현대전, 정유소·데이터센터·해저케이블 겨냥…기업 보안이 국가안보로 부상

정유소·공항·데이터센터 피격…발트해·대만 주변 해저케이블 장애 반복
디지털 공격이 물리 피해로 전환
기업, 방호 비용·규제 부담에 반발…정부 보조금·군 대응 범위 요구

이란 국영 TV 진행자가 5월 15일(현지시간) 테헤란의 한 스튜디오에서 아랍에미리트(UAE) 국기를 향해 사격 시늉을 하고 있다./로이터·연합

현대전이 민간 국가 기반 시설을 표적으로 삼으면서 국가 안보와 기업 안보의 경계가 무너지기 시작했고, 이에 따른 자산 보호 비용을 누가 부담할지를 두고 기업과 정부가 조율에 어려움을 겪고 있다고 미국 일간 월스트리트저널(WSJ)이 4일(현지시간) 보도했다.

WSJ는 무역 네트워크가 긴밀해진 현대전 체제 아래에서 민간 기업 자산의 군사적 가치가 커짐에 따라 과거 군대만이 제공하던 수준의 물리적·디지털 보호 조치를 요구받는 민간 시설이 늘고 있다고 전했다.

◇ 이란, 민간 인프라 공격…기업 자산이 전장으로 이동

이란은 지난 2월 28일 발발한 미국·이스라엘과의 전쟁에서 군사 자산에만 공격을 국한하지 않고, 페르시아만에 발이 묶인 유조선과 정유소, 석유화학 시설, 민간 공항, 알루미늄 제련소, 해수담수화 시설, 아마존 데이터센터까지 타격했다고 WSJ가 전했다.

이란의 드론 공격은 아랍에미리트(UAE)와 바레인의 데이터센터를 가동 불능으로 만들었는데, 이는 인공지능(AI) 의존도 심화로 데이터센터가 불가결한 자산이 된 상황에서 전 세계에 울리는 경보음 중 하나라고 WSJ는 분석했다.

해커들은 컴퓨터 파일 탈취를 넘어 건물 출입 관리·공장 제어·식수 시스템을 겨냥해 원격으로 물리적 피해를 유발하거나 첩보 활동을 가능케 하고 있고, 실제 러시아 배후로 추정되는 해커들은 1년 전 노르웨이 수력발전 댐의 밸브를 원격 조작했다고 WSJ가 보도했다.

미국 당국은 4월에 이란 해커들이 하드웨어와 소프트웨어를 연결하는 컴퓨터 장비를 겨냥해 미국 식수 시스템을 교란하려 했다고 경고했다. 이탈리아 보안 스타트업 엑세인(Exein)의 잔니 쿠오초 최고경영자(CEO)는 "디지털 공격은 물리적 문제를 만들어낸다"고 말했다.

3월 14일(현지시간) 아랍에미리트(UAE) 푸자이라 항구의 에너지 시설 방향에서 연기가 피어오르고 있다./AFP·연합

◇ 해저케이블 장애 반복…발트해·대만 주변 책임 공백 확대

발트해에서는 2023년 10월 중국 선적 화물선에 의한 발트해 해저케이블 장애를 시작으로 2024년 11월 C-라이언 1 케이블과 BCS 이스트-웨스트 인터링크 케이블이 각각 중국 선적 컨테이너선에 의해 손상됐으며 같은 해 12월엔 쿡 제도 선적 유조선에 의해 에스트링크 2 케이블 장애가 발생했다고 WSJ가 영국 런던의 국제전략연구소(IISS) 자료를 인용해 전했다.

이어 2025년 1월엔 몰타 선적 컨테이너선에 의해 스웨덴-라트비아 광섬유 케이블 장애가 발생했고, 올해 1월 BCS 이스트 케이블이 미확인 선박에 의해 교란됐다. 12월 31일에는 세인트빈센트그레나딘 선적 선박에 의해 핀란드-에스토니아 연결(FEC) 케이블이 손상됐다.

대만 주변에서도 2023년 2월 중국 선적 어선과 화물선에 의한 대만(臺灣)·펑후(澎湖)·진먼(金門)·마쭈(馬祖) 2호·3호 케이블 장애를 시작으로 2025년 1월 카메룬 선적 컨테이너선에 의한 환태평양 익스프레스(TPE) 케이블 시스템 장애, 2월 토고 선적 컨테이너선에 의한 3호 케이블 추가 장애가 이어졌다.

국경을 가로지르거나 전투 중 손상된 해저 데이터케이블과 에너지 파이프라인에 대한 관할권 및 책임 소재 파악이 난제로 부상하면서 법 집행기관과 군 사이의 영역 다툼이 이미 대응 노력을 복잡하게 만들고 있다고 WSJ는 짚었다.

이란 적신월사 소속의 베일을 쓴 한 여성이 3월 8일(현지시간) 전날 저녁 미국과 이스라엘 군이 공습한 이란 테헤란 샤흐런 석유저장소에서 피어오르는 연기를 바라보고 있다./EPA·연합

◇ 독일, 드론 대응에 군 투입 확대…유럽 사보타지 표적 확산

국제전략연구소는 에스토니아·라트비아·핀란드·폴란드·독일·프랑스·영국·스페인·불가리아 등 유럽 전역에서 민간 인프라에 대한 사보타지(파괴 공작) 표적을 '거의 확실(Almost certain)'·'매우 가능(Highly likely)'·'가능(Likely)'의 3단계 가능성으로 분류했다고 WSJ가 보도했다.

지난해 러시아 배후로 추정되는 드론이 유럽 공항 상공을 선회했을 때 각국 정부는 누가 대응해야 할지를 놓고 혼란을 겪었으며 독일 정부는 올해 초 산업·안보 시설에 대한 드론 비행이 잇따르자, 통상 지방 법 집행기관이 담당하는 지역에서도 군에 드론 대응 권한을 부여했다고 WSJ가 전했다.

이탈리아 해군 제독인 주세페 카보 드라고네 북대서양조약기구(NATO·나토) 최고 군사자문역은 "방위 개념을 넓게 봐야 한다"며 "방위는 더 이상 군사 영역에 국한되지 않는다"고 강조했다.

나토 지출 목표는 사이버보안·산업 역량에서 군사 물류에 필요한 철도·교량·항만까지 광범위하게 걸쳐 있으며 이에 대한 진전 사항이 이번 주 튀르키예에서 열리는 나토 정상회의의 주요 의제가 될 전망이라고 WSJ는 전했다.

◇ 기업, 보호 비용·규제 부담에 반발…정부 보조금·군 역할 요구

독일에서는 민간 기업과 공공 유틸리티를 대표하는 유력 단체들이 재정 파탄을 초래할 수 있다며 새로운 물리적 보호 기준에 강력히 반발했고, 뉴질랜드 정부도 핵심 인프라 기업과 임원에게 사이버보안 위반으로 벌금을 부과하는 법안을 두고 업계 단체의 저항에 직면했다고 WSJ가 보도했다.

분쟁 지역 전반에서 담수화 시설과 데이터센터 같은 핵심 인프라는 강화 콘크리트 보강, 백업을 위한 시설 이중화, 지하 이전까지 필요할 수 있어 막대한 비용이 수반된다고 WSJ는 짚었다.

유럽연합(EU)은 2022년 2월 러시아의 우크라이나 전면 침공 이후 취약성 감소를 의무화하는 새 규정을 채택했으나 많은 회원국이 일정에 뒤처져 있고, 미국에서는 의회가 2018년 사이버보안·인프라보안국(CISA)을 설립했으나 최근 수년간 예산과 인력이 축소됐다.

영국은 19세기 전신 케이블 시대 법규를 갱신해 해저 사보타지에 대한 처벌을 강화하는 새 법안을 추진 중이다. 기업 경영자와 위험 전문가들은 지난 3월 하버드비즈니스리뷰(HBR)에 게재한 공동 촉구문에서 기업 보안을 이사회급으로 끌어올려야 한다며 '최고회복력책임자(CRO)' 신설을 촉구했는데, 이는 1990년대 금융 격변 이후 재무 담당자가 최고경영자의 핵심 참모진으로 부상한 전례와 같은 맥락이라고 WSJ는 설명했다.

이 같은 흐름은 2001년 9·11 테러 이후 공항 운영이 안보 최우선 체제로 전면 개편되고, 미국이 연방 정부 체계를 재구성하며 수천억 달러를 국토 안보에 쏟아부은 것에 비견된다고 WSJ는 분석했다.

미국 교통부와 국토안보부에서 30년간 사이버보안과 인프라 안보 업무를 담당한 마크 글래서는 "민간 소유자가 중복성·감시·복구 역량에 투자할 수 있지만, 적대적 국가 행위의 억지·순찰·귀속·대응은 정부와 군만이 실질적으로 할 수 있다"고 말했다.

글로벌 통신기업 보다폰의 노먼 하이트 글로벌 기업 보안·회복력 담당 이사는 "기업들이 국가의 핵심 인프라 보호를 지원하도록 기대받는다면 그에 대한 인센티브가 제공돼야 한다"고 지적했다. 이어 그는 "우리는 너무 오랫동안 평화에 안주해왔다"며 "기업 물리적 보안은 국방처럼 공공재"라고 강조했다.