.jpg)
북한의 사이버공격 대응 위해 사이버 보안 관련 국제규범 확립에 기여해야
국내 산업의 디지털 전환 단계(0~5단계), 전체 평균 3.1단계 기록
수술실 CCTV 설치 의무화, 환자와 의료인의 기본권 침해 최소화할 하위 법령 마련해야
[보안뉴스 엄호식 기자] 2022년 국정감사가 오는 10월 4일부터 24일까지 진행된다. 올해 통일부와 산업통상자원부, 보건복지부의 국정감사에서는 보안 분야와 관련해 △북한의 사이버공격 △산업의 디지털 전환 역량 확충 △수술실 CCTV 설치 의무화 시행 등이 중점 논의될 것으로 보인다. 이에 <보안뉴스>는 미리보는 2022년 국정감사 시리즈 다섯 번째로 통일부·산업통상자원부·보건복지부의 보안과 안전에 관련한 주요 이슈를 살펴본다.
1. 북한의 사이버공격
북한의 사이버공격은 정부 차원의 기획 하에 정찰총국 산하 121국으로 알려진 북한 사이버전 지도국(Cyber Warfare Guidance Unit)에 의해 이뤄지고 있다고 알려져 있다. 그리고 121국 아래 약 6,000명의 사이버 요원이 중국을 비롯해 벨라루스와 인도, 말레이시아, 러시아 등에서 활동하는 것으로 알려졌다.
북한의 대표적인 해킹 조직으로는 라자루스와 블루노로프, 안다리엘, 김수키(Kimsuki), 탈륨(Thallium) 등이 있다. ‘라자루스’는 정찰총국 산하 해킹조직으로 2007년 설립된 것으로 추정되며, 2014년 소니픽쳐스사 해킹과 2017년 150개국 랜섬웨어 사건의 배후로 지목됐다. ‘블루노로프’와 ‘안다리엘’은 외국 금융기관에 대한 사이버공격을 통해 불법적으로 수익을 확충하는 곳으로 해외 11개국 16개 금융기관에서 11억 달러를 탈취했다고 알려졌다. ‘김수키’는 국제적인 정보수집 임무를 담당하는 정찰총국 산하 조직으로 2010년부터 활동한 것으로 알려졌으며, ‘탈륨’과 동일조직으로 추정된다. 특히, 한반도 관련 안보전문가들을 대상으로 한 정보활동을 벌이고 있는 것으로 알려졌다.
2009년 7월 북한의 대남 사이버공격이 본격화된 이후 사이버공격은 핵, 그리고 미사일과 함께 북한의 주요 비대칭 전략 중 하나로 평가되고 있으며, 우리에게 새로운 안보 위협이 되고 있다.
2016년 이전에는 북한의 사이버공격이 주로 정보 탈취를 목적으로 이뤄졌다면 2016년 이후에는 국제사회의 대북 제재로 인한 외화 부족 상황을 해결하기 위해 해외의 금융기관 공격, 랜섬웨어 공격, 가상화폐 거래소 공격 등을 목적으로 이뤄지고 있다.
북한의 사이버공격 능력은 컴퓨터나 네트워크를 소프트웨어적으로 공격하는 방식과 외부에서 물리적으로 공격하는 하드웨어 파괴 방식으로 구분할 수 있다. 전자는 북한이 좀비 PC를 동원한 디도스 공격과 악성코드 등을 이용한 서버침투 등에 주로 사용한 방식을 의미하며, 후자는 121국 산하 4개 부대 중 하나인 전자전 재밍(Jamming) 연대의 주요 임무와 같이 강한 주파수 전파를 사용해 모든 전자장비와 지휘통신체계 등을 교란하는 기법이다.
이에 우리 정부도 사이버 안보 위협에 대한 국제적 규범 확립에 적극 나설 필요가 있다는 의견이다. 국제사회에서 사이버공격에 대한 경각심과 이에 대한 제재 필요성이 높아지고 있으며, 특히, 바이든 정부는 2021년 3월에 발표한 ‘잠정국가안보전략지침’에서 사이버 안보를 최우선 과제로 삼고 있다. 그리고 유엔을 중심으로 한 ‘UN 정보안보 정부전문가 그룹(GGE)’에서는 사이버 안보의 확보를 위한 국가 간의 규범 문제를 논의하고 있다.
이에 우리나라도 우리가 보유한 세계 최고 수준의 정보통신 기술을 통해 사이버 보안에 대한 국제규범 확립에 기여할 필요가 있다는 것이다.
2. 산업의 디지털 전환 역량 확충
4차 산업혁명을 통해 확산하던 산업의 디지털 전환(DX : Digital Transformation)이 코로나19 팬데믹을 통해 더욱 촉발되며, 첨단 디지털 기술 및 융복합이 산업에 신속하게 도입되는 상황이 가속할 것으로 전망된다.
정부는 디지털 경제로 전환을 가속화하기 위해 2020년 7월 ‘디지털 뉴딜’을 발표했고 이를 뒷받침하기 위해 산업통상자원부는 ‘디지털기반 산업 혁신성장 전략(2020년 8월)’과 ‘산업 디지털전환 확산 전략’(2021년 3월)을 발표했다. 그리고 2022년 1월 제정된 ‘산업디지털전환촉진법’은 2022년 7월 5일부터 시행됐다.
국내 산업의 디지털 전환은 산업군과 기업 규모별로 격차가 벌어지고 있다. 최근 자료에서는 디지털 전환 단계(0~5단계) 전체 평균은 3.1단계인데 산업군별로 보면 IT 서비스(3.9단계), 비IT 서비스(3.2단계), 비IT 제조(2.9단계), IT 제조(2.7단계) 순서였다.
기업 규모별로는 대·중견기업이 평균 3.7단계지만 중소기업은 3.0~3.1단계로 격차가 있었다. IT 서비스 소기업은 평균 3.8단계로 IT 제조 대·중견기업의 3.2단계와 비IT 제조의 대·중견기업의 3.5단계보다 높게 나타났다.
산업통상자원부에 따르면 중소·중견기업 중심의 범용 소재·부품 산업은 DX 수준이 낮고, 대기업이 선도하는 고객서비스 접점 분야(가전, 전기자율차, 유통)는 DX 혁신이 진행되고 있는 것으로 나타났다.
이에 새롭게 제정·시행되는 ‘산업디지털전환촉진법’ 및 관련 제도에서는 산업데이터 활용의 정책 방향에 대한 검토와 종합적인 정비가 필요하다는 의견이다. 특히, 개인정보 및 신용정보에 관한 기존 규제의 틀, 의료·바이오·금융 등 전문분야의 규제 등에 대한 기업의 완화 요구와 이에 대한 반론이 지속적으로 대립하고 있어 규제개선의 방향성과 산업 분야별 특수성을 반영할 방안을 구체적으로 정립할 필요가 있다는 것이다.
3. 수술실 CCTV 설치 의무화 시행
2023년 9월 25일부터 ‘수술실 CCTV 의무 설치’가 시행되면 의료기관의 장과 의료인은 환자 또는 환자 가족이 CCTV 촬영을 요구하면 ‘거부 정당화 사유’에 해당하는 경우를 제외하고 촬영에 응해야 한다.
보건복지부령으로 정하는 사유가 있는 경우에도 촬영 의무에서 예외로 할 수 있는 위임 규정이 마련됐으며, 이 규정에 따라 CCTV 설치 기준과 촬영 범위 및 요청 절차, 영상정보 보관기간, 자료 열람·제공 절차 등 세부적인 사항은 법 시행 전까지 복지부와 의료계가 협의해 정해야 하는 상황이다.
국민권익위원회가 2021년 실시한 여론조사에 따르면 1만 3,959명의 조사 참가자 중 97.9%에 달하는 1만 3,667명이 수술실 CCTV 설치 법안이 필요하다고 답했다. 또, 수술실 CCTV를 의무적으로 설치하는 대신 대리수술 등 비도덕적이고 비윤리적인 행위를 한 의사의 ‘면허 취소’ 등 행정적 처벌을 강화해야 한다고 주장하기도 했다.
하지만 ‘수술실 CCTV 의무 설치’를 담은 의료법 개정안에 대해 의사 10명 중 9명은 ‘의료진 근로감시 등 인권침해’와 ‘진료위축 및 소극적 진료 야기’ 등을 이유로 여전히 반대 입장을 고수하고 있다.
이에 이번 국정감사에서는 환자와 의료인의 기본권 침해를 최소화할 수 있는 하위 법령 마련에 대해 적극 논의해야 한다는 의견이다.
먼저 수술실 내 CCTV 촬영 요청 권한을 행사할 수 있는 사람을 환자로 명시하고, 수술 전 환자가 의사결정능력이 없는 것으로 판단되는 예외적일 때에만 보호자의 촬영 요청 권한을 인정하는 것 등을 명문화해야 한다는 것이다.
두 번째로 수술실 내 CCTV 촬영을 거부할 ‘정당화 사유’도 마련해야 하며, 정보 주체의 기본권 침해 최소화를 위해 CCTV 설치 위치와 화질, 수술실당 설치 대수, 촬영 방법 등을 침해 최소화 원칙에 따라 마련해야 한다.
세 번째로 영상정보 보안의무(안전조치)를 마련해 의료기관의 안전조치에도 불구하고 영상이 유출될 경우, 의료기관과 환자 간 분쟁으로 발생할 사회적 손실을 최소화할 방안과 환자 피해에 대한 정부 역할 등을 구체화해야 한다.
마지막으로 정보 주체에게는 개인정보 처리에 관한 동의 여부 권리와 더불어 동의 범위 등을 선택하고 결정할 권리가 보장되므로, 의료기관장은 수술에 참여한 모든 의료인의 동의에 따라 영상정보를 제공해야 한다는 점도 하위법령 논의에 포함해야 한다.
[엄호식 기자(eomhs@boannews.com)]
국내 산업의 디지털 전환 단계(0~5단계), 전체 평균 3.1단계 기록
수술실 CCTV 설치 의무화, 환자와 의료인의 기본권 침해 최소화할 하위 법령 마련해야
[보안뉴스 엄호식 기자] 2022년 국정감사가 오는 10월 4일부터 24일까지 진행된다. 올해 통일부와 산업통상자원부, 보건복지부의 국정감사에서는 보안 분야와 관련해 △북한의 사이버공격 △산업의 디지털 전환 역량 확충 △수술실 CCTV 설치 의무화 시행 등이 중점 논의될 것으로 보인다. 이에 <보안뉴스>는 미리보는 2022년 국정감사 시리즈 다섯 번째로 통일부·산업통상자원부·보건복지부의 보안과 안전에 관련한 주요 이슈를 살펴본다.
[이미지=utoimage]
1. 북한의 사이버공격
북한의 사이버공격은 정부 차원의 기획 하에 정찰총국 산하 121국으로 알려진 북한 사이버전 지도국(Cyber Warfare Guidance Unit)에 의해 이뤄지고 있다고 알려져 있다. 그리고 121국 아래 약 6,000명의 사이버 요원이 중국을 비롯해 벨라루스와 인도, 말레이시아, 러시아 등에서 활동하는 것으로 알려졌다.
북한의 대표적인 해킹 조직으로는 라자루스와 블루노로프, 안다리엘, 김수키(Kimsuki), 탈륨(Thallium) 등이 있다. ‘라자루스’는 정찰총국 산하 해킹조직으로 2007년 설립된 것으로 추정되며, 2014년 소니픽쳐스사 해킹과 2017년 150개국 랜섬웨어 사건의 배후로 지목됐다. ‘블루노로프’와 ‘안다리엘’은 외국 금융기관에 대한 사이버공격을 통해 불법적으로 수익을 확충하는 곳으로 해외 11개국 16개 금융기관에서 11억 달러를 탈취했다고 알려졌다. ‘김수키’는 국제적인 정보수집 임무를 담당하는 정찰총국 산하 조직으로 2010년부터 활동한 것으로 알려졌으며, ‘탈륨’과 동일조직으로 추정된다. 특히, 한반도 관련 안보전문가들을 대상으로 한 정보활동을 벌이고 있는 것으로 알려졌다.
2009년 7월 북한의 대남 사이버공격이 본격화된 이후 사이버공격은 핵, 그리고 미사일과 함께 북한의 주요 비대칭 전략 중 하나로 평가되고 있으며, 우리에게 새로운 안보 위협이 되고 있다.
2016년 이전에는 북한의 사이버공격이 주로 정보 탈취를 목적으로 이뤄졌다면 2016년 이후에는 국제사회의 대북 제재로 인한 외화 부족 상황을 해결하기 위해 해외의 금융기관 공격, 랜섬웨어 공격, 가상화폐 거래소 공격 등을 목적으로 이뤄지고 있다.
북한의 사이버공격 능력은 컴퓨터나 네트워크를 소프트웨어적으로 공격하는 방식과 외부에서 물리적으로 공격하는 하드웨어 파괴 방식으로 구분할 수 있다. 전자는 북한이 좀비 PC를 동원한 디도스 공격과 악성코드 등을 이용한 서버침투 등에 주로 사용한 방식을 의미하며, 후자는 121국 산하 4개 부대 중 하나인 전자전 재밍(Jamming) 연대의 주요 임무와 같이 강한 주파수 전파를 사용해 모든 전자장비와 지휘통신체계 등을 교란하는 기법이다.
이에 우리 정부도 사이버 안보 위협에 대한 국제적 규범 확립에 적극 나설 필요가 있다는 의견이다. 국제사회에서 사이버공격에 대한 경각심과 이에 대한 제재 필요성이 높아지고 있으며, 특히, 바이든 정부는 2021년 3월에 발표한 ‘잠정국가안보전략지침’에서 사이버 안보를 최우선 과제로 삼고 있다. 그리고 유엔을 중심으로 한 ‘UN 정보안보 정부전문가 그룹(GGE)’에서는 사이버 안보의 확보를 위한 국가 간의 규범 문제를 논의하고 있다.
이에 우리나라도 우리가 보유한 세계 최고 수준의 정보통신 기술을 통해 사이버 보안에 대한 국제규범 확립에 기여할 필요가 있다는 것이다.
▲북한의 사이버 공격 사례[자료=INSS전략보고 2021]
2. 산업의 디지털 전환 역량 확충
4차 산업혁명을 통해 확산하던 산업의 디지털 전환(DX : Digital Transformation)이 코로나19 팬데믹을 통해 더욱 촉발되며, 첨단 디지털 기술 및 융복합이 산업에 신속하게 도입되는 상황이 가속할 것으로 전망된다.
정부는 디지털 경제로 전환을 가속화하기 위해 2020년 7월 ‘디지털 뉴딜’을 발표했고 이를 뒷받침하기 위해 산업통상자원부는 ‘디지털기반 산업 혁신성장 전략(2020년 8월)’과 ‘산업 디지털전환 확산 전략’(2021년 3월)을 발표했다. 그리고 2022년 1월 제정된 ‘산업디지털전환촉진법’은 2022년 7월 5일부터 시행됐다.
국내 산업의 디지털 전환은 산업군과 기업 규모별로 격차가 벌어지고 있다. 최근 자료에서는 디지털 전환 단계(0~5단계) 전체 평균은 3.1단계인데 산업군별로 보면 IT 서비스(3.9단계), 비IT 서비스(3.2단계), 비IT 제조(2.9단계), IT 제조(2.7단계) 순서였다.
기업 규모별로는 대·중견기업이 평균 3.7단계지만 중소기업은 3.0~3.1단계로 격차가 있었다. IT 서비스 소기업은 평균 3.8단계로 IT 제조 대·중견기업의 3.2단계와 비IT 제조의 대·중견기업의 3.5단계보다 높게 나타났다.
[이미지=utoimage]
산업통상자원부에 따르면 중소·중견기업 중심의 범용 소재·부품 산업은 DX 수준이 낮고, 대기업이 선도하는 고객서비스 접점 분야(가전, 전기자율차, 유통)는 DX 혁신이 진행되고 있는 것으로 나타났다.
이에 새롭게 제정·시행되는 ‘산업디지털전환촉진법’ 및 관련 제도에서는 산업데이터 활용의 정책 방향에 대한 검토와 종합적인 정비가 필요하다는 의견이다. 특히, 개인정보 및 신용정보에 관한 기존 규제의 틀, 의료·바이오·금융 등 전문분야의 규제 등에 대한 기업의 완화 요구와 이에 대한 반론이 지속적으로 대립하고 있어 규제개선의 방향성과 산업 분야별 특수성을 반영할 방안을 구체적으로 정립할 필요가 있다는 것이다.
3. 수술실 CCTV 설치 의무화 시행
2023년 9월 25일부터 ‘수술실 CCTV 의무 설치’가 시행되면 의료기관의 장과 의료인은 환자 또는 환자 가족이 CCTV 촬영을 요구하면 ‘거부 정당화 사유’에 해당하는 경우를 제외하고 촬영에 응해야 한다.
보건복지부령으로 정하는 사유가 있는 경우에도 촬영 의무에서 예외로 할 수 있는 위임 규정이 마련됐으며, 이 규정에 따라 CCTV 설치 기준과 촬영 범위 및 요청 절차, 영상정보 보관기간, 자료 열람·제공 절차 등 세부적인 사항은 법 시행 전까지 복지부와 의료계가 협의해 정해야 하는 상황이다.
국민권익위원회가 2021년 실시한 여론조사에 따르면 1만 3,959명의 조사 참가자 중 97.9%에 달하는 1만 3,667명이 수술실 CCTV 설치 법안이 필요하다고 답했다. 또, 수술실 CCTV를 의무적으로 설치하는 대신 대리수술 등 비도덕적이고 비윤리적인 행위를 한 의사의 ‘면허 취소’ 등 행정적 처벌을 강화해야 한다고 주장하기도 했다.
하지만 ‘수술실 CCTV 의무 설치’를 담은 의료법 개정안에 대해 의사 10명 중 9명은 ‘의료진 근로감시 등 인권침해’와 ‘진료위축 및 소극적 진료 야기’ 등을 이유로 여전히 반대 입장을 고수하고 있다.
[이미지=utoimage]
이에 이번 국정감사에서는 환자와 의료인의 기본권 침해를 최소화할 수 있는 하위 법령 마련에 대해 적극 논의해야 한다는 의견이다.
먼저 수술실 내 CCTV 촬영 요청 권한을 행사할 수 있는 사람을 환자로 명시하고, 수술 전 환자가 의사결정능력이 없는 것으로 판단되는 예외적일 때에만 보호자의 촬영 요청 권한을 인정하는 것 등을 명문화해야 한다는 것이다.
두 번째로 수술실 내 CCTV 촬영을 거부할 ‘정당화 사유’도 마련해야 하며, 정보 주체의 기본권 침해 최소화를 위해 CCTV 설치 위치와 화질, 수술실당 설치 대수, 촬영 방법 등을 침해 최소화 원칙에 따라 마련해야 한다.
세 번째로 영상정보 보안의무(안전조치)를 마련해 의료기관의 안전조치에도 불구하고 영상이 유출될 경우, 의료기관과 환자 간 분쟁으로 발생할 사회적 손실을 최소화할 방안과 환자 피해에 대한 정부 역할 등을 구체화해야 한다.
마지막으로 정보 주체에게는 개인정보 처리에 관한 동의 여부 권리와 더불어 동의 범위 등을 선택하고 결정할 권리가 보장되므로, 의료기관장은 수술에 참여한 모든 의료인의 동의에 따라 영상정보를 제공해야 한다는 점도 하위법령 논의에 포함해야 한다.
[엄호식 기자(eomhs@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
엄호식기자 기사보기
[2024-04-18] 
.jpg)
.jpg)
