올해 발표된 마이크로소프트 디지털 방어 보고서(Microsoft Digital Defense Report)에 따르면, 정부 기관 및 서비스는 2026년 사이버 위협의 영향을 가장 많이 받은 부문으로, 전체 관측 활동의 27%를 차지했습니다. 이는 2025년 17%에서 증가한 수치입니다. 또한 정부 기관은 국가 배후 위협 활동의 주요 표적이 된 분야이기도 합니다. 민감한 정보를 보유하고 필수 서비스를 제공할 뿐 아니라, 공공기관과 계약업체, 기술 제공업체, 중요 인프라 운영기관이 서로 연결된 생태계의 중심에 있기 때문입니다.

공격자가 조직에 침투한 시점부터 방어자가 이를 탐지하고 차단하기까지 걸리는 ‘체류 시간(dwell time)’ 역시 올해 여러 분야에서 늘어났습니다. 조직이 침입을 확인한 이후 대응하는 속도는 빨라졌지만, 위협을 조기에 탐지하는 것은 여전히 어려운 과제로 남아 있습니다. 공격자가 정상적인 활동을 모방해 조직에 침투하는 사례가 늘면서 악성 활동을 식별하기도 더욱 어려워지고 있습니다. 실제로 관측된 침입 가운데 피싱이 차지하는 비중은 2025년 7%에서 2026년 23%로 증가했습니다. 이는 침해된 신원이 보다 광범위한 공격으로 이어지는 주요 진입점이라는 점을 보여줍니다.

이러한 결과가 정부에 시사하는 바는 분명합니다. AI 시대의 보안은 더 이상 개별 침입을 예방하는 데 그치지 않습니다. 위험이 서로 연결되고 위협이 더욱 빠르게 확산되며, 공격자가 더 오랫동안 탐지를 피하는 환경에서도 정부 기관이 핵심 기능을 안정적으로 수행할 수 있도록 하는 것이 중요합니다. 중요 인프라를 보호하고 신기술에 필요한 정책과 규제를 마련하기 위해서는 공공과 민간의 협력이 그 어느 때보다 중요합니다.

올해 보고서는 2025년 7월부터 2026년 6월까지 관측된 사이버 위협 동향을 분석했습니다. 보고서에서 테럴 콕스(Terrell Cox) 마이크로소프트 기업 부사장 겸 부최고정보보호책임자(Deputy Chief Information Security Officer)와 저는 이러한 변화가 사이버 위험 환경을 어떻게 재편하고 있는지 살펴봤습니다. 연계 블로그에서는 테럴 콕스가 이번 분석 결과가 최고정보보호책임자(CISO)와 보안 전문가에게 시사하는 바를 보다 자세히 설명합니다.

복원력 강화를 위해 정부가 집중해야 할 5대 우선순위

1. 빠르게 변화하는 위협 환경에 대비
AI로 인해 사이버 위협에 대응할 수 있는 시간은 점점 짧아지고 있으며, 공격자의 움직임도 빨라지고 있습니다. 실제 환경에서는 취약점이 발견된 후 공격에 악용되기까지 24시간이 채 걸리지 않을 수 있습니다. 한편, 일반적으로 CVE(Common Vulnerabilities and Exposures)로 추적되는 공개 소프트웨어 취약점은 2026년 역대 최대인 7만2,000건에 이를 것으로 전망됩니다.

미래 위협에 가장 잘 대비하는 정부는 관련 정보를 신속하게 수집·평가하고 의사결정을 내리며, 기관과 산업 전반의 대응을 조율하고 위기 상황에서도 효과적으로 소통할 수 있어야 합니다. 이를 위해서는 사고가 발생하기 전부터 각 주체의 책임을 명확히 하고 신뢰 관계를 구축해야 합니다. 이러한 사전 준비가 위기 상황에서 신속하고 체계적인 대응을 가능하게 합니다.

2. AI 생태계 전반에 보안 내재화
AI는 정부와 기업, 시민이 일상적으로 이용하는 인프라의 일부로 자리 잡고 있습니다. 정부가 공공서비스 전반에 AI 도입을 확대하고 활용을 장려하는 과정에서 AI 보안은 제한적인 기술 문제가 아닌 복원력의 관점에서 접근해야 할 과제입니다.

AI 시스템은 서로 연결된 인프라와 데이터, 모델, 애플리케이션, 공급업체, 거버넌스 절차에 의존합니다. 정부는 설계 단계부터 보안을 적용하는 시큐어 바이 디자인(Secure by Design)을 비롯해 AI 시스템 테스트 및 평가, 공급망 보호, 투명성과 책임성 확보, AI 위험에 대한 국제 협력을 통해 생태계 전반의 보안을 강화해야 합니다.

중요한 것은 별도의 AI 보안 의제를 만드는 것이 아닙니다. AI 보안을 중요 인프라 보호와 국가 복원력을 강화하기 위한 보다 광범위한 정책과 대응 체계에 통합하는 것입니다.

3. 사고 확산을 고려한 대응 계획 수립
침입이 발생한 직후에는 해당 활동이 범죄적 동기에서 비롯된 것인지, 지정학적 목적에 따른 것인지, 또는 다른 성격의 활동인지 즉시 파악하기 어려울 수 있습니다. 사이버 범죄자와 국가 기반 위협 행위자는 서로 다른 목적을 추구하지만, 침해된 신원, 외부에 노출된 애플리케이션, 사회공학, 정상적인 관리 도구 등 공통된 진입 경로를 활용하는 사례가 늘고 있습니다.

마이크로소프트는 유효한 계정이 사용된 침입의 52.2%에서 추가적인 자격증명 탈취가 발생한 사실을 확인했습니다. 이는 공격자가 최초 침투 지점을 넘어 얼마나 빠르게 영향 범위를 확대할 수 있는지를 보여줍니다. 처음에는 별개의 사고처럼 보이는 침해도 랜섬웨어, 첩보 활동, 데이터 탈취, 필수 서비스 중단으로 이어질 수 있습니다.

따라서 정부는 사고가 어떻게 시작됐는지뿐 아니라 어디까지 확산될 수 있는지도 함께 평가해야 합니다. 대응 계획에는 핵심 기능을 지원하는 공급업체와 파트너, 서비스 제공업체도 포함해야 합니다. 공격이 최초 표적을 넘어 확산되면 조직과 산업을 넘어 국가 간 경계까지 넘을 수 있는 만큼, 글로벌 협력의 중요성도 더욱 커집니다.

4. 신속한 공공·민간 양방향 정보 공유 활성화
한 기관에서 발생한 계정 침해가 더 광범위한 공격 캠페인의 조기 경보가 될 수 있습니다. 개별적으로는 의미가 불분명한 신호도 여러 조직과 관할 지역의 정보와 결합하면 서로 연계된 공격 활동을 드러낼 수 있습니다. 현대의 사이버 범죄는 공격자와 서비스, 인프라가 상호 연결된 네트워크를 통해 이뤄지기 때문에 어느 한 기관만으로는 전체 상황을 파악하거나 범죄망을 와해시키기 어렵습니다.

따라서 정보 공유는 신속하고 신뢰할 수 있는 양방향 방식으로 이뤄져야 합니다. 이를 양방향 정보 공유(bidirectional information sharing)라고 합니다. 기업이 정부에 위협 정보를 보고하는 데 그쳐서는 안 됩니다. 공공기관 역시 조직이 네트워크와 고객, 운영 환경을 보호하는 데 활용할 수 있는 위협 인텔리전스와 지침, 경고를 제공해야 합니다.

신뢰할 수 있는 채널을 구축하면 법률과 개인정보 보호 요건을 준수하면서 정부기관과 법 집행기관, 중요 인프라 운영기관, 기술 제공업체, 국제 파트너 간 정보 교환을 활성화할 수 있습니다.

정책 입안자는 선의의 정보 공유를 위한 보호 장치와 공통 익명화 기준을 마련하고, 공동 위협 인텔리전스와 탐지 역량에 투자함으로써 이러한 협력을 지원할 수 있습니다. 정보 공유는 수사와 범죄망 와해, 심각한 사이버 침입에 대한 책임 규명 등 실질적인 조치로도 이어져야 합니다.

5. 중단 상황에서도 필수 서비스를 지속할 수 있도록 대비
정부가 공공서비스 제공을 위해 의존하는 교통 시스템과 통신 인프라, 학교, 대학, 중요 인프라 운영기관은 사이버 위협의 표적이 되는 경우가 늘고 있습니다. 따라서 복원력을 강화하려면 정부 시스템뿐 아니라 이를 뒷받침하는 더 넓은 생태계까지 함께 고려해야 합니다.

문서상의 계획만으로는 충분하지 않습니다. 정부는 정책 입안자와 운영 책임자, 법 집행기관, 중요 인프라 운영기관, 민간 파트너가 참여하는 시나리오 기반 모의훈련을 정기적으로 실시해 필수 서비스 중단 사고에 대한 대응 역량을 점검해야 합니다. 이러한 훈련을 통해 실제 위기가 발생하기 전에 의사결정과 정보 공유, 대외 소통, 부문 간 협력의 공백을 파악할 수 있습니다. 마이크로소프트가 지역 사이버보안 강화(Advancing Regional Cybersecurity, ARC) 프로그램과 같은 이니셔티브를 통해 수행해 온 활동은 시나리오 기반 훈련과 부문 간 협력이 더 넓은 생태계 전반의 대비 및 대응 역량을 강화하는 데 어떻게 기여할 수 있는지를 보여줍니다. 최근에는 케냐에서 관련 활동을 진행했습니다.

정부 책임자는 가장 중요한 서비스가 무엇인지 파악하고, 이를 지원하는 신원과 시스템, 공급업체, 인프라를 명확히 이해해야 합니다. 또한 사고 발생 시 상황을 어떻게 보고하고 대응 체계와 연결할 것인지도 사전에 정립해야 합니다. 공유 서비스 방식은 자체적인 보안 및 대응 역량을 구축하기 어려운 지방 정부와 공공기관까지 이러한 역량을 확대하는 데 도움이 될 수 있습니다.

사이버 사고가 조직과 국가의 경계를 넘어 확산되는 상황에서 복원력은 기술적 대비만으로 확보할 수 없습니다. 위기 상황에서도 기관들이 효과적으로 대응을 조율할 수 있는 역량이 필요합니다.

AI를 활용한 사이버 위협이 증가하고 위험의 상호 연결성이 높아지는 시대에, 복원력은 더 이상 공격 이후 복구하는 것만을 의미하지 않습니다. 사이버 사고가 이전보다 빠르게 전개되고, 더 넓게 확산되며, 더 많은 조직에 영향을 미치는 환경에 대비하는 것을 의미합니다.

미래 위협에 가장 잘 대비하는 정부는 피해를 억제하고 신속하게 적응하며, 시민이 가장 필요로 하는 순간에도 필수 서비스를 지속적으로 제공할 수 있는 정부입니다.

[출처 :  마이크로소프트(www.microsoft.com)]