인공지능(AI)이 해킹 공격의 표적 탐색부터 취약점 분석, 공격 경로 설계, 인증정보 탈취까지 수행하는 등 사이버 공격이 고도화되는 가운데, 정부 차원의 AI 해킹 대응체계가 미흡하다는 지적이 국회에서 제기됐다. 개인정보보호위원회(개보위)도 AI 기반 공격에 대한 별도 대응 준비가 부족하다는 점을 인정하고 관계 부처와 대책을 마련하고 있다고 밝혔다.

13일 오후 국회 정무위원회의 개보위 국정감사에서 민병덕 더불어민주당 의원은 AI를 활용한 해킹 공격이 빠르게 확산하고 있다며 정부의 대응체계 구축 현황을 질의했다.

민 의원은 "해킹 방식이 다양해졌다. 전문 해커 여러 명이 할 일을 하나의 AI가 24시간 쉬지 않고 수행한다"며 AI 기반 공격의 위험성을 강조했다.

AI 해킹에 대한 정부 대응체계 여부에 대해 질의했다.

우선 AI를 활용한 해킹을 기존 해킹과 구분해 별도로 관리하고 있는지, 실제 침해사고 조사 과정에서 AI 활용 여부를 확인하고 관련 통계를 집계하고 있는지를 물었다.

또 자동화된 AI 공격을 탐지할 수 있는 기준이나 시스템이 마련돼 있는지와 함께 실제 공격을 가정한 모의훈련이나 관계기관 합동훈련이 이뤄지고 있는지도 질의했다.

내년 7월 시행 예정인 주요 개인정보처리자에 대한 개인정보 보호 인증 의무화 제도에 AI 해킹 공격을 효과적으로 방어하기 위한 기준이 포함돼 있는지도 확인을 요구했다.

민 의원은 "해킹으로 인한 개인정보 유출 방지 대책을 보면 손해배상책임 강화, 정기적인 실태점검, 긴급보고 조치, 자료보존명령 등이 있는데 이것만으로는 부족하다"며 AI 공격에 특화된 대응체계 마련이 필요하다고 강조했다.

이에 송경희 개보위 위원장은 AI 해킹 대응과 관련한 정부 부처별 역할을 설명했다.

송 위원장은 "해킹을 막는 것은 기본적으로 보안의 영역으로, 민간부문은 과학기술정보통신부, 공공부문은 국가정보원이 담당하고 금융부문은 금융위원회가 보안과 개인신용정보 유출에 대한 조사·처분까지 맡고 있다"고 말했다.

이어 "개인정보위는 해커가 시스템에 침입해 개인정보를 탈취한 경우 조사와 처분을 담당한다"고 덧붙였다.

송 위원장은 AI 기술 활용으로 해킹 공격의 속도와 범위가 확대되고 있지만, 대규모 개인정보 유출로 이어지는 원인에는 기업의 기본적인 보안조치 미흡이 자리하고 있다고 설명했다.

그는 "최근 AI 해킹을 많이 활용하면서 공격 속도가 굉장히 빨라지고 범위도 광범위해졌다"면서도 "접근권한을 제대로 관리하지 않거나 암호화를 하지 않고 이상 트래픽을 감지하지 못하는 등 기본적인 조치가 미흡해 대형 사고로 이어지고 있다"고 지적했다.

개보위는 기업의 개인정보 보호 투자 확대를 유도하기 위해 관련 투자를 충실히 이행한 기업에 과징금을 최대 40%까지 감경하는 제도도 마련했다고 설명했다.

AI 해킹에 따른 개인정보 유출 사고에서는 신속한 초동 대응이 중요하다는 점도 강조했다.

송 위원장은 "AI 해킹으로 개인정보가 유출됐을 때는 초동 대응이 매우 중요하다"며 "공격에 활용된 IP와 공격 방식 등을 신속하게 파악해 보안 관계 부처에 전파하고 대응할 수 있도록 협력체계를 강화하고 있다"고 말했다.

다만 AI 공격에 특화된 별도 대응체계가 충분히 마련되지 않았다는 점은 인정했다.

민 의원이 "AI 공격에 대한 별도 준비를 하지 않은 것 아니냐"고 재차 묻자 송 위원장은 "그런 부분이 부족한 것은 맞다"며 "현재 보안 관계 부처들과 대응 대책을 함께 만들고 있다"고 답했다.

smk5031@news1.kr