위기관리 분야에서 잘 인용되고 '1:29:300의 법칙'으로도 알려져 있는 하인리히 법칙이란 것이 있다. 한 번의 위기 사건이 발생하기 전에는 29번의 유사 사건과 300번의 잠재 징후가 있다고 한다. 그래서 300번의 징후와 29번의 경고를 간과하지 않고 대비한다면 큰 실패를 막을 수 있다는 것이다. 실제로도 대규모의 재해, 재난 등 충격이 아무런 경보 없이 일어나는 경우는 거의 없다고 한다.

우연에 의한 충격의 발생 가능성은 실제의 데이터, 즉 지진, 홍수, 허리케인이나 번개 등의 발생빈도와 같이 쉽게 구할 수 있는 데이터로부터 계산할 수 있으며 뿐만 아니라, 이 같은 현상들은 통계분포를 따르고 있는 것으로 보이기 때문에 예외적인 큰 충격의 발생 가능성을 흔히 보이는 작은 사건들로부터 추론할 수 있다. 비록 사고의 발생은 인위적인 요소를 갖고 있기 마련이지만 사고도 이와 비슷한 관계를 따르고 있는 것처럼 보인다. 많은 수의 작은 사고들은 보다 심각한 사고의 전조일 수 있다. 이는 위기일반 분석의 기초를 이루는 것이다. 과거의 작은 사고들로부터 배움으로써 기업은 사고를 일으키는 환경을 시정할 수 있게 되고 따라서 큰 충격이 발생할 가능성을 낮출 수 있게 된다.

의도적 위협/공격의 위험성
하지만 고의적/의도적으로 손상을 미치는 위협/공격(Intentional Disruption)의 경우에는 이 하인리히 법칙과 논리가 잘 맞지 않는다. 의도적인 위협의 경우, 그 공격이 방어수단에 대한 적응성이 있기 때문에(Adapt To Defensive Measures) 그 가능성을 예측하는 것이 보다 어렵다. 고의적 손상 사건의 대표적인 ‘테러’의 경우에는 테러범들이 공격의 성공과 함께 최대한의 피해를 입힐 것을 목적으로 한다. 결과적으로 하나의 가능한 테러 목적물을 특정 형태의 공격으로부터의 보호를 ‘강화’하는 것은 다른 목적물에 대한 공격의 가능성을 높이거나 또는 다른 형태의 공격의 가능성을 높일 수 있다.

또한 이 같은 의도적 공격은 최악의 시점에 최악의 장소에서, 즉 기업이 가장 방비가 되어 있지 않은 때에 일어날 것이라는 것을 의미한다. 또 하나의 예로 파업을 보자. 기업이 예상치 못하거나 또는 최대의 경제적 손실을 일으키는 것을 목적으로 한 방법과 시점에서 일어나는 피해를 보여준다. 2002년 여름, 미국 항만노조(ILWU, International Longshore and Warehouse Union)는 서부지역의 항만들을 마비시켰다. 당시 항만노조는 노동쟁의의 효과를 극대화하기 위해 10월, 즉 미국의 연말 쇼핑시즌에 대한 준비로 동남아로부터의 선적량이 가장 많은 시점에 항만을 마비시키기로 결정했다.

그래도 역시 뭐니뭐니해도 테러리즘이야말로 궁극적인 의도적 공격/손상의 전형적인 예이다. 마드리드 폭탄테러범들은 9.11 테러사건 이후 전 세계 공항이 보안대책을 강화했기 때문에 항공기나 공항을 대상으로 삼지 않았다. 대신 이들은 방어에 소홀한 목표물, 즉 마드리드 중심부의 열차들을 선택했다. 2004년 3월에 일어난 이 공격은 출근시각 붐비는 열차로 인해 피해규모가 최대로 발생할 때를 골라 일어났다. 노동쟁의나 정치적 의도는 테러와는 아무 관계가 없다는 것이 사실이다. 의도적인 공격은 가장 불리한 시점에 가장 취약한 곳에서 발생할 것이라는 것이 문제이다.

새로운 취약성들 생겨날 수 밖에…
이번 7.7 사이버테러에 대한 여러 의견들이 분분하다. 하지만 중요한 것은 계속적으로 공급체인이 전 세계에 걸쳐 연결되고 복잡해지고 있으며 국내외 기업들은 안정된 정보와 통신에 크게 의존하게 되고 있다는 상황은 계속 심화되고 있다는 것이다. 디자인 사양과 변경, 자재 주문 및 주문 변경, 선적 통지 및 이상 경보, 지불 및 리베이트 등 모든 과정이 빛의 속도로 전 세계에 걸쳐 이동하고 있고, 더욱이 기업들이 많은 물리적 프로세스를 자동화함에 따라 컴퓨터 해커 및 사이버 테러리스트들에게 더 많이 취약하게 되었다.

글로벌 보안회사들을 보면, 전 세계에 산재된 감시 기지국을 통해 매달 1000개 이상의 새로운 컴퓨터 변종 바이러스를 찾아낸다. 이들 바이러스들 중 많은 것들은 무해한 것이지만 일부는 그렇지가 않다. 일부 바이러스는 공격대상인 웹서버에 메시지를 집중적으로 보냄으로써 네트워크를 마비시키도록 되어 있다. 소위 ‘서비스 거부(Denial of service, DOS)’ 공격은 한 컴퓨터에서 다른 컴퓨터로 옮겨 다니는데 각 컴퓨터에 저장된 e-메일 주소록을 이용해 e-메일이나 무작위의 웹 주소를 통해 다른 컴퓨터에 바이러스를 첨부한 메시지를 보낸다.

과거에 피해가 가장 컸던 바이러스들로서는 1999년의 멜리사, 2000년의 러브 버그, 2001년 코드 레드와 코드 레드Ⅱ, 2003년 슬래머 등이 기억날 것이다. 비록 이들 바이러스 공격들 중 많은 것들은 특정 회사를 목표로 하고 있지는 않지만 오늘날의 자동화되고 연결된 시스템에서는 새로운 취약성들이 생겨날 수밖에 없다. 예를 들어 호주에서 일어난 실제 사례인데, 거주 지역의 수도관리국에 구직원서를 제출했다가 거절당했다는 이유로 양방향 라디오와 기본적인 원격조정 장치, 그리고 노트북 컴퓨터를 동원해서 수도관리국의 통제시스템을 해킹했다.

결국 100만 리터의 미처리된 하수가 시내 거리와, 수로, 강, 공원 그리고 호텔 등 휴양지역으로 쏟아져 나와 이를 청소하는 데는 1주일이 넘게 걸렸으며 그 냄새와 환경파괴로 인한 피해는 청소가 끝난 후에도 한참이나 지속되었다고 한다. 비록 인명피해는 없었지만 한 개인의 공격 대상이 되었던 자동화 시스템이 사이버 테러에 어느 정도 취약한지, 그리고 단체가 아닌 개인도 얼마든지 이러한 테러의 주체가 될 수 있다는 것을 여실히 보여주고 있다.

대응 방안과 사례
의도적 공격은 그 적응성 때문에 새로운 위협의 성격을 예측하는 데 있어 과거의 데이터는 별 큰 도움이 되지 않는다. 예를 들어 미국은 9.11 테러 이후 공항의 보안을 강화했지만, 공항의 경비강화에 따라 예상되는 다른 형태의 테러공격에 대해서는 여전히 준비되어 있지 않은 상태이다. 미 해군 및 공항의 경우에는 ‘레드 팀(Red Team)’ 훈련을 통해 의도적인 위협과 그 발생 가능성을 가늠하고 보다 잘 이해하려고 노력한다. 이 같은 훈련에서는 한 그룹의 전문가들은 가상 적의 역할을 담당하면서 조직의 취약점을 찾아내어 여러 가지 공격에 대한 시뮬레이션을 하게 된다.

예를 들어 2000년 11월 미국 에너지 담당 정부부처와 유타 올림픽 공공안전 지휘부는 ‘블랙 아이스’라고 하는 훈련을 실시했는데, 이는 핵심적인 인프라의 취약성을 이해하기 위해 일부 인프라의 손실과 동시에 사이버 공격이 발생하는 상황을 상정한 훈련이었다. 훈련은 먼저 가상의 폭설로 인해 발전 및 송전설비가 손상되어 해당지역에 대한 전기 공급능력이 떨어진 상황에서부터 시작됐다. 여기에 이 지역의 송전망을 통제하는 감독 통제 데이터 취득 시스템에 가상의 사이버공격이 가해짐으로써 상황은 더욱 악화되었다.

시뮬레이션의 결과, 솔트레이크 시티는 천연가스, 수도 및 통신시스템의 작은 이상에도 취약하다는 것이 드러났다. 이와 비슷하게 2002년 7월, 가트너(Gartner) 리서치와 미 해군 군사대학은 ‘디지털 진주만’을 실험했는데 이는 핵심적인 인프라 시설에 대한 가상의 사이버 공격 시뮬레이션이었다. 실험결과 이 같은 공격이 발생했을 때 정부에 의한 중앙조정 시스템의 필요성이 드러났다. 실험에서 얻은 또 다른 사실은 고립된 인프라들에 대한 공격이 훨씬 더 어렵다는 것이다. 이 같은 ‘레드 팀’ 시뮬레이션을 통해 방어를 담당하는 ‘블루 팀(Blue Team)’은 자신의 취약점을 파악하여 미처 생각지 못했던 의존성을 찾아낼 수 있는 것이다.

시뮬레이션은 또한 이를 이용하는 기업으로 하여금 불확실성과 유연한 반응, 책임, 그리고 담당라인 등을 생각하게 함으로써 기업을 ‘사회화’하고 보다 적응력 있고 탄력성 있는 조직이 되도록 한다. 앞에서도 언급했지만 의도적인 위협의 경우 그 공격이 방어수단에 대한 적응성이 있기 때문에(Adapt To Defensive Measures) 그 가능성을 예측하는 것이 보다 어렵다. 공격의 형태와 그 가능성을 예측하기 위해서 기업 위기관리, BCP 담당자들은 ‘적처럼 생각해야’ 하고 다른 기업이 경험한 사례들과 시뮬레이션을 통한 ‘레드 팀’의 공격을 활용해야 한다.

앞으로의 과제
이번 7.7 사이버 테러 사건이 아니더라도 사이버 공간을 통해 전통적 테러리즘이 확대되고 있는 것은 계속 우려되고 있는 현실이며, 테러리스트들은 인터넷 활동을 통해 심리전의 전개, 선전 및 홍보의 수단, 정보수집, 자금 확보, 조직원 모집 등을 시도하며 테러행위를 구체화시키고 있다고 한다. 군사 전문가에 따르면 이번 7.7 사이버 테러의 공격형태가 중국의 사이버 전쟁술의 영향을 받았다고 말하고 있다. 소위 점혈(點穴=급소)전쟁 방식으로 불리는 데, 약한 것으로 강한 것을 대적하며 실한 것은 피하고 허한 것을 공격한다는 전략이다.

대규모 첨단전력으로 구성된 상대방에게 대응하기 위해서 가장 효과적인 방법으로, 적의 급소를 공격해 마비시킨 뒤 전세를 역전시킨다는 것이다. 중국이 생각하는 점혈전쟁의 수단 가운데 핵심적인 방법이 사이버전쟁이며, 정보화된 첨단전력에 취약한 중국은 미국이 수행한 걸프전(1991년)과 코소보 전(1999년)을 관전하면서 미군의 가장 취약한 부분은 컴퓨터 네트워크라고 판단했다고 한다.

미군은 군사력을 지휘통제자동화체제(C4I: Command Control Communication Computer and Intelligence)와 연동해 신속하게 집중함으로써 전투를 효과적으로 수행하고 있으며, 유사시 미군의 컴퓨터와 네트워크를 마비시키는 게 급선무라고 간파했다는 것이다. 사이버 테러리즘의 최악의 시나리오는 국가 주요시설이 해킹 등의 공격을 받고 본래 기능을 상실하거나 통제불능 상태가 되는 것이며, 이는 국가 주요 기반시설 중단으로 인한 인프라 서비스 제공 중단으로 경제, 사회는 물론 개별 민간 기업에 미치는 영향은 상상할 수 없을 만큼 어마어마하다.

파괴적 사이버 테러리즘은 관련 기술의 진화와 관련성이 깊다. 기술의 진보가 오히려 취약점을 증대시킨 결과를 초래한 것이다. 기술적 측면의 취약성은 프로그래밍 특성 또는 운영체제, 프로토콜 또는 서비스, 애플리케이션의 설정 오류 등으로 나타난다. 이번 7.7 사이버테러 사태로 여러 전문가들의 우려와 조언과 아이디어들이 나오고 있다. 몇가지 눈에 띄는 것을 기술해 보면, 예를 들어 스마트그리드(지능형 전력망)가 전면적인 수정·보완없이 현재의 전력 및 지능망을 활용해 운용될 경우 해킹 등 사이버테러에 악용될 수 있다는 우려도 재기되고 있다.

미 의회에서는 국가 경계를 무색하게 하는 사이버 테러를 대응하기 위해 ‘글로벌 사이버 안보 강화법’ 제정을 추진한다고 한다. 이 외에도 사이버 테러 대응을 위한 민관합동기구인 컨트롤 타워 설립과 전문대응인력 양성 등 여러 의견들이 나오고 있다. 이를 계기로 국가기관은 물론이고 민간영역에서도 사이버안전대책을 강화시킨 위기관리체계의 점검과 대응매뉴얼의 항목들에 대한 점검을 고도화, 정형화하는 노력, 이번 사건으로 인한 교훈을 잘 반영한 대책들이 앞으로 활발히 추진되어야 할 것이다.

유종기