K-보안 주권: 조달·책임·거버넌스가 만드는 사이버 보안 생태계

서론:

국내 보안 산업에서 "K-보안 주권"이라는 말은 단순히 국산 제품을 더 많이 사자는 구호로 끝나기 어렵다. 실제 쟁점은 공공 조달이 보안 서비스의 적정 대가를 인정하는지, 사고 책임이 실무자 개인에게만 집중되지 않는지, 국가 보안 거버넌스가 민관 협력을 지속적으로 움직일 수 있는지에 달려 있다.

디지털데일리의 2026년 7월 3일자 K-보안 주권 연재는 이 세 축을 하나의 구조 문제로 제시했다. 보안관제 발주가 소프트웨어 사업대가 산정 기준보다 낮은 가격으로 형성되고, 침해사고 이후 CISO와 실무자에게 책임이 쏠리며, KISA와 국가보안기술연구소 같은 전문기관의 독립성과 컨트롤타워 법적 기반이 충분하지 않다는 지적이다. 보안책상 관점에서 이 이슈는 산업정책이면서 동시에 조직 보안 운영의 리스크 관리 문제다.

본론:

1. 조달 구조가 보안 품질을 결정한다

보안관제와 정보보호 컨설팅은 사람, 절차, 지속 운영 역량에 의해 품질이 결정된다. 한국정보보호산업협회가 안내하는 정보보호 사업대가 체계도 보안관제 서비스비를 직접인건비, 제경비, 기술료, 직접경비의 합으로 산정한다. 이는 보안관제가 단순 장비 구매가 아니라 숙련 인력과 대응 프로세스를 포함한 서비스라는 뜻이다.

그런데 공공 조달이 가격 경쟁 중심으로 흐르면 첫 번째로 줄어드는 것은 인력 투입과 유지보수 품질이다. 낮은 단가로 낙찰된 사업은 관제 인력 숙련도, 야간·휴일 대응, 위협 헌팅, 사고 후 재발 방지 활동에 충분한 시간을 배정하기 어렵다. 보안 패치와 신규 탐지 룰 개발은 계약서에는 있어도 실제 운영에서는 후순위로 밀릴 수 있다.

이 문제는 단순히 국내 보안 기업의 매출 문제가 아니다. 공공기관과 중요 인프라의 방어 수준이 조달 가격에 의해 하향 평준화되는 문제다. 공격자는 기관의 예산 구조를 보지 않는다. 하지만 방어자는 예산 구조 안에서 인력, 장비, 탐지 룰, 대응 훈련을 운영해야 한다. 조달이 보안의 무형 가치를 인정하지 않으면, 사고 가능성은 기술 부족보다 운영 여력 부족에서 먼저 커진다.

1. 책임 소재는 CISO 개인이 아니라 경영 거버넌스로 올라가야 한다

침해사고가 발생하면 조직은 흔히 보안 담당자와 CISO의 책임을 먼저 묻는다. 그러나 권한과 예산이 제한된 상태에서 책임만 집중되면 보안 조직은 방어 역량을 키우기보다 처벌 회피형 보고와 문서화에 몰두하게 된다. 실무자의 개인 책임을 강화하는 방식은 장기적으로 보안 직무 기피와 인력 이탈을 낳을 수 있다.

유럽연합 NIS2 지침은 중요한 참고점이다. NIS2 Article 20은 필수·중요 기관의 경영진이 사이버보안 위험관리 조치를 승인하고 이행을 감독해야 하며, 위반에 대해 책임을 질 수 있다고 규정한다. 핵심은 보안을 IT 부서의 기술 과제가 아니라 이사회와 최고경영진의 위험관리 의무로 끌어올린다는 점이다.

국내 조직에도 같은 방향의 재설계가 필요하다. CISO가 이사회나 최고경영진에게 정기 보고할 수 있어야 하고, 중요 보안 투자와 위험 수용 결정은 경영진 의사록에 남아야 한다. 클라우드 전환, 외주 관제, 공급망 보안, 개인정보 처리 시스템 변경처럼 조직 리스크가 큰 사안은 보안팀 의견이 단순 검토란에 머무르지 않아야 한다.

이는 사고가 났을 때 CEO를 처벌하자는 단순 논리가 아니다. 사고 전 단계에서 누가 위험을 알고도 수용했는지, 어떤 예산과 권한을 부여했는지, 어떤 대응 계획을 승인했는지 추적 가능한 구조를 만들자는 의미다. 책임이 위로 올라가야 보안 예산도 위에서 결정되고, 현장 보안 요구가 사업 우선순위와 같은 테이블에서 논의된다.

1. 거버넌스 공백은 공급망과 AI 시대에 더 위험해진다

국가 차원의 보안 거버넌스는 사고 대응 컨트롤타워만을 뜻하지 않는다. 평시에는 위협 정보 공유, 인증·평가 기준, 조달 가이드, 연구개발 우선순위, 민간 협력 채널을 안정적으로 운영해야 한다. 위기 시에는 공공, 금융, 통신, 국방, 민간 사업자가 같은 기준으로 정보를 공유하고 의사결정을 할 수 있어야 한다.

KISA는 제로트러스트 가이드라인 2.0을 공개하고, SW 공급망 보안과 디지털서비스 공급망 관리, 정보보호 인증 등 여러 기능을 수행하고 있다. 과기정통부와 KISA의 2026년 정보보호 기업 육성 정책도 제로트러스트 실증과 AI 보안 기업 육성을 강조한다. 방향은 맞지만, 각 기관의 역할과 권한이 분산되면 현장 조직은 어느 기준을 우선해야 하는지 혼란을 겪는다.

특히 AI와 공급망 보안은 부처별·업권별 대응만으로 충분하지 않다. AI 보안 제품, 클라우드 서비스, SaaS, 오픈소스 구성요소, MSP와 MSSP가 하나의 운영망에 얽힌다. 사고가 나면 어느 한 벤더의 취약점이 고객사, 공공기관, 협력사로 확산될 수 있다. 따라서 조달 단계부터 SBOM, 취약점 조치 SLA, 사고 통지 의무, 로그 제공 범위, 책임 분담을 명확히 해야 한다.

1. 국내 조직의 공격 가능성과 영향

조달·책임·거버넌스 문제는 당장 공격자의 전술처럼 보이지 않을 수 있다. 하지만 공격 가능성을 키우는 구조적 취약점이다. 낮은 단가의 관제 계약은 탐지 룰 고도화와 장기 로그 분석을 어렵게 만들고, 권한 없는 CISO 체계는 위험 수용 결정을 뒤늦게 발견하게 만든다. 기관별로 다른 보안 기준은 공급망 사고 때 공통 대응 절차를 늦춘다.

공격자는 이 틈을 이용한다. 공공기관의 외주 운영 계정, 취약한 VPN·원격접속, 패치가 늦은 보안 장비, 로그 보존이 짧은 관제 환경은 침투 후 장기 체류에 유리하다. 공급망 관점에서는 보안 제품 업데이트 서버, 관제 사업자의 원격 관리 도구, SaaS 관리자 계정이 모두 우회 경로가 된다.

영향은 단일 기관에 머물지 않는다. 미국 콜로니얼 파이프라인 사고와 체인지 헬스케어 사고가 보여준 것처럼, 핵심 서비스 중단은 직접 복구비보다 큰 사회·산업 연쇄 피해를 만든다. 국내에서도 금융, 의료, 통신, 지방행정, 제조 OT 환경의 장애는 국민 서비스와 기업 공급망에 동시에 영향을 줄 수 있다.

1. 국내 조직이 지금 점검해야 할 대응 포인트

첫째, 보안 계약을 가격이 아니라 서비스 성과와 책임 기준으로 다시 봐야 한다. 관제 계약에는 탐지 룰 갱신 주기, 사고 초동 대응 시간, 로그 보존 기간, 위협 헌팅 범위, 월간 개선 보고, 침해사고 시 지원 범위가 명시돼야 한다. 단순 투입 인력 수보다 실제 대응 산출물을 관리해야 한다.

둘째, CISO 권한과 보고 라인을 문서로 고정해야 한다. CISO가 예산 편성, 주요 시스템 변경, 외주 보안 계약, 사고 대응 훈련에 참여하지 못한다면 책임 구조가 불균형하다. 이사회나 최고경영진 보고 주기, 위험 수용 승인권자, 예외 승인 절차를 정해야 한다.

셋째, 공급망 보안 요구사항을 조달 문서에 넣어야 한다. SBOM 제출, 취약점 공지와 패치 SLA, 원격접속 통제, 관리자 계정 MFA, 사고 통지 시간, 로그 제공 범위, 하도급 보안 기준은 계약 전 단계에서 합의해야 한다.

넷째, 공공·민간 협력 채널을 평시에 테스트해야 한다. 사고가 발생한 뒤 연락망을 찾으면 늦다. KISA, 업권 ISAC, 관제 사업자, 클라우드 사업자, 법무·홍보 담당자의 연락 절차를 분기별로 점검하고, 랜섬웨어·공급망 침해·개인정보 유출 시나리오별 의사결정 훈련을 해야 한다.

결론:

K-보안 주권은 국산 제품 점유율만으로 달성되지 않는다. 보안 서비스를 제값에 사는 조달, 권한과 책임이 일치하는 경영 거버넌스, 평시와 위기를 모두 견디는 국가·민간 협력 체계가 맞물려야 한다. 조달이 낮은 가격만 요구하고, 사고 책임이 실무자에게만 내려가고, 전문기관의 기준과 권한이 흔들리면 국내 보안 생태계는 커지기보다 소진된다.

국내 조직이 당장 할 수 있는 일은 명확하다. 보안 계약을 운영 성과 중심으로 바꾸고, CISO의 보고권과 예산권을 확인하며, 공급망 보안 요구사항을 계약서에 넣고, 사고 대응 거버넌스를 훈련하는 것이다. 보안 주권은 정책 문서에서 시작될 수 있지만, 실제로는 구매요청서와 이사회 보고서, SLA와 로그 보존 정책에서 완성된다.

참고자료:

• 디지털데일리: https://www.ddaily.co.kr/page/view/2026070210533905889
• 디지털데일리: https://www.ddaily.co.kr/page/view/2026063013030632172
• 한국정보보호산업협회: https://kisia.or.kr/industry_support/business_fee/
• 한국소프트웨어산업협회: https://www.sw.or.kr/site/sw/ex/board/View.do?bcIdx=52869&cbIdx=379
• 과학기술정보통신부: https://eiec.kdi.re.kr/policy/callDownload.do?dtime=20251231170003&filenum=1&num=275564
• KISA: https://www.kisa.or.kr/2060204/form?page=1&postSeq=18
• KISA: https://www.kisa.or.kr/402/form?postSeq=2590
• European Union: https://www.nis-2-directive.com/NIS_2_Directive_Article_20.html

본 콘텐츠는 AI 기술로 생성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하시면 댓글을 통해 소중한 의견 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.