2019-09-21 18:05 (토)
[김승주 칼럼] 군의 첨단 무기체계가 사이버 공격으로부터 안전하려면
상태바
[김승주 칼럼] 군의 첨단 무기체계가 사이버 공격으로부터 안전하려면
  • 길민권 기자
  • 승인 2017.08.25 08:42
이 기사를 공유합니다

▲ 고려대학교 정보보호대학원 김승주 교수
▲ 고려대학교 정보보호대학원 김승주 교수
북한의 미사일 발사 위협으로 한반도에 긴장감이 고조되는 지금 사이버 공격을 통해 이를 무력화시킬 수는 없을까?

다소 허황되게 들릴법한 이 얘기가 실제로 일어났으니 미국의 <레프트 오브 론치(Left of Launch : 발사의 왼편이란 뜻으로 미사일이 발사되기 전 준비단계에서 이를 무력화하는 것을 의미함) 작전>이 바로 그것이다. 지난 3월에 이를 처음 보도한 미국 뉴욕타임스(NYT)에 따르면 오바마 행정부는 2013년 2월 북한의 3차 핵실험 이후 이를 저지하기 위한 공격 프로그램 개발에 들어갔으며, 실제로 이것의 영향 때문인지는 모르겠으나 이 작전이 시작된 이후에 북한의 미사일 발사 실패 확률이 "비정상적으로 높아졌다"고 밝혔다. 실제로 전문가들은 북한의 미사일 제조 과정상의 공급망 보안(Supply Chain Security) 허점을 노리거나, 세계 최대의 방위산업체중 하나인 영국 BAE시스템스(British Aerospace Systems)가 개발한 Suter와 같은 것들을 이용하면 <레프트 오브 론치>가 불가능한 것만은 아니라고 입을 모은다.

그런데 문제는 이것이 북한에만 국한된 얘기가 아니라는 것이다. 재래식 무기와 달리 최근 개발되고 있는 첨단 무기들은 여러 네트워크와 연결되어 있기에 해킹을 비롯한 각종 사고에서 자유로울 수 없다.

실제로 미국 국방부의 정보보호책임자는 최근 한 언론과의 인터뷰에서 “모든 무기 도입에 있어서 사이버 보안에 대한 고려가 반드시 선행되어야 한다”고 말한바 있으며, 영국의 ‘영미안보정보협의회(BASIC : British American Security Information Council)’는 지난 6월 발간한 <영국의 전략무기용 핵잠수함에 대한 해킹 위협 보고서(Hacking UK Trident : A Growing Threat)>에서 “핵잠수함과 같이 진보된 무기시스템들은 이미 너무나도 많은 컴퓨터 시스템들에 의존하고 있으며, 망 분리가 되어있다고는 하나 이는 제조 단계, 소프트웨어 업데이트 과정 등에서 얼마든지 쉽게 우회가 가능하다. 이에 영국 정부는 조속히 첨단 무기 시스템들에 대한 사이버 공격에 철저히 대비해야 한다”고 밝혔다.

늦었지만 우리 군도 합동참모본부를 중심으로 국군기무사령부, 국군지휘통신사령부, 사이버사령부, ADD, 고려대 등과 함께 첨단 무기 체계에 대한 보안대책 마련에 나서는 모양새다.

<국방사이버안보훈령>에 따르면 우리 군은 사이버작전을 “특정 목표 달성을 위해 사이버영역 내부에서 또는 사이버영역을 이용하여 사이버능력을 운용하는 군사작전”이라고 규정하고 있다. 또한 사이버무기는 “사이버작전수행에 직접 운용되거나 훈련용으로 운용하는 장비, 부품, 소프트웨어 등으로서, 사이버영역의 감시·정찰, 사이버작전 지휘통제 및 능동적 대응을 위한 장비·부품·소프트웨어 또는 사이버전 훈련을 위해 운용되는 모의공격체계, 모의훈련모델, 훈련용 장비·시설 등”으로 정의하고 있다. 이를 다른 말로 하면, 사이버무기는 네트워크와 연결된 모든 무기체계를 의미하는 것으로서, 세부적으로 보면 C4I 등의 전술지휘자동화체계, 무인기 및 군 위성통신과 같은 통신체계, 기타 휴대용·차량용 각종 유·무선 통신장비 및 워게임 모델 등이 모두 이에 해당된다.

그런데 문제는 이렇듯 사이버무기의 범위가 무척 넓고 포괄적임에도 불구하고 우리 군의 사이버무기 개발 및 시험·평가 체계는 아직 명확하지 않으며, 관련 연구 또한 매우 부족하다는 것이다.

미국의 경우 이미 오래전부터 사이버무기에 대한 고등급(Common Criteria 표준을 기준으로 했을때 EAL5 등급 이상) 보안성 시험·평가 기술 개발 및 관련 전문인력 양성에 막대한 예산을 투입해 오고 있으며, 특히 2015년에는 <사이버공격에 대응할 수 있는 무기체계 획득을 위한 사이버보안 시험·평가 가이드라인(Cybersecurity Test and Evaluation Guidebook)>을 발표하기도 했다.

미 국방부의 사이버무기 시험·평가 체계의 특징을 요약해 보면, △우선 기존 재래식 무기에 대한 시험·평가 및 획득 체계와 사이버무기의 시험·평가 체계가 서로 단독으로 구성되어 있는 것이 아니라 위험관리프레임워크(Risk Management Framework)를 기반으로 서로 유기적으로 맞물려 있으며, 더 나아가 Common Criteria 등과 같은 기존 시험·평가 결과를 최대한 재활용할 수 있도록 되어있다. △둘째로 단순히 보안(security) 관점에서만 장비를 평가하는 것이 아니라 신뢰성(trustworthiness) 관점에서 보안을 포함한 여러 요소들을 종합적으로 평가한다. △셋째로 평가 과정이 실험실에서 장비의 신뢰성을 시험·평가하는 개발시험평가(DT&E: Developmental Test and Evaluation) 단계와 실제 운용환경에서 시험·평가하는 운용시험평가(OT&E: Operational Test and Evaluation) 단계로 이원화 되어 있으며, 특히 이때 Cyber Range가 테스트베드로 적극 활용된다. 또한 운용시험평가는 제품의 수명이 다할 때까지 지속적으로 이루어진다. △끝으로 최근에는 고등급 합성평가(Secure Composition of Components) 기술 및 평가 자동화 도구 개발에 역량을 집중하고 있으며 조만간 시범사업도 추진할 예정이다.

강건한 군을 위해서 우수한 첨단 무기의 획득 및 운용은 필수이다. 그러나 이같이 진보된 무기시스템들은 거의 대부분이 네트워크와 연결돼 있기 때문에 사이버 공격에 대한 대비를 하지 않으면 실제 전쟁발생시 군의 기능이 마비될 수도 있다. 그러므로 우리 정부도 군의 안정적 작전수행을 위해서는 지금보다 더욱 완벽한 사이버전 대비가 이루어져야 함을 명심하고, 보다 고도화 된 첨단 무기 획득 체계를 조속히 확립하기 위해 노력해야 할 것이다. 글. 고려대학교 정보보호대학원 김승주 교수

★정보보안 대표 미디어 데일리시큐!★