제10회 아랍 사이버보안 콘퍼런스 참가자들은 데이터와 디지털 시스템 보호에 대한 책임 범위를 모든 부처와 기관, 기업으로 확대하고, 이를 기술 부서나 특정 부문에 한정하지 말 것을 촉구했다. 이러한 요구는 콘퍼런스 행사와 함께 열린 기자회견에서 나왔다. 이번 회의는 통신·정보기술부, 재무부, 산업부, 국가통신규제청의 후원으로 개최됐다.
아랍 사이버보안 콘퍼런스 의장인 바하 하산 박사는 공격의 규모와 복잡성이 증가하는 상황에서 기관들이 전문 인력을 양성하고 교육, 기술 인프라 및 역량 구축을 위한 예산을 배정해야 한다고 말했다. 그는 디지털 서비스 의존도가 확대되고 유통되는 데이터가 증가하는 상황에서 사이버보안을 미룰 수 있는 항목으로 취급하는 것은 더 이상 용납될 수 없다고 평가했다.
규제 기준으로서의 은행 부문 사례
하산은 이집트 중앙은행의 사례를 높이 평가하면서, 은행 내부의 대비 수준 향상은 금융기관에 교육과 역량 개발을 위한 지출을 의무화한 선제적 비전이 존재했기 때문이라고 봤다. 그는 부문별로 준수 수준이 달라지도록 방치하는 대신 이 모델을 국가 기관과 민간 부문 기업에 확대 적용할 것을 촉구했다.
iSec의 부회장인 아흐메드 바하 엔지니어는 다른 부문에도 은행 및 금융감독과 같은 부문에 존재하는 모델과 유사한 명확한 규제 체계가 필요하다고 말했다. 그는 석유와 통신을 데이터 보호와 위험 관리에 관한 보다 명확한 규정이 필요한 분야로 언급했다. 또한 프랜차이즈 기업 역시 고객 데이터와 주소, 번호 및 민감한 정보를 다루기 때문에 의무 준수 대상에 포함되어야 한다고 덧붙였다.
인공지능과 인력 부족
바하 하산은 인공지능을 사이버보안에서 이중 용도로 사용되는 도구라고 설명했다. 인공지능은 위험을 평가하고 공격을 조기에 탐지하는 데 활용될 수 있지만, 동시에 더욱 복잡한 공격을 수행하는 데에도 사용된다. 참가자들에 따르면 이는 각 기관 내부의 분리된 해결책에 의존하기보다 기관과 국가, 전문가 간의 더욱 큰 협력을 요구한다.
하산은 이집트 시장에서 전문 인력이 계속 부족하며, 상당수의 인재가 해외에서 일하는 방향으로 나아가고 있다고 지적했다. 또한 기관이 재정적 압박을 받을 때 교육을 중단하는 관행을 비판하면서 역량 개발은 지속되어야 한다고 강조했다. 그는 국가통신규제청과 협력해 iSec이 소속 엔지니어들이 매년 3개의 공인 자격증을 취득하는 프로그램을 시행하고 있다고 밝혔다.
실제로 무엇이 달라지는가?
콘퍼런스의 발언들은 사이버보안을 내부의 기술 활동에서 광범위한 부문에 적용되는 행정적·규제적 의무로 전환하는 구상을 제시한다. 그러나 해당 자료는 새로운 법률이나 시행 일정, 구체적인 의무화 방식을 정하지 않고 있다. 따라서 중앙은행 사례와 정기적인 감독을 확대하자는 요구는 세부 사항이 완성된 공식 정책이 아니라 제안된 틀로 남아 있다.
콘퍼런스 행사 중 열린 Arab Security Cyber Wargames 대회에는 전 세계에서 350개 팀이 참가했으며, 10개 팀이 상위 3개 순위를 놓고 경쟁할 자격을 얻었다. 또한 이번 콘퍼런스에는 워크숍과 아랍 및 국제 전문가·연사들의 참여가 포함되며, 은행과 정부 기관의 관계자들을 시상하는 행사도 진행된다.
이러한 논의는 국가와 민간 부문, 교육 및 과학연구 기관 간 협력의 중요성을 보여준다. 그러나 실질적인 영향은 일반적인 촉구를 측정 가능한 요건으로 전환하고, 교육에 지속적으로 자금을 지원하며, 데이터 보호에서 기관의 책임을 명확히 규정하는 명확한 규칙을 마련하는 데 달려 있다.