해킹 대응, CISA·NCSC는 신고 창구부터 갈랐다

미국은 복구와 수사를 왜 두 기관에 나눴나

미국에서 대형 해킹이 터지면 일은 두 갈래로 갈립니다. 국토안보부 산하 사이버보안·인프라보안청(CISA)은 피해 시스템을 지키고 복구를 돕습니다. 주요 기반 시설의 위험을 분석하고 위협 정보를 퍼뜨리는 일도 맡습니다.

연방수사국(FBI)은 범죄 수사와 증거 수집, 공격 주체를 밝히는 일을 합니다. 시스템을 정상으로 돌리는 일과 공격자를 쫓는 일을 다른 기관에 맡기고, 그 과정에서 얻은 정보만 공유하는 구조입니다.

갈라놓기만 하면 기관끼리 따로 놀기 쉽습니다. 그래서 미국은 CISA를 중심으로 합동 사이버 방어 협의체(JCDC)를 운영합니다. 정부기관과 민간 기업, 우방국 파트너가 위협 정보를 나누고 공동 대응하는 자리입니다.

여기서 읽어야 할 것은 조직도의 크기가 아닙니다. 복구하는 쪽과 수사하는 쪽의 목적이 다르다는 점을 인정하고, 둘을 잇는 장치를 따로 두었다는 점입니다.

영국 NCSC는 왜 스스로 규제기관이 아니라고 말하나

영국의 국가사이버보안센터(NCSC)는 정보통신본부(GCHQ) 산하에서 위협을 분석하고 기술을 지원합니다. 피해 기업이 정부 관계기관과 협의하도록 돕고, 사고 대응 전문기관도 이어 줍니다.

NCSC는 규제기관이 아닙니다. 개인정보 침해를 감독하는 곳은 정보위원회실(ICO) 등입니다. NCSC에 신고하면 기술 지원을 받을 수 있지만, 다른 법률이나 규제상의 신고 의무까지 이행한 것으로 인정되지는 않습니다.

법정 신고 대상 개인정보 침해는 원칙적으로 인지한 뒤 72시간 안에 ICO에 따로 신고해야 합니다. 창구가 둘이라 번거로워 보이지만, 도움을 청하는 문과 처벌을 받는 문을 일부러 떼어 둔 것입니다.

이 설계는 기업의 계산을 바꿉니다. 기술 지원을 받으러 갔다가 곧바로 처벌 절차에 들어가지 않는다면, 사고를 숨길 이유가 줄어듭니다. 이 글은 그 점이 영국 모델의 핵심이라고 봅니다.

KT는 신고를 덮은 대가를 얼마나 치렀나

영국식 분리가 왜 필요한지는 한국 사건에서 거꾸로 확인됩니다. KT는 2024년 3월 서버 침해 정황을 정부에 신고하지 않았고, 로그를 지운 뒤 조사에서 허위 진술까지 했습니다. 이 때문에 과징금과 별개로 고발 사유가 됐습니다.

개인정보보호위원회는 2026년 7월 29일 전체회의에서 KT에 539억 7,900만 원의 과징금을 의결했습니다. 유출자는 1만 6,647명이었고, 해커는 분실된 펨토셀 인증서를 복제해 약 11개월 동안 내부망에 머물렀습니다.

실제 금전 피해는 368명, 약 2억 4,000만 원의 무단 소액결제였습니다. 피해액에 비해 처분이 큰 데에는 은폐가 크게 작용했다고 볼 수 있습니다. 사고를 당한 것보다 숨긴 것이 더 무거워진 사례입니다.

앞선 처분과 견주면 규모감이 잡힙니다. SK텔레콤은 2025년 8월 1,347억 9,100만 원을 부과받아 당시 역대 최대였고, 쿠팡은 6,246억 원으로 세 건 중 가장 큽니다. 매출 대비로는 쿠팡 1.8%, SK텔레콤 약 1%, KT 약 0.8%입니다.

일본은 총리 아래에서 무엇을 모으나

일본은 미국·영국과 반대 방향으로 갔습니다. 지난해 7월 내각사이버보안센터(NISC)를 개편해 국가사이버통괄실(NCO)을 발족했고, 사이버보안전략본부장을 관방장관에서 총리로 올렸습니다. 참여 범위도 전 각료로 넓혔습니다.

NCO는 사이버 정책의 종합 조정과 정부 정보시스템의 부정한 활동에 대한 감시·분석을 맡습니다. 기관 사이의 조율이 막히면 총리 결재라는 마지막 수단이 있는 구조입니다.

요즘 일본이 힘을 싣는 곳은 정보 수집입니다. 일본 언론 보도에 따르면 정부의 긴급 대책안에는 미국 빅테크 등에서 미공개 취약점 정보를 일찍 확보하는 체계가 담겼습니다. 취약점이 공개되기 전에 전력·통신 같은 기반 시설에 미칠 영향을 따져 대응 시간을 벌겠다는 구상입니다.

NCO는 특정 기업의 피해만이 아니라 다른 기업으로 번질 가능성까지 분석합니다. 보안업체와 클라우드 기업을 능동적 사이버 방어 관련 민관 협의회에 참여시키는 방안도 포함됐습니다. 현장 정보를 가진 쪽을 대응체계에 연결하려는 시도입니다.

법적 뼈대도 있습니다. 능동적 사이버방어법은 2025년 5월 16일 의결됐고, 단계적으로 2027년까지 전면 시행됩니다. 민관 정보공유, 통신 정보 활용, 공격 인프라 무력화, 조직 정비의 네 축입니다. 통신의 비밀을 침해할 수 있다는 비판도 따라붙습니다.

조직을 만들어 놓으면 정보는 저절로 모이나

미국의 경험은 낙관을 막아 줍니다. 민간이 위협 정보를 정부나 서로 나눌 때 책임을 면해 주고 정보공개 대상에서도 빼 주는 사이버보안정보공유법(CISA 2015)은 2025년 10월 1일 정부 자금이 소진되면서 효력이 끝났습니다.

상원의 랜드 폴 의원 등이 피터스 의원의 10년 연장안을 여러 차례 막았습니다. 피터스 의원은 이 보호 장치가 없으면 극도로 취약한 상태라고 경고했습니다. CISA와 JCDC라는 조직은 그대로인데 공유의 법적 토대가 흔들린 것입니다.

기업이 정보를 내놓는 이유는 조직도가 아니라 면책입니다. 공유했다가 소송이나 공개 위험을 질 수 있다면 입을 닫습니다. 그래서 컨트롤타워를 논할 때 상자 그림만 그리면 절반만 다룬 것입니다.

이후 연장이나 재승인이 있었는지는 이 글에서 확인하지 못했습니다. 미국 모델을 참고하려는 쪽이 따져 볼 것은 현재 이 면책 장치가 어떤 상태인지입니다.

한국 컨트롤타워는 어디에 앉아야 하나

한국에서는 국가정보원, 과학기술정보통신부, 개인정보보호위원회, 한국인터넷진흥원(KISA), 경찰이 확보한 정보를 공유하고 대응 방향을 빠르게 조율할 범정부 체계가 필요하다는 제언이 나옵니다.

위정현 중앙대 가상융합대학 학장은 "정치적 중립을 전제로 해외 정보 수집·조사 기능을 갖춘 국정원이 주도적으로 관계기관 간 협의와 조정에 나서는 기구를 마련하는 방안을 검토할 필요가 있다"고 말했습니다. 다만 기존 기관과 업무가 겹치는 옥상옥은 피해야 한다고 덧붙였습니다.

최경진 한국정보법학회장은 민간의 취약점 발굴에 인센티브를 주고, 빠른 취약점 공유와 대응을 제도화해야 한다고 제언했습니다. 일본의 선제 공유 구상과 미국의 면책 문제가 한 장면에서 만나는 지점입니다.

이 글의 판단은 이렇습니다. 어디에 둘지보다 그 기구가 기업에게 도움을 청하는 곳으로 보이느냐, 처벌하는 곳으로 보이느냐가 더 중요합니다. 정보기관과 규제기관의 역할이 한 지붕 아래 섞이면 KT 같은 은폐 동기가 되살아날 수 있습니다.

투자자에게는 비용의 문제로 닿습니다. 사고를 당한 기업이 과징금과 보상, 시정조치를 먼저 부담합니다. 신고 체계나 취약점 공유 의무가 강화되면 통신·카드·유통 기업의 대응 비용이 늘 수 있고, 보안업체와 클라우드 기업에는 공공 수요가 생길 수 있습니다. 주가에 미치는 영향은 따로 확인된 바 없습니다.