[시론] 공급망 보안과 국정원 체질 개선

최근 우리나라에서도 소프트웨어 공급망 보안에 대한 관심이 크게 높아지고 있다. 특히 SBOM(Software Bill of Materials), 즉 소프트웨어에 어떤 오픈소스가 사용됐는지를 목록화하고 관리하는 기술이 공급망 보안의 핵심 수단으로 주목받고 있다.

SBOM은 분명 중요하다. 어떤 소프트웨어에 어떤 구성요소가 들어 있는지 알아야 새로운 취약점이 발견됐을 때 우리 시스템이 영향을 받는지를 신속하게 판단할 수 있기 때문이다. 그러나 여기서 한 가지 질문을 던져볼 필요가 있다.

공급망 보안은 정말 소프트웨어 안에 무엇이 들어 있는지만 확인하면 되는 문제일까?

국가안보 관점에서 보면 공급망 보안은 훨씬 넓다. 소프트웨어뿐 아니라 반도체와 통신장비 같은 하드웨어, 제조시설, 유지보수 업체, 하청기업, 개발자와 관리자, 기업의 소유·지배구조까지 모두 공급망에 포함된다. 따라서 공급망 보안을 제대로 하려면 크게 세 종류의 정보를 결합해야 한다.

첫째는 기술정보다. 취약점 정보, 펌웨어, 코드서명, 빌드 환경과 같은 사이버보안 정보다. SBOM이 주로 다루는 영역이기도 하다.

둘째는 기업과 산업 생태계에 대한 정보다. 어떤 기업이 제품을 만들고 있는지, 실제 생산은 어디에서 이루어지는지, 어떤 하청업체를 이용하는지, 특정 국가나 기업에 얼마나 의존하고 있는지 등을 알아야 한다.

셋째는 인텔리전스다. 특정 기업이나 인물이 외국 정부나 정보기관과 어떤 관계를 가지고 있는지, 핵심 인력이 포섭됐을 가능성은 없는지, 제3국의 기업이나 인력을 이용해 공급망에 침투하려는 움직임은 없는지를 파악해야 한다.

두 번째와 세 번째, 특히 세 번째는 SBOM으로는 절대 알 수 없다. 어떤 업체가 완벽한 SBOM을 제출했고, 알려진 취약점도 없다고 해보자. 그렇다고 그 업체를 안전하다고 단정할 수 있을까? 핵심 개발자가 적대국 정보기관에 포섭돼 있거나, 해외 하청업체의 개발자가 중요한 개발환경에 접근하고 있거나, 정상적인 업데이트 과정에 악성 기능을 삽입하려 한다면 부품명세서만으로는 이를 찾아내기 어렵다.

최근 북한의 해외 IT 인력 문제는 이를 잘 보여준다. 북한은 자국 인력을 정상적인 해외 IT 개발자로 위장 취업시키고 제3국의 신분과 금융계좌, 중개인 등을 활용하는 수법까지 동원하고 있다. 이들이 단순히 외화를 벌어들이는 데 그치지 않고 기업의 내부 시스템과 소스코드, 개발환경에 접근할 수 있다는 점을 생각하면 이는 제재 회피의 문제인 동시에 사이버보안이자 공급망 보안의 문제다.

결국 공급망 보안은 소프트웨어와 하드웨어, 그리고 사람에 대한 정보를 결합하는 작업이다. 이런점에서 지금은 국가정보원의 체질 개선을 고민하기에 매우 중요한 시점이기도 하다. 현 국정원장은 직업 정보관 출신이 아니라 오랫동안 학자와 정책전문가로 활동해 온 민간 출신 인사다. 민간 출신 원장을 임명한 의미를 단순히 과거의 정치개입을 청산하고 조직을 안정시키는 데서만 찾을 필요는 없다. 변화한 안보환경에 맞게 정보기관의 임무와 조직문화를 다시 설계하는 기회로 삼을 필요가 있다.

과거 정보기관의 주요 관심사가 북한의 군사동향과 정치상황, 간첩과 대공 문제였다면 오늘날 국가안보의 전선은 훨씬 넓어졌다. 반도체와 배터리, 통신망과 클라우드, 인공지능, 소프트웨어와 오픈소스 생태계가 모두 국가안보와 연결되고 있다. 적대국 역시 군사기밀만 노리는 것이 아니다. 기업에 개발자로 위장 취업하고, 협력업체를 이용하고, 소프트웨어 업데이트 과정에 침투하고, 핵심기술과 데이터를 빼내는 방식으로 공격한다.

따라서 국정원의 체질 개선 역시 일반 기업이나 정부 부처처럼 단순히 AI를 도입하는 수준의 조직개편이나 인사쇄신에 머물러서는 안 된다. 대북정보, 해외정보, 방첩, 산업보안, 사이버보안을 각각의 칸막이 안에서 수행하는 정보기관에서 벗어나, 이들을 결합해 하나의 국가안보 위험을 찾아내는 정보기관으로 변해야 한다.

공급망 보안은 이러한 변화를 시작하기에 매우 좋은 분야다.

예를 들어 국가 핵심 인프라나 국방 시스템에 들어오는 주요 공급업체에 대해 기술적인 취약점과 SBOM만 평가하는 것이 아니라 기업의 소유·지배구조, 해외 하청망, 핵심 인력, 적대국과의 연계 가능성, 사이버 위협정보를 종합해 위험도를 평가할 수 있다.

국정원이 가진 대북·해외 휴민트(HUMINT)와 방첩정보, 사이버 위협정보를 결합한다면 다른 정부기관이나 민간기업이 독자적으로 만들어내기 어려운 정보가 된다.

물론 정보기관이 민간기업의 모든 거래와 사람을 들여다보자는 얘기는 아니다. 국가 핵심 인프라와 국방·공공 시스템처럼 공급망 침해가 국가안보로 직결되는 영역부터 적용하고, 민간에는 정보의 출처와 수집방법을 노출하지 않으면서 필요한 위험정보만 제공하는 체계를 만들어야 한다. 즉, 정보를 더 많이 수집하라는 것이 아니다. 이미 가지고 있는 서로 다른 종류의 정보를 연결하라는 것이다.

북한에 대해 상당한 정보역량을 축적해 온 기관이면서 동시에 국가 사이버보안의 핵심 기관이라는 것은 우리 국정원이 가진 독특한 강점이다. 그런데 두 역량이 조직 내부에서 따로 움직인다면 그 강점을 충분히 활용하고 있다고 보기 어렵다. 공급망 공격의 강점은 우리가 신뢰하는 대상을 이용한다는 데 있다. 공격자는 반드시 우리의 방화벽을 정면으로 뚫을 필요가 없다. 우리가 믿고 설치한 소프트웨어, 구매한 장비, 계약한 협력업체, 채용한 개발자를 통해 들어오면 된다.