본문은 총 3개 섹션으로 구성돼있으며, 뉴스레터에서는 요약문을 제공합니다. 각 섹션 하단 링크를 통해 시선AI 홈페이지에 게재된 전문을 보실 수 있습니다. 이용에 참고하시기 바랍니다.
* All or most images were created using AI tools (ImageFX, ChatGPT, Gemini, etc.).
Policy Briefing
제로트러스트 가이드라인 2.0 "이제는 실전이다!"
과학기술정보통신부는 한국인터넷진흥원(KISA)과 함께 인공지능 전환(AX)에 따른 사이버 위협 고도화 대응을 위한 '정보보호 신기술 지원사업'을 추진 중입니다. 지난 2월 과기부는 올해 총 135억원을 투입해 4개 사업, 19개 과제를 지원한다고 밝힌 바 있는데요. 이는 보안의 중요성과 보안 강화의 필요성을 시사하고 있습니다. 중점 사업은 ▲AI 보안 유망기업 육성(20억원) ▲제로트러스트 도입·실증(35억원) ▲통합보안 모델 개발(9억원) ▲AI 응용제품 신속 상용화(보안·70억5000만원)로 구성됩니다. AI와 제로트러스트 보안 모델의 육성과 신속한 상용화에 대한 정부의 강력한 의지로 해석됩니다.
특히 '제로트러스트'가 눈에 띕니다. 이제 보안 업계에서는 절대로 빠질 수 없는 개념이자 키워드라고 할 수 있죠. 제로트러스트(Zero-Trust)는 '절대 신뢰하지 말고, 항상 검증하라(Never Trust, Always Verify)'는 원칙을 기반으로 하는 차세대 보안 모델입니다. 과기정통부는 2023년 '제로트러스트 가이드라인 1.0'을 통해 이 개념의 기본 원리와 필요성을 제시한 데 이어, 2024년 12월 '제로트러스트 가이드라인 2.0'을 발표하며 실제 기업 환경에서 실질적 활용이 가능한 지침으로 확장했습니다.
공공의 안전을 지키는 국가 망 보안체계(N2SF)
공공기관 전산망도 강력한 보안 체계로 무장하고 있습니다. 국가정보원은 지난해 1월 새로운 보안 패러다임인 '국가 망 보안체계(National Network Security Framework, 이하 N2SF)를 초안(Draft)를 발표한 데 이어, 같은 해 9월 국제 사이버안보 행사 '사이버 서밋 코리아(CSK) 2025'에서 N2SF 보안 가이드라인 1.0 정식 버전을 완성했다고 밝혔습니다. 초안 배포 후 현장 피드백을 반영해 보완·확대한 완성본입니다.
N2SF는 AI, 클라우드, 생성형 AI 활용 등 공공 부문의 신기술 도입을 촉진할 수 있는 보안 체계로 평가되고 있습니다. 인터넷 단말에서의 문서 편집, AI 및 SaaS 환경 활용 등 다양한 정보 서비스 모델이 제시돼있어 각 기관의 디지털 전환과 실무 적용의 단계적 추진을 지원합니다. 특히 N2SF가 제로트러스트 보안 아키텍처를 수용할 수 있는 구조적 기반을 제공한다고 알려지면서 보안 업계의 관심도 집중되고 있습니다.
대북 정보수집 활동을 하는 군 비밀요원 정보를 중국에 유출한 전 국군정보사령부 군무원에게 징역 20년과 벌금 10억원, 추징금 1억 6205만원이 선고된 사실이 올해 초 언론을 통해 보도됐습니다. 해당 군무원은 2017년 중국 정보요원으로 추정되는 인물에게 포섭돼 2019년부터 여러 차례 돈을 받고 군사 기밀을 유출한 혐의로 2024년 8월 구속 기소됐으며, 지난해 12월 형이 확정됐는데요. 이번 판결은 군사기밀 유출 사건에 대해 형량을 높게 적용하고, 벌금형·추징까지 부과하는 선례로 자리잡을 가능성이 크다는 점에서 주목받고 있습니다.
국가 핵심기술과 관련된 영업비밀을 무단 반출하려던 국내 바이오社 전 직원에게는 징역 3년형이 선고된 사례도 있었습니다. 이 직원은 2022년 12월부터 열흘간 A4 용지 3700여 장 분량의 SOP(표준작업지침서) 등 영업비밀을 몰래 반출하려다가 보안요원에 현행범으로 체포돼 경찰에 인계됐으며, 반출하려 한 자료에는 국가 핵심기술도 포함된 것으로 알려졌습니다. 항소심에서 집행유예로 변경되긴 했으나, 유죄 판결이라는 점은 달라지지 않았습니다.
군사기밀과 같은 국가 안보 관련 정보 유출에 대해 중형이 선고되는가 하면, 민간 기업의 영업비밀, 국가 핵심기술 유출 범죄에 대해서도 실형이 선고되는 등, 정보·기술 유출 범죄에 대한 처벌이 강력해지고 있습니다.
지난해 과기부는 '범정부 정보보호 종합대책' 발표 후 주요 기업 최고정보보호책임자(CISO)들과 간담회를 열고 보안 역량 강화 방안을 논의했습니다. 이 자리에서 정부는 정보보호 책임자에게 IT 자산 전체에 대한 통제권을 부여하고, 이사회 보고 의무화 등 역할 강화 방향을 명시했습니다. 이에 따라 기업 내 보안 책임자의 권한과 역할이 제도적으로 확대될 가능성이 높아졌습니다.
과징금 현실화 및 보안 공시 확대가 기업에 주는 메시지는 '경영 리스크 관점에서 보안의 중요성'이라고 할 수 있습니다. 이와 동시에 보안 전담 조직과 보안책임자의 역할·권한 확대는 더 이상 선택의 문제가 아니라 구조적 변화의 방향으로 자리잡고 있습니다. 기업은 보안 전담 조직을 단순히 기술 이슈로 보안을 처리하는 조직이 아니라, 경영 전략 차원에서 보안 거버넌스 조직으로 전환해야 할 시점에 놓여있습니다.
