국내 통신, 새로운 쟁점으로 부상
일본은 당국이 국내에서만 이뤄지는 통신 교환의 데이터를 수집할 수 있도록 능동적 사이버 방어법을 확대하는 방안을 검토하고 있다. 현재 이 법의 적용 대상은 해외 지역 간 통신과 일본·해외 간 통신이다.
목차
다카이치 사나에 총리는 11월 6일 사이버보안 회의에서 장관들에게 사이버 공격 관련 정보 수집 능력을 강화하는 개정안을 검토하라고 지시했다. 여당은 국내 통신도 포함할 것을 권고했으며, 정부는 이 제안을 고려할 방침이다.
이번 제안은 2026회계연도 예비비에서 100억엔(약 6,300만달러)을 투입하는 긴급 사이버보안 대책과 함께 나왔다. 이 대책에는 위협 탐지에 인공지능을 활용하고, 공격에 대응할 전문팀을 구성하며, 피해 기업을 지원하는 방안이 포함됐다.
핵심 쟁점은 정부의 정보 수집 범위다. 일본 내 두 지역 간 통신은 현행 능동적 사이버 방어 체계의 통신 감시 대상에 해당하지 않는다. 이 경계를 바꾸면 새로운 유형의 통신이 잠재적 적용 범위에 들어오게 된다.
기업에는 새로 마련 중인 체계에 따른 실무 의무도 생긴다. 15개 분야의 핵심 인프라 운영자 258곳을 대상으로 한 시행 계획에 따라 중요 컴퓨터 시스템 정보를 제출하고 중대 사이버 사고를 보고해야 한다. 금융, 항공, 전력, 통신, 항만, 신용카드 등이 대상 분야에 포함된다.
일본은 이에 따라 법적 권한 확대, 기술 역량 강화, 필수 서비스를 운영하는 기업과의 협력 강화 등 여러 변화를 동시에 추진하고 있다. 국내 통신으로의 확대 제안은 아직 검토 중이며, 개정안 제출이나 통과 시점은 제시되지 않았다.
능동적 사이버 방어란
능동적 사이버 방어(ACD)는 심각한 피해가 발생하기 전에 사이버 공격을 식별하고 차단하는 것을 목표로 한다. 조직이 침해 사실을 발견한 뒤 복구를 돕는 데 그치지 않는다.
일본의 체계에는 위협 정보 수집이 포함되며, 법적 요건에 따라 경찰이나 자위대가 공격에 사용된 서버에 접근해 악성 프로그램을 중단할 수 있도록 한다. 서버는 다른 컴퓨터에 서비스나 데이터를 제공하는 컴퓨터다. 공격자는 서버를 이용해 피해자 네트워크 내부의 악성 소프트웨어에 지시를 내릴 수 있다.
이런 프로그램을 중단하면 공격을 끊을 수 있다. 그러나 해당 서버를 찾으려면 공격이 어떤 방식으로 이뤄지는지, 어떤 시스템이 연관됐는지에 관한 정보가 필요하다. 이는 정부가 정보 수집 권한과 교란 조치 권한을 함께 검토하는 이유를 설명해준다.
국내 통신 제안은 당국이 통신 정보를 수집할 수 있는 범위에 관한 것이다. 서버 개입 조항은 공격에 이용된 인프라에 당국이 어떤 조치를 취할 수 있는지에 관한 것이다. 둘 다 능동적 사이버 방어의 일부지만 역할은 서로 다르다.
국내 통신의 경계가 중요한 이유
현행 체계는 해외 지역 간 통신, 일본과 다른 국가를 잇는 통신, 일본 내에서만 이뤄지는 통신을 구분한다. 앞의 두 범주는 적용 대상이지만, 세 번째 범주는 이 감시 체계에서 제외된다.
사이버 공격에는 공격자와 피해자 간의 직접 연결 하나가 아니라 여러 컴퓨터가 동원될 수 있다. 침해된 컴퓨터가 지시나 악성 트래픽을 전달하기도 한다. 수사 당국이 이용할 수 있는 법적 권한은 해당 트래픽이 오가는 컴퓨터의 위치에 따라 달라진다.
체계를 국내 통신 교환으로 확대하면 일본 내 시스템을 거쳐가는 공격을 추적할 때 당국이 살펴볼 수 있는 정보의 범위가 넓어진다. 실제 적용 범위는 개정안의 문구와 시행 규칙에 따라 달라진다. 여기에는 대상 데이터, 접근 요건, 수집 정보의 처리 방식 등이 포함된다.
국내 통신에는 자국 내 서비스를 이용하는 개인과 기업도 관련된다. 따라서 확대된 체계가 일상에서 어떻게 작동할지 이해하려면 정보의 선별, 접근, 보유, 감독을 규정하는 원칙이 핵심이 된다.
기업 공격 이후 나온 긴급 대책
다카이치 정부는 대규모 개인정보 유출이 잇따른 뒤 총리가 주재한 회의에서 긴급 대책을 승인했다. GMO 인터넷 그룹을 겨냥한 랜섬웨어 공격 이후 총리는 앞선 주에 대책 마련을 지시했다.
랜섬웨어는 데이터나 컴퓨터 시스템을 인질로 잡고 대개 금전을 요구하는 악성 소프트웨어다. 피해 기업은 침입을 차단하고 어떤 시스템을 안전하게 사용할 수 있는지 파악하는 한편, 정보가 유출됐는지 조사하면서 서비스를 복구해야 할 수 있다.
긴급 대책은 인공지능을 활용한 보안 강화, 정보 수집 강화, 공격에 대한 전략적 대응, 피해자 지원 등 네 분야로 구성된다. 100억엔 예산 중 일부는 경찰의 정보 수집 역량 강화에 쓰인다.
정부는 공격자에 대응할 사이버보안 전문가팀도 구성할 계획이다. 공공·민간 부문 인력으로 구성될 별도의 지원팀은 공격을 받은 기업을 돕고, 또 다른 부서는 잠재적 위협에 직면한 기업에 조언을 제공한다.
각 팀은 사고의 서로 다른 단계에 대응한다. 위협이 처음 나타났을 때는 자문을 통해 기업의 조치를 도울 수 있고, 공격이 진행 중일 때는 전문가가 대응을 지원하며, 복구 지원은 피해 기업이 후속 조치를 처리하도록 도울 수 있다. 인공지능은 컴퓨터 시스템의 취약점을 찾아내는 데도 활용된다.
인프라 운영자에 새 의무 부과
내각관방 국가사이버보안실과 내각부는 9월 30일 사이버 대응 법률 시행 방안을 설명하는 자료를 발표했다. 조직 체계 구축과 핵심 인프라 운영자와의 협력은 10월 1일 시작됐다.
이 체계는 15개 분야의 지정 운영자 258곳을 대상으로 한다. 이들이 제공하는 서비스는 결제, 전력, 통신, 교통, 항만 물류 등에 영향을 미칠 수 있어 사이버보안은 일상생활과 직결된다.
대상 운영자는 지정된 중요 컴퓨터 시스템의 제품명 등 관련 정보를 해당 분야 담당 장관에게 신고해야 한다. 시행 일정에 따르면 이미 사용 중인 시스템은 이듬해 3월까지 신고해야 한다. 새로 도입한 시스템은 도입 후 4개월 이내에 신고해야 한다.
정부는 이 목록을 아직 공개되지 않은 취약점 정보와 대조할 계획이다. 취약점은 공격자가 악용할 수 있는 소프트웨어나 장비의 약점이다. 어떤 운영자가 영향을 받는 제품을 사용하는지 파악하면 당국은 필요한 기업에 맞춤형 경고를 보낼 수 있다.
중대 사고는 정부에 보고해야
10월 1일부터 대상 운영자는 지정된 중요 컴퓨터 시스템에 영향을 주는 중대 사이버 사고를 소관 장관과 총리에게 모두 보고해야 한다. 악성 소프트웨어 실행과 무단 접근 등이 사고에 포함된다.
이 의무에 따라 정부는 필수 서비스 전반에서 발생한 중대한 공격을 파악할 수 있다. 사고에서 얻은 기술 정보는 피해 조직의 개인정보 보호를 고려해 다른 운영자와 공유할 수 있으며, 이를 통해 유사한 공격에 대비한 방어를 강화하도록 한다.
계획 중인 정보공유협의회에는 주로 핵심 인프라 운영자인 약 100개 기관이 참여할 전망이다. 이 협의회는 정부의 위협 정보와 운영 시스템을 보호하는 기업을 연결하는 역할을 한다.
정부의 접근 방식은 두 가지 정보를 결합한다. 운영자가 어떤 제품을 사용하는지, 어떤 위협이 탐지되고 있는지에 관한 정보다. 제품 목록은 경고가 필요한 대상을 알려주고, 사고 정보는 해당 운영자가 자체 시스템에서 무엇을 살펴야 하는지 알려줄 수 있다.
민감한 경고 정보의 공유 방식
정부의 위협 정보에는 정보 수집 출처를 드러내거나 특정 기업을 식별할 수 있는 세부 사항이 포함될 수 있다. 당국은 운영자에게 정보를 배포하기 전에 기밀 세부 정보를 삭제하거나 식별 정보를 익명화할 계획이며, 이 절차를 정보 정제라고 한다.
유용한 경고는 당국이 정보를 입수한 경위는 삭제하면서 공격을 나타내는 기술적 징후는 남길 수 있다. 민감한 자료를 보호하면서 기업이 실행에 옮길 수 있는 정보를 신속하게 전달하는 것이 목표다.
더 민감한 정보는 기밀정보, 개별 기업 또는 트러스티드 그룹(Trusted Groups)이라는 제한된 집단을 포함한 방식으로 공유된다. 정보가 배포될 수 있는 범위에 따라 서로 다른 공유 경로를 마련하는 것이다.
운영자에게 실질적으로 중요한 것은 조치를 취할 만큼 구체적인 경고를 받는 일이다. 제품명과 기술적 지표, 기업 시스템에 대한 정보는 일반적인 경보를 집중 점검이나 수리로 이어지도록 도울 수 있다.
단계별로 추진되는 시행 일정
일본의 법 개정, 조직 준비, 기술 운영은 서로 다른 일정에 따라 진행된다. 법률 일부는 10월에 시행됐으며, 통신 정보의 실제 활용은 이듬해 가을 이후 시작될 예정이다.
정부의 시행 계획과 후속 발표에 제시된 주요 일정은 다음과 같다.
- 9월 30일: 국가사이버보안실과 내각부가 시행 자료를 발표했다.
- 10월 1일: 지정 인프라 운영자와의 조직 체계 및 협력이 시작됐으며, 중대 사고 보고 의무도 시행됐다.
- 11월 6일: 다카이치 총리가 능동적 사이버 방어를 위한 정보 수집을 강화하는 개정안 검토를 장관들에게 지시했다.
- 이듬해 3월: 기존 지정 컴퓨터 시스템을 시행 일정에 따라 신고해야 한다.
- 도입 후 4개월 이내: 운영자는 새로 도입한 지정 시스템을 신고해야 한다.
- 이듬해 가을 이후: 통신 정보의 실제 활용을 시작할 예정이다.
단계별 시행에 따라 통신 정보 수집의 모든 요소가 가동되기 전에 기업은 신고와 준비 의무를 먼저 이행해야 한다. 국내 통신을 포함하려면 시행 일정과 별도로 추가 법 개정이 필요하다.
핵심 내용
- 일본은 국내에서만 이뤄지는 통신을 능동적 사이버 방어 정보 수집 체계에 포함하는 방안을 검토하고 있다.
- 다카이치 총리는 여당의 권고에 따라 11월 6일 장관 회의에서 법 개정 검토를 지시했다.
- 긴급 대책에는 2026회계연도 예비비 100억엔이 배정되며, 경찰의 정보 수집 역량 강화 등이 포함된다.
- 전문 대응팀, 기업 피해 복구 지원, 인공지능도 대책에 포함된다.
- 인프라 시행 대상은 15개 분야 운영자 258곳이며, 시스템 목록 제출과 중대 사고 보고 의무가 부과된다.
- 통신 정보 운영은 초기 조직 구축 및 보고 조치보다 늦은 일정에 따라 진행된다.
