a36be49c17bc6705a63e321968963fbac7437290db6da0f2d4c96ad62f6" dmcf-pid="PrKEgBgRCM" dmcf-ptype="general">해외 진출 지원 방안으로는 코트라(KOTRA)와 정보보호산업협회(KISIA)를 통한 해외 전시·인증 비용 지원 확대, 정부 간 사이버 협력(MOU) 체결 시 국내 기업의 현지 진출 연계를 제시했다.</p> <p contents-hash="0586681bca46ffafe9fbc8b01fc8180a4508465de8e57295afb932a703a4fa3c" dmcf-pid="Qm9Dabaeyx" dmcf-ptype="general">민간을 향해서는 사업 방식 전환을 주문했다. 이 교수는 "단발성 구축 사업에서 관리형 탐지·대응(MDR)·관리형 보안서비스(MSSP) 같은 구독형 서비스로 전환하고, 서비스수준협약(SLA) 위반 시 책임을 명확히 하는 계약 문화를 정착시켜야 한다"고 말했다.</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p> 관련자료 이전 카카오 “AI보다 ‘이용자 신뢰’ 우선” 07-03 다음 [산업 하프타임] ① 겉은 호황 속은 노조 몸살…삼성·SK 하반기 호남 투자 앞둔 '리스크' 07-03 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
