한국 사이버 보안의 역사 (슬라이드)

한국 사이버보안 38년, 사고가 만든 제도와 남겨진 과제

부제: 1988년 첫 백신에서 2026년 AI 기본법까지 — 반복되는 패턴을 읽는다

들어가며

1988년 (C)Brain 바이러스가 국내에 퍼졌을 때, 보안은 전산실 관리의 부속 업무였다. 38년이 지난 지금 우리는 AI 기본법의 고영향 AI 판별 기준을 논의하고 있다. 그 사이에 무엇이 달라졌고, 무엇이 그대로인가.

한국 사이버보안의 역사를 관통하는 구조는 의외로 단순하다. 대형 사고가 터지고, 그 뒤에 법과 기관이 만들어진다. 이 순서가 38년간 한 번도 뒤바뀐 적이 없다.

여섯 시기로 본 흐름

태동기(1988~1998) — V1 백신 개발과 안철수연구소 설립으로 민간 보안 산업이 시작됐고, 1996년 한국정보보호센터(현 KISA) 설립으로 국가 전담기관이 처음 생겼다.

인프라 충격기(1999~2003) — 1999년 CIH 바이러스 대란이 PC 보안을 대중화했다면, 2003년 1·25 인터넷 대란은 제도사의 최대 분기점이었다. SQL Slammer 웜 하나에 전국 인터넷이 수 시간 멈추면서, 사이버 침해가 '국가 재난'이라는 인식이 자리 잡았다. 2004년 국가사이버안전센터(NCSC) 설립이 그 직접적 결과다.

개인정보 유출기(2008~2014) — 옥션 1,081만 건, 네이트·싸이월드 3,500만 건, 카드 3사 1억여 건. 이 사고들이 2011년 개인정보보호법 제정과 주민등록번호 수집 원칙적 금지로 이어졌다.

국가배후 공격기(2009~2016) — 7·7 DDoS, 3·20 사이버테러, 한국수력원자력 해킹. 금전 목적을 넘어 시스템 파괴와 사회 혼란을 노린 공격이 등장하면서, 국정원·과기정통부·국방부로 나뉜 분산형 거버넌스가 고착됐다.

재편기(2017~2024) — 랜섬웨어의 시대. 제도 측면에서는 ISMS-P 통합(2018), 데이터 3법과 개인정보보호위원회 격상(2020), 정보보호 공시 의무화(2022), 개인정보보호법 2차 개정을 통한 과징금 산정 기준 전환(2023)이 이어졌다.

대규모 침해와 AI 규제(2025~) — 그리고 2025년이 왔다.

2025년, 최악의 해가 남긴 것

SK텔레콤 HSS 해킹으로 가입자 2,324만 명의 유심 인증키를 포함한 25종의 정보가 빠져나갔고, 개인정보보호위원회는 약 1,348억 원의 역대 최대 과징금을 부과했다. 하반기 쿠팡에서는 퇴사자에 의한 내부 유출로 3,370만 명의 회원 정보가 노출됐다. 롯데카드 297만 명, KT 불법 소형 기지국을 통한 무단 소액결제까지, 통신·유통·금융이 동시에 뚫렸다.

주목해야 할 것은 원인이 하나같이 고급 기법이 아니었다는 점이다.

• 국제 권고와 달리 인증키를 암호화하지 않고 평문으로 보관
• 수년간 패치되지 않은 서버 취약점이 초기 침투 경로로 사용
• 퇴사자의 접근 권한이 장기간 회수되지 않음
• 초기 비밀번호를 그대로 둔 기기가 대량 노출
• 침해를 인지하고도 법정 신고 의무 미이행

탐지 기술이 없어서가 아니다. 자산·계정·권한에 대한 기본 통제를 운영하지 못해서 생긴 사고들이다. 그리고 이 기업들 대부분은 ISMS 또는 ISMS-P 인증 보유 기업이었다.

2026년, 위협은 다시 커지고 규제 축은 이동했다

과학기술정보통신부와 KISA가 발표한 2026년 상반기 동향에 따르면, 침해사고 신고는 1,236건으로 전년 동기 대비 19.5% 증가했다. 서버 해킹은 487건으로 8.3% 줄었지만, DDoS는 373건으로 56.7%, 랜섬웨어는 145건으로 76.8% 급증했다. 서비스형 랜섬웨어(RaaS)와 초기 접근 브로커의 분업 구조가 정착되면서, 전문 공격자가 아니어도 침해된 계정을 사서 공격에 가담할 수 있게 됐다.

동시에 규제의 축이 이동했다. 2026년 1월 22일 AI 기본법이 시행되며 한국은 EU에 이어 세계 두 번째로 포괄적 AI 규제 체계를 갖췄고, 개정 법률과 시행령이 7월 21일 함께 시행됐다. 고영향 AI 판별, AI 영향평가, 생성형 AI 표시 의무, 국내 대리인 지정이 실무 쟁점으로 떠올랐다.

역사가 남긴 세 가지 질문

첫째, 왜 늘 사고 뒤에 법이 오는가. 선제적 리스크 평가 체계 없이는 다음 사고도 같은 순서를 반복한다.

둘째, 인증은 왜 사고를 막지 못했는가. ISMS-P 통과와 실질 보안 수준 사이의 간극이 2025년에 다시 확인됐다. 문서 심사에서 운영 검증으로의 전환이 과제다.

셋째, AI 시대의 컨트롤타워는 누구인가. AI 기본법·개인정보보호법·정보통신망법이 중첩되는 영역에서 조율 주체가 불분명하다. 「사이버안보 기본법」은 2006년 첫 발의 이후 20년 가까이 국회를 통과하지 못하고 있다.

맺으며

38년의 역사가 알려주는 교훈은 역설적이다. 위협은 정교해졌지만, 사고의 원인은 여전히 기본에 있다. 그리고 규제는 늘 사고보다 한 발 늦게 온다.

지금 필요한 것은 새로운 솔루션의 도입이 아니라, 보유한 자산과 계정, 권한을 실제로 통제하고 있는지 검증하는 일이다. 여기에 AI 도입이 만들어내는 새로운 공격 표면과 규제 의무가 더해졌다.

SPI 컨설팅(한국보안정책연구원)은 AI 보안과 규제 대응을 중심으로, 조직의 실질 보안 수준을 진단하고 AI 기본법·개인정보보호법 준수 체계 구축을 지원합니다.
관련 문의는 언제든 환영합니다.

출처: 과학기술정보통신부·한국인터넷진흥원 「2026년 상반기 국내 사이버위협 동향」, 개인정보보호위원회 발표자료 등