유럽연합(EU)이 사이버 보안 방어 체계와 협력 메커니즘 강화를 위해 두 가지 새로운 법안을 제정했다. 사이버 연대법(Cyber Solidarity Act)과 기존 사이버 보안법(CSA) 개정을 골자로 한 이번 법안은 포괄적인 사이버 보안 입법의 일환으로 마련되었다.
EU 이사회는 이번 조치가 사이버 위협 탐지, 대비, 대응 능력을 향상시키고 관리 보안 서비스의 통일성을 높이는 것을 목표로 한다고 전했다. EU 이사회는 “빠르게 변화하는 위협 환경에서 중요한 인프라에 심각한 혼란이나 피해를 줄 수 있는 대규모 사이버 보안 사고에 대비하기 위해 EU 사이버 보안 체계의 준비 태세를 강화할 필요가 있다”라고 설명했다.
이 법안은 EU 공식 문서에 공표된 후 20일이 지나면 발효된다.
포레스터의 수석 애널리스트인 마들렌 반 더 하우트는 “이 법안은 협력 강화, 위협 정보 공유, 전반적인 사이버 보안 복원력 강화를 통해 EU의 국경 간 위협 탐지 및 대응 역량을 높일 수 있다”라며 “성공 여부는 회원국이 얼마나 효과적으로 이행하고 지속적으로 노력하느냐에 달려 있다”라고 밝혔다.
위협 탐지 및 준비 태세 강화
사이버 연대법은 EU 전역에 걸친 국가 및 초국경 사이버 허브 네트워크를 구축하는 새로운 사이버 보안 경보 시스템을 도입하는 것을 목표로 하고 있다. 이러한 허브는 AI와 데이터 분석 등 첨단 기술을 활용해 사이버 위협을 모니터링하고 대응한다. 이번 협력 체계는 국경을 넘어 경고와 실행 가능한 정보를 공유하여 사이버 사고에 대한 통합적 대응을 보장하도록 설계됐다.
EU 이사회는 보도자료를 통해 “이 사이버 허브가 최첨단 기술을 활용해 국경을 넘어 사이버 위협에 대한 경고를 신속히 탐지하고 공유할 것”이라고 밝혔다.
업계 전문가는 이번 법안이 긍정적인 진전이라고 평가하면서도 EU가 지역 협력에만 머물러선 안 된다고 지적했다.
리서치 기업 테카크(Techarc)의 설립자이자 수석 애널리스트인 파이살 카우사는 “사이버 보안은 본질적으로 초국경적 문제이며, 효과적인 해결을 위해서는 협력이 필수적”이라며 “연대법은 EU 내 정보 공유와 학습을 촉진하는 긍정적인 발걸음이지만, 위협은 종종 EU 외부에서 기인하기 때문에 전 세계적인 광범위한 협력도 필요하다”라고 분석했다.
의료, 에너지, 교통 등 주요 산업 부문의 취약점을 해결하기 위해 긴급 대응 메커니즘도 이번 법안에 포함되었다. 이는 잠재적 약점을 점검하기 위한 스트레스 테스트, 공통 위험 시나리오 및 방법론 개발과 같은 준비 조치를 포함한다.
사고 대응 간소화
이 법의 핵심은 민간 부문 대응팀으로 구성된 사이버 보안 예비군 창설이다. 사이버 보안 예비군은 중대한 사이버 사고 발생 시 회원국과 EU 기관을 지원하기 위해 대기하게 된다. 이를 위해 회원국들이 서로 협력할 수 있도록 기술 지원 체계도 함께 마련된다.
또한, 사고 검토 메커니즘을 통해 이러한 긴급 대응의 효율성을 평가해 EU 사이버 보안 전략을 지속적으로 개선할 계획이다. EU는 이 과정에서 준비 태세의 격차를 식별하고 대응 노력을 정교화할 수 있다.
실질적인 장애물 해결
사이버 연대법의 핵심 요소인 통합 보안 운영 센터(SOC)와 정보 공유 메커니즘은 중요한 역할을 하지만, 실행 과정에서 여러 과제에 직면할 수 있다.
카우사는 두 가지 주요 과제를 제기했다. 첫째, 하이브리드 시스템의 성패는 회원국들이 얼마나 폭넓게 정보를 공유하느냐에 달려있는데, 이는 각국의 데이터 보호법과 보안 규정을 준수하면서 이뤄져야 한다. 포괄적인 규정이 마련돼 있어도 국가마다 세부 기준에서 차이를 보인다. 둘째, 통합 보안운영센터(SOC) 설립 시 그 역할과 권한, 책임 범위를 명확히 해야 하며, 각 지역의 법 집행기관들과 원활히 협력하는 것도 큰 과제다.
포레스터의 마들렌은 사이버 연대법이 유럽의 사이버 보안 강화를 위한 청사진을 제시했지만, 현실적으로 해결해야 할 과제들이 있다고 지적했다.
마들렌은 “첫 번째는 조율의 복잡성이다. 서로 다른 법적 체계와 운영 프로토콜을 가진 여러 국가 간의 노력을 조율하는 데 따르는 물류적 문제가 효과적인 이행을 방해할 수 있다”고 전했다. “예를 들어, 데이터 현지화법에 따라 데이터는 반드시 원산지 국가 내에 저장되어야 하므로 국경을 넘어 사업을 운영하는 기업에게는 운영상의 장애물이 될 수 있다. 이러한 규정의 진화하는 특성으로 인해 조직은 규정을 준수하기 위해 지속적으로 관행을 조정해야 하는 또 다른 복잡성이 추가된다”고 강조했다.
마들렌은 “두 번째는 지속적인 투자로, 끊임없이 진화하는 위협 환경에 대응하여 이러한 이니셔티브를 유지하고 발전시키기 위해서는 지속적인 자금과 자원 할당이 필요하다”고 설명했다. “또한 사이버 보안을 지원하는 기술 인프라는 국가마다 상당한 차이를 보이고 있다. 일부 지역에서는 구현에 필요한 자원이나 전문 지식이 부족할 수 있다”고 지적했다.
마들렌은 보안 위험이 또 다른 주요 과제라고 언급했다. “국경을 넘나드는 데이터 전송은 사이버 위협에 대한 취약성을 높인다. 데이터가 약한 조치로 관할권을 통과할 수 있어 침해 및 오용에 대한 우려가 높아진다”고 분석했다.
이러한 문제는 국가별 규정이나 운영 효율성을 훼손하지 않으면서 국경을 넘나드는 사이버 보안 협업을 보장하는 데 수반되는 복잡성을 강조한다.
관리형 보안 서비스의 표준화
2019년 사이버 보안법 개정을 통해 관리형 보안 서비스의 중요성을 인정하는 조치도 마련되었다. 이는 사고 처리, 모의 해킹, 보안 감사, 기술 컨설팅과 같은 특화된 사이버 보안 서비스에 대한 유럽 인증 체계 개발을 가능하게 할 것이다.
이러한 움직임은 현재 사이버 보안 환경의 중요한 격차를 해소한다. 표준화된 인증 프로세스를 구축함으로써 EU는 신뢰를 증진하고 서비스 품질을 높이며 시장 분열을 방지하는 것을 목표로 한다. 일부 회원국은 이미 국가 인증 체계를 개발하기 시작했으며, 이 법안은 통합적이고 포괄적인 체계를 제공한다.
EU 이사회는 “이번 개정안을 통해 이러한 관리형 보안 서비스에 대한 유럽 인증 체계를 구축할 수 있을 것”이라며 “이는 품질과 비교 가능성을 높이고, 신뢰할 수 있는 사이버 보안 서비스 제공업체의 출현을 촉진하며, 일부 회원국이 이미 관리형 보안 서비스에 대한 국가 인증 제도를 도입하기 시작했다는 점에서 내부 시장의 분열을 방지하는 데 도움이 될 것”이라고 전했다.
이러한 인증은 기업이 서비스 제공업체를 보다 효과적으로 평가하여 중요한 사이버 보안 기능의 아웃소싱에 대한 신뢰를 높이는 데 도움이 될 것으로 기대된다.
카우사는 “이는 아태지역 전체에 통일되고 표준화된 체계를 만들 것”이라고 설명하며, 이 체계가 규정 준수를 간소화하여 기업이 여러 회원국의 다양한 규정을 쉽게 탐색할 수 있게 해준다는 점을 강조했다.
마들렌은 “이는 소비자와 기업 간의 신뢰를 구축하는 데 필요하다”라며”사이버 보안 표준의 조화는 더 우수하고 안전한 솔루션을 제공하는 데 중요하다. 또한 투자자들은 잘 정의된 규정 내에서 운영되는 기업을 지원하려는 경향이 있기 때문에 투자를 유치할 수 있다”고 설명했다.
이 제안은 2023년 4월 18일에 유럽위원회에서 시작됐으며, 이후 광범위한 협업을 통해 개선됐다. 2024년 3월 6일, 공동 입법자들은 잠정 합의에 도달하여 디지털 정책 개발의 중요한 이정표를 세웠다.
두 법안은 앞으로 몇 주 안에 EU의 공식 문서로 게재될 예정이다.
[email protected]
SOCIAL SHARE CARD GENERATOR