싱가포르 사이버보안 전략 2026, 국가 차원의 위협 차단·AI 방어·새로운 전문 기준 제시

악성코드 급증에 대응해 조기 개입으로 전환

싱가포르는 통신 4대 사업자 모두를 겨냥한 공격 이후 사이버 방어를 강화하기 위해 2027년 국가 보호 도메인 이름 서비스(Protective Domain Name Service)를 도입할 계획이다. 이 서비스는 알려진 악성 도메인으로의 접속을 차단한다. 이번 조치는 2026년 10월 13일 샌즈 엑스포 앤드 컨벤션 센터에서 열린 싱가포르 국제 사이버 위크에서 발표된 싱가포르 사이버보안 전략 2026의 일부다.

사이버보안청(CSA)이 제시한 수치에서 과제의 규모를 확인할 수 있다. CSA의 싱가포르 사이버 현황 보고서에 따르면 2025년 탐지된 악성코드 감염 컴퓨터 시스템은 28만4,300대로, 2024년의 11만7,300대보다 늘었다. 16만7,000대, 약 142% 증가한 수치다. 이는 감염된 시스템의 탐지 건수로, 개별 피해자나 공격 성공 건수를 의미하지 않는다.

국가안보 조정장관 겸 내무부 장관을 맡고 있는 K. 샨무감 선임장관은 발표 행사에서 국가 방위의 목표로 삼은 변화를 다음과 같이 밝혔다.

싱가포르는 더 일찍, 국가 차원에서, 위협의 속도에 맞춰 대응할 것입니다. 오늘 발표하는 싱가포르 사이버보안 전략 2026에서 이러한 전환은 중요한 부분입니다.

이번 전략은 2016년과 2021년에 발표된 전략에 이은 세 번째 국가 사이버보안 전략이다. 핵심 인프라에 대한 상시 모니터링, 기업과 개인 보호, 인공지능 역량 강화, 양자 컴퓨팅 위험 대비를 아우르는 여러 계획이 향후 5년에 걸쳐 도입될 예정이다.

이 전략은 기술 투자와 전문 기준도 연계한다. 자발적 참여 방식의 사이버보안 인증 시범사업은 2027년 2분기에 시작될 예정이다. 이는 더 빠른 도구를 갖추더라도 증거를 평가하고, 사업상 위험을 따져 대응 방식을 결정할 수 있는 사람이 필요하다는 판단을 반영한다.

네 가지 축으로 필수 서비스 너머까지 보호

전략은 네 가지 축을 제시한다. 핵심 인프라 방어, 더 넓은 사이버 공간 보호, AI·양자 기술 역량 강화, 국제 협력을 통한 회복력 제고다. 사이버보안 생태계와 인력에 초점을 둔 두 가지 지원 우선 과제도 포함됐다.

핵심 인프라와 관련해서는 정교한 침입에 맞서 선제적으로 국가를 방어하는 데 중점을 둔다. 핵심 정보 인프라는 전력과 통신을 비롯한 필수 서비스를 제공하는 데 필요한 컴퓨터 시스템을 말한다. 이러한 시스템이 중단되면 이를 소유한 조직을 훨씬 넘어 사람과 기업에 영향을 미칠 수 있다.

더 넓은 사이버 공간을 다루는 축은 조직, 기업, 개인을 하나의 국가적 노력에 포함한다. 시스템 설계 단계부터 보안을 구축하고, 거버넌스를 강화하며, 기본적인 보호 조치를 폭넓게 도입할 것을 촉구한다. 악성 도메인을 국가 차원에서 차단하는 것은 이러한 포괄적 접근을 구체적으로 보여주는 사례다.

나머지 두 축은 인프라 보호만으로는 싱가포르가 관리할 수 없는 기술과 관계를 다룬다. AI는 시스템 공격과 방어에 새로운 방법을 제공하는 한편, 양자 컴퓨팅의 발전은 기존 암호화를 위협할 수 있다. 국제 협력은 공격에 대한 싱가포르의 대응력을 높이는 동시에 개방적이고 안전하며 상호운용 가능한 디지털 환경을 지키기 위한 것이다.

두 가지 지원 우선 과제는 연구, 혁신, 기업가 정신, 산업 협력, 전문성 개발을 작전상 방어와 나란히 배치한다. 정부는 중심적인 역할을 유지하지만, 전략은 기술 제공업체, 연구자, 기업, 사이버보안 전문가와 개인에게도 명시적으로 책임을 부여한다.

통신사 공격이 보여준 조직 간 방어의 필요성

이번 전략은 2025년 7월 공개적으로 확인된 UNC3886의 인프라 공격 이후 마련됐다. 이후 발표를 통해 피해 통신사가 M1, 심바 텔레콤, 싱텔, 스타허브로 확인됐다. UNC3886은 탐지를 피하면서 네트워크에 대한 접근을 유지할 수 있는 국가 지원 사이버 스파이 그룹으로 묘사된다.

이에 대응한 ‘사이버 가디언 작전(Operation Cyber Guardian)’은 11개월 넘게 진행됐으며, 정부 사이버 방어 인력 100여 명이 통신사 4곳 모두와 협력했다. 2026년 2월 발표된 이 작전은 당시까지 싱가포르에서 진행된 최대 규모의 공동 사이버 사고 대응이었다.

샨무감 장관은 이번 작전이 정부와 산업계가 상호 연결된 시스템을 함께 방어해야 하는 이유를 보여줬다고 말했다.

정교한 공격자는 정부와 통신사를 별개로 보지 않습니다. 시스템 전반을 살펴 취약한 지점을 찾습니다. 국가 방어도 시스템 전반을 살펴야 합니다. 대응 과정에서 정부와 산업계는 긴밀히 협력해야 합니다.

위협은 싱가포르에 국한되지 않는다. 샨무감 장관은 연설에서 폴란드의 재생에너지 설비 30여 곳과 주민 약 50만 명에게 열을 공급하는 열병합발전소를 겨냥한 동시다발 공격을 언급했다. 또 한국 SK텔레콤이 2025년 4월 공개한 침해 사고로 이용자 기록 약 2,700만 건이 영향을 받았다고 말했다.

이들 사건은 서로 다른 형태의 노출을 보여준다. 에너지 서비스가 중단될 가능성과 통신 데이터 유출이다. 그렇다고 동일한 공격자나 수법이 개입했다고 단정할 수는 없다. 싱가포르의 대응은 각 침입을 개별 조직의 문제로 다루기보다 필수 서비스를 겨냥한 지속적인 공격에 대비하는 것이다.

국가 지휘센터가 위협 정보와 대응을 연계

2025년 설립된 국가사이버보안지휘센터(NC3)는 사이버보안청의 국가 사이버 방어 운영 거점이다. 이번 전략은 위협에 대한 국가적 시야를 모니터링, 예방, 공동 대응과 연결하며 NC3의 역할을 다섯 영역으로 확대한다.

첫째, NC3는 정부 기관, 핵심 인프라 소유자, 사이버보안 기업, 국제 파트너의 위협 정보를 통합한다. 각기 다른 네트워크에서 별개로 보이는 활동이 더 큰 공격 캠페인의 일부임을 방어 담당자가 파악하는 데 도움이 될 수 있다.

둘째, 센터는 국가 보호 도메인 이름 서비스를 운영한다. 셋째, 공격 표면 관리를 강화해 인프라 소유자가 인터넷에 노출된 시스템을 파악하고, 심각하거나 새로 발견됐거나 이미 악용되고 있는 취약점의 우선순위를 정하도록 돕는다. 공격 표면은 침입자가 진입할 수 있는 시스템과 접근 지점의 집합을 뜻한다.

넷째, 일부 인프라 소유자는 국방부 전략정보통신기술센터가 개발한 중요 위협 정보와 독자 탐지 시스템을 제공받는다. 센터는 사이버보안청과 협력해 이들 시스템을 도입하고 그 결과를 NC3와 연계할 예정이다. NC3는 이를 통해 악성 네트워크 활동을 방어 담당자에게 알리게 된다.

다섯째, AI 기반 운영 시스템은 사고를 추적하고 평가를 지원하며 후속 조치를 계획하는 데 도움을 준다. 이러한 기능을 종합해 의심스러운 활동을 탐지한 뒤 국가 차원의 대응을 조율하기까지 걸리는 시간을 단축하는 것이 목표다. 다만 인프라 소유자가 자체 시스템을 유지하고 보호할 필요까지 없어지는 것은 아니다.

도메인 차단의 방식과 이의 제기 절차

도메인 이름 서비스는 웹사이트 주소를 접속에 필요한 네트워크 주소로 변환한다. 보호 기능을 갖춘 서비스는 요청된 도메인이 알려진 악성 사이트에 해당하는지 확인하고, 사용자가 피싱 페이지나 악성코드 사이트에 도달하기 전에 접속을 차단할 수 있다.

싱가포르의 서비스는 2024년 발효된 온라인 범죄 피해 방지법(Online Criminal Harms Act)에 따라 운영될 예정이다. 이 법은 사기와 악성 사이버 활동 등 지정된 범죄에 이용된 것으로 의심되는 콘텐츠를 삭제하거나 접근을 차단하도록 지시할 수 있게 한다.

사이버보안청은 합법적인 도메인을 악성으로 잘못 판단하는 오탐을 줄이기 위해 차단 결정을 평가하고 검증할 것이라고 밝혔다. 영향을 받는 개인과 조직은 법의 기존 절차를 통해 재검토와 이의를 신청할 수 있다. 잘못된 차단은 합법적인 기업이나 서비스에 대한 접근을 막을 수 있으므로 이러한 보호 절차가 중요하다.

싱가포르 대랜섬웨어 태스크포스는 위협이 사용자에게 도달하기 전에 보호할 수단으로 2022년 국가 보호 서비스를 권고했다. 해외에서도 유사한 서비스가 운영되고 있다. 트렐릭스 임원 네빌 빈센트는 영국에서 2022년 42만 개 도메인에 대한 DNS 요청 110억 건이 차단됐고, 호주에서는 2022~23년에 악성 도메인 요청 6,700만 건 이상이 차단됐다고 밝혔다.

이 수치는 보호받은 고유 사용자나 예방된 공격이 아니라 요청 건수를 집계한 것으로, 서로 다른 기간과 서비스를 대상으로 한다. 따라서 싱가포르에서 예상되는 결과가 아니라 잠재적인 운영 규모를 보여준다. 서비스는 2027년 도입이 목표지만, 정확한 출시일과 구체적인 성과 목표는 제시되지 않았다.

AI 방어, 기존 모델을 안전하게 연계해 활용

싱가포르는 NC3와 정부기술청(GovTech)의 정부 사이버보안운영센터를 비롯한 국가 사이버 방어 업무 전반에 AI를 단계적으로 도입할 계획이다. 사이버보안청은 이미 노출된 자산과 취약점을 자동으로 발견하고 매핑하는 도구, 전문가가 웹 애플리케이션의 복잡한 취약점을 시험하도록 돕는 도구를 보유하고 있다. GovTech는 AI 에이전트를 활용해 취약점 탐색과 보안 테스트를 가속하고 있다.

정부는 업무별로 별도의 AI 모델을 만들 계획이 없다. 대신 모델을 도구, 데이터, 운영 절차와 안전하게 연결하는 주변 소프트웨어와 제어 기능인 ‘AI 하니스 엔지니어링’에 투자할 방침이다. 이 접근 방식은 방어 담당자가 사용 가능한 모델을 평가하고 적합한 모델을 선택하며 필요할 때 다른 모델로 전환할 수 있게 하려는 것이다.

샨무감 장관은 싱가포르가 구축하고자 하는 역량을 다음과 같이 설명했다.

우리에게 정말 필요한 것은 가장 뛰어난 모델을 평가하고, 우리의 필요에 맞게 조정할 수 있는 역량입니다.

전략은 같은 기술이 초래하는 위험도 다룬다. AI는 공격자가 취약점을 찾아 더 빠르게 작업하도록 도울 수 있으며, 연결된 도구를 통해 행동하는 에이전트는 조작당해 무단으로 정보에 접근하거나 작업을 수행할 수 있다. 샨무감 장관은 전월 호주에서 공개된 사고를 언급했다. 당시 AI 에이전트가 정부 포털의 데이터에 무단 접근했다.

양자 컴퓨팅 대비는 기술 분야의 별도 과제다. 충분히 발전한 양자 컴퓨터는 오늘날 사용되는 일부 암호화 방식을 무력화할 수 있어 양자 내성 시스템으로 전환할 필요가 있다. 전략은 대비와 전환을 약속하지만, 발표 내용에는 완전한 국가 전환 일정이 담기지 않았다.

인력 조사에서 기술 역량만큼 강조된 판단력

10월 13일 발표된 ‘AI 시대 싱가포르 사이버보안 인력 육성’ 보고서는 향후 3년간 모든 경력 단계에서 가장 필요한 역량으로 비즈니스 판단력을 꼽았다. 기술 지식이 2위였고, AI 관련 위협을 탐지하고 대응하는 능력이 그 뒤를 이었다.

사이버보안청 의뢰로 블랙박스 리서치가 2026년 8~9월 조사를 실시했다. 조사 대상은 정부 기관, 인프라 소유자, 사이버보안 서비스 기업, AI를 사용하는 기타 민간 조직이었다. 조사 대상은 자료에 따라 조직 1,000곳 또는 전문가와 응답자 1,000명으로 다르게 기술돼 있어, 조사 결과를 싱가포르의 모든 고용주나 전문가를 망라한 전수조사로 봐서는 안 된다.

응답자 가운데 81%는 소속 조직이 이미 AI 기능을 갖춘 사이버보안 도구를 사용하고 있다고 답했다. 92%는 내년 안에 새로운 기술이 필요할 것으로 예상했으며, 4분의 3은 현재 보유한 일부 기술의 관련성이 낮아질 수 있다고 우려했다.

사이버보안 분야에 진입하려는 사람에게 필요한 역량으로는 사이버보안 기초가 65%로 1위였고, AI가 생성한 결과를 검증하고 의문을 제기하는 능력이 57%로 2위, 실무 기술 경험이 51%로 3위였다. 이 수치는 자동화가 인간의 평가를 불필요하게 만들지는 않는다는 보고서의 결론을 뒷받침한다.

보안 운영 분석가는 점점 더 자동화된 탐지 결과를 조사하고 심각성을 판단하며 대응을 조율해야 한다. 단순히 경보를 처리하는 데 그치지 않는다. 취약점 평가와 침투 테스트 업무에도 AI 시스템이 조작될 수 있는지, 안전장치를 우회할 수 있는지 시험하는 기술이 필요하다. 중급 및 고급 전문가 수요는 증가할 것으로 예상되며, 초급 직무에도 AI의 지원을 받아 더 복잡한 업무가 포함될 전망이다.

인증 시범사업으로 공통 전문 기준 검증

싱가포르의 사이버보안 인력은 2016년 4,000명에서 2025년 1만 명 이상으로 늘어 150% 넘게 증가했다. 새로운 사이버보안 전문가 인증 체계는 확대된 인력 풀을 고용주가 보다 일관된 방식으로 평가하도록 지원하기 위한 것이다.

사이버보안청은 정보통신미디어개발청 및 스킬스퓨처 싱가포르와 함께 국가 사이버보안 역량 체계를 개발하고 있다. 이 체계는 직무와 숙련도별 지식, 기술, 역량을 규정하게 된다. 인증은 자격뿐 아니라 경력, 실무 능력, 직업윤리를 고려해 공통 기준에 따라 전문가를 평가한다.

사이버보안청이 의뢰하고 언스트앤영이 2024년과 2025년에 실시한 별도 연구에서는 전문가들이 자신의 직무와 경력 발전에 필요한 기술을 파악하는 데 어려움을 겪는 것으로 나타났다. 기존 자격증은 기술 지식, 경험, 윤리를 종합적으로 평가하지 못했다.

탄 키앗 하우 디지털개발정보 담당 선임국무장관은 새 접근 방식의 목적을 다음과 같이 설명했다.

“우리는 또 하나의 자격증 단계를 만들려는 것이 아닙니다. 고용주의 신뢰를 높이고, 전문가를 더 인정하며, 직업군에 더 강력한 공통 기준을 세우는 체계를 만들고자 합니다.”라고 탄 장관은 말했다.

사이버보안청은 2026년 말까지 세 개의 감독 기구를 설립할 계획이다. 정보보안전문가협회와 함께 구성하는 전문직 사무국은 평가, 이의 제기, 갱신, 공개 명부를 관리한다. 정부, 산업계, 학계 인사로 구성되는 위원회는 기준을 감독하고 직함을 승인한다. 기술위원회는 평가 기준, 포트폴리오, 면접을 검토한다.

자발적 참여 방식의 시범사업은 2027년 2분기부터 2년간 진행된다. 우선 일부 정부 기관과 사이버보안 서비스 제공업체의 보안 운영, 취약점 평가, 침투 테스트 분야를 대상으로 한다. 신청 수수료는 면제된다. 자격 요건, 평가, 신청에 관한 세부 사항은 2027년 3월 공개될 예정이다.

협력으로 공동 정보를 실질적 대비로 전환

국제 협력 축은 AI, 반도체, 통신 분야의 경쟁이 심화하는 가운데 실질적인 협력을 추진하는 데 초점을 둔다. 싱가포르 국제 사이버 위크에서는 에이전트형 AI 사이버 시나리오를 바탕으로 한 사이버보안청과 구글의 공동 훈련, 아세안과 아시아태평양 지역 관계자를 위한 프런티어 AI 거버넌스 워크숍, 핵심 인프라 운영자를 위한 클라우드플레어 교육 등이 진행됐다.

펑 관다 사이버보안청장은 협력이 공동 행동 능력으로 이어져야 한다고 말했다.

“우리에게 협력은 원칙에 합의하는 데 그쳐서는 안 됩니다. 중요한 순간에 함께 일할 수 있는 역량으로 이어져야 합니다.”라고 펑 청장은 말했다.

다음 주요 일정은 운영상 보호와 전문성 개발에 걸쳐 있다.

• 2025년 7월: 싱가포르가 핵심 인프라를 겨냥한 UNC3886 위협을 공개적으로 발표했다.
• 2026년 2월: 11개월 넘게 진행된 대응 이후 사이버 가디언 작전이 발표됐다.
• 2026년 10월 13일: 세 번째 사이버보안 전략과 신규 인력 계획이 발표됐다.
• 2026년 말까지: 사이버보안청이 인증 감독 기구 세 곳을 설립할 계획이다.
• 2027년 3월: 인증 자격 요건, 평가, 신청에 관한 세부 사항을 공개할 예정이다.
• 2027년 2분기: 자발적 참여 방식의 인증 시범사업이 시작될 예정이다.
• 2027년 중: 국가 보호 도메인 이름 서비스가 도입될 예정이다.

이번 발표는 전략 방향과 여러 기한을 제시했지만, 전체 이행 일정이나 양자 전환 기한, 제안된 도메인 서비스의 측정 가능한 성과를 구체적으로 밝히지는 않았다. 국가 위협 정보, 차단, AI 도구, 전문 기준이 방어 담당자의 위협 조기 식별과 억제에 얼마나 기여하는지가 실질적인 시험대가 될 것이다.

핵심 요점

• 악성코드 감염 시스템 탐지 건수는 2024년 11만7,300대에서 2025년 28만4,300대로 늘어 약 142% 증가했다.
• 국가 보호 도메인 이름 서비스가 2027년 도입될 예정이며, 검증, 재검토, 이의 제기 절차가 마련된다.
• NC3는 위협 정보, 인프라 모니터링, 탐지 시스템, AI 기반 대응 조율을 통합할 예정이다.
• 사이버 가디언 작전에는 정부 방어 담당자 100여 명과 주요 통신사 4곳 모두가 참여했다.
• 싱가포르는 사용 가능한 AI 모델의 안전한 연계에 투자하고 양자 컴퓨팅 위험에 대비할 계획이다.
• 수수료가 면제되는 자발적 전문가 인증 시범사업이 2027년 2분기에 시작된다.