FBI는 북한 지목, 한국 사이버안보법은 19년간 11건 폐기

조선일보에 따르면 미국 연방수사국(FBI)은 31일 바이낸스 해킹의 범행 주체로 북한 해킹 조직 '트레이더트레이터'를 특정했다. 세계 최대 가상자산 거래소인 바이낸스는 29일 63억 달러, 약 8조4000억 원어치 가상자산이 빠져나갔다고 밝혔다. 지난달에는 한국 금융회사들도 잇따라 해킹을 당했다. 이런 공격이 한국 기관을 덮칠 때 누가 지휘할지는 왜 19년째 법으로 정하지 못했을까?

물론 법이 있었다고 바이낸스 해킹을 막았으리라 보기는 어렵다. 바이낸스는 해외 거래소이고, 범인을 특정한 것도 미국 FBI다. 법안들이 정하려는 것은 국내 기관이 공격을 당했을 때 누구에게 알리고 누가 조사하느냐다. 지난달 국내 금융회사들이 당한 해킹이 바로 이런 경우다.

이런 법안은 19년 동안 하나도 국회를 통과하지 못했다. 국회 의안정보에서 가장 이른 것은 2006년 12월 28일 공성진 한나라당 의원안이다. 21대 국회까지 이름에 '사이버'가 들어간 비슷한 법안은 11건이었다. 2017년에 정부가 낸 법안 1건도 여기에 들고, 11건 모두 국회 임기가 끝나 자동으로 폐기됐다.

22대 국회 정보위원회에도 국민의힘 의원들이 낸 세 건이 걸려 있다. 국민참여입법센터에 따르면 유용원·김상훈 의원안은 올해 2월 3일 위원회 안의 작은 심사 모임인 소위원회에서 다뤄졌다. 그 뒤 소위원회가 통과시킨 기록은 없다. 엄태영 의원안은 9월 28일에 나와 아직 위원회 안건으로 오르지 않았다.

법안이 정하려는 것은 사이버 공격 때 지휘를 맡을 기관, 곧 컨트롤타워다. 김상훈 의원안은 대통령 소속 위원회를 두고 국가안보실장을 위원장으로 한다. 실무는 국가정보원(국정원)에 두는 국가사이버안보센터가 맡는다. 공격을 당한 기관은 조사 결과를 국정원장에게 알리게 된다.

법안마다 갈린 것은 국정원에 무엇을 맡기느냐였다. 전자신문에 따르면 21대 국회의 세 법안도 실무 기관을 달리 정했다. 조태용 당시 국민의힘 의원과 김병기 더불어민주당 의원의 안은 국정원을 중심에 뒀다. 반면 윤영찬 더불어민주당 의원의 안은 과학기술정보통신부(과기정통부)에 본부를 두었다. 조선일보는 2일 사설에서 법안이 "민간 사찰 우려와 부처 간 주도권 다툼에 발목 잡혀" 있다고 썼다.

시민단체 쪽은 국정원 권한이 커지면 민간 감시로 이어진다고 반대해 왔다. 참여연대는 2022년 2월 성명에서 "행정기구가 아닌 비밀정보기관에 사이버보안 컨트롤타워의 역할을 부여하는 나라는 없다"고 했다. 오병일 진보네트워크센터 대표는 뉴시스에 "정보수집은 곧 사찰이 될 수 있다"고 말했다. 국정원은 2022년 11월 11일 입장문에서 사찰 가능성을 부인했다.

법이 없는 동안 국정원이 사이버 공격에 대응하는 근거 가운데 하나는 대통령령이다. 국회 의결 없이 대통령이 정하는 사이버안보 업무규정이 그것이고, 2024년 3월에 고쳐졌다. 법률신문에 따르면 올해 5월 시행된 국정원장 지침은 클라우드 업체 같은 민간에도 협조 의무를 지웠다. "정당한 사유가 없으면 그 요청에 따라야 한다"는 문구다.

컨트롤타워를 두고도 정부는 법 대신 대책 발표로 방향을 밝혀 왔다. 배경훈 부총리 겸 과기정통부 장관은 지난해 10월 22일 범부처 정보보호 종합대책 브리핑에서 컨트롤타워 법제화 질문을 받았다. 그는 "지금 법제화는 아직 검토 중입니다"라며 "전반적인 어떤 컨트롤타워는 국가안보실에서 진행할 거고요"라고 답했다. 아이뉴스24에 따르면 그는 지난달 23일 국정감사에서도 "국가안보실의 컨트롤타워 기능을 넘어 범부처 차원의 종합대책을 마련하고 관련 조직도 고민하고 있다"고 했다.

여야 모두 대응을 서두르자고 한다. 윤상현 국민의힘 의원은 1일 "대통령이 직접 범정부 대응체계를 점검해야 한다"고 했다. 한병도 더불어민주당 원내대표는 10월 6일 금융권 해킹을 두고 "금융·공공부문 디지털 안전 확보를 국가 차원의 통합 과제로 격상하겠다"고 말했다.

정부가 답할 물음은 두 가지다. 국가안보실이 컨트롤타워를 맡는 지금 방식을 법으로 정할 계획인가? 정한다면 국정원이 민간 전산망에서 무엇을 볼 수 있고, 그것을 누가 감독하나? 22대 국회 임기가 끝나는 2028년 5월까지 처리되지 않으면 세 법안도 앞의 11건처럼 폐기된다.

컨트롤타워 법안은 19년 동안 11건이 폐기됐다. 국정원이 민간 전산망에서 어디까지 볼 수 있는지는 아직 법으로 정해진 적이 없다.