배경훈 부총리 겸 과학기술정보통신부 장관이 23일 국회 종합감사에서 “정부 차원에서도 문제의식을 굉장히 심각하게 생각하고 있다”며 “범정부 사이버 보안 종합 대책을 마련하겠다”고 밝혔다.
정부의 이번 조치는 노후 시스템 방치와 투자 지연으로 결함을 제때 개선하지 못하는 보안 부채 문제가 불거진 데 따른 것이다. 사이버보안 스타트업 맬러리에 따르면 전 세계 인터넷에 노출된 서비스 가운데 지원이 끝난 PHP 8.1 이하 버전의 비율은 73.5%에 이른다.
웹 개발 언어인 PHP에서 결함 2건이 확인돼 수정 패치가 배포됐으나, 노후 시스템을 쓰는 다수 현장은 비용 부담과 전문 인력 공백 탓에 조치를 취하지 못했다. 특히 자체 IT 인력이 없는 중소기업과 소상공인은 소스코드 수정 역량이 부족해 위험에 노출되는 실정이다.
해외 주요국은 노후 시스템 관리를 제도화하고 있다. 미국 사이버보안·인프라보호청(CISA)은 연방 기관에 최소 7일 간격의 자동 자산 탐색과 14일 주기의 취약점 점검을 의무화했다. 영국 정부도 기술부채와 노후 시스템 예방 지침을 두고 노후화 예방계획 수립과 관리 책임자 지정, 업그레이드 재원 확보를 규정했다.
이원태 국가AI전략위원회 보안특별위원장(국민대 특임교수)은 “구형 소프트웨어와 유지보수 책임자가 사라진 코드가 쌓인 환경에서는 패치가 나와도 호환성 검증과 서비스 중단 우려 때문에 적용이 지연될 수 밖에 없다”며 “대안은 '패치를 빨리 하라'는 주문을 넘어, 신속하게 고칠 수 있는 운영체계를 제도화하는 것”이라고 설명했다.
강정민 고려대 교수는 “궁극적으로 필요한 건 사람과 AI가 협업하는 방어 체계가 실제 공격 상황에서 안정적으로 작동하는지 검증하는 훈련”이라며 “앞으로는 단순히 공격을 얼마나 잘 막느냐보다, 침해를 당한 상태에서도 서비스를 얼마나 안정적으로 유지하느냐가 AI 시대 보안의 진짜 경쟁력”이라고 제언했다.
