최근 SK텔레콤·KT·롯데카드 등 대형 보안사고가 연이어 발생하면서 단순한 ‘해킹 사건’이라는 범주를 넘은 사회적 충격이 확산되고 있다. 통신과 결제·금융은 우리 일상과 경제의 핵심 인프라다. 이들에 균열이 생기면 단기적 금전 손실을 넘어 신원도용·피싱의 고도화, 사회적 불안과 행정 집행 차질로 이어진다. 이에 우리는 즉각적 조치와 근본적 구조 개선을 병행해야 하고, 그 핵심은 시간축(단기·중기·장기)에 따른 실무적 과제의 병행이다.

우선 단기 과제는 ‘피해 최소화와 증거 보전’이다. 사고가 확인되면 기업은 피해 가능 고객에게 즉시 통지하고 의심거래를 차단·환불하며 카드 재발급·신용모니터링을 제공해야 한다. 동시에 수사와 피해구제의 기초가 되는 기술적 증거를 확보해야 한다. 로그·패킷(PCAP)·인증·프로비저닝·기지국 시그널 등은 무결성(해시·타임스탬프) 방식으로 보전되어야 하며, 초동 단계에서의 투명한 공시는 소문·추가 피해를 막는 최소한의 방패다.

중기 과제는 ‘기술·운영 체질의 개선’이다. 말단 장비와 소형 기지국은 펌웨어 서명·안전부팅을 통해 정품 펌웨어만 실행되게 하고, 자동 패치 체계를 마련해 알려진 취약점이 현장에 남지 않도록 해야 한다. 망 연결(백홀) 구간은 반드시 암호화하고 상호인증을 적용해 도청·위조를 차단해야 한다. 결제·인증 흐름은 문자메시지(SMS)에만 의존하지 않도록 디바이스 바인딩, 인증앱·푸시, 하드웨어 토큰, 결제정보의 토큰화 등 다층 인증으로 전환하고 고위험 거래에는 추가적인 사람 확인을 요구해야 한다. 조직 내부에서는 특권계정 관리를 도입하고, 통합 로그 기반의 실시간 이상탐지(EDR·SIEM·행동분석)과 자동 차단 워크플로를 마련해 ‘발견→차단→복구’가 빠르게 이뤄지도록 해야 한다.

장기 과제는 ‘제도와 거버넌스의 재설계’다. 기능이 같으면 규제도 같아야 한다는 원칙 아래 통신·결제·금융 인프라에 대한 최소 보안기준을 법제화하고, 표준화된 로그 보존 항목·기간, 침해 통지 시한 및 공시 포맷 의무화가 필요하다. 정기적 외부감사와 모의공격 검사를 법적 의무로 규정하고 반복적·중대한 과실에는 과징금·업무정지·허가취소 등 실효성 있는 제재를 부과하되 재발방지 이행계획의 제출과 외부 검증을 병행하는 방식이 효과적이다. 국제적 범죄에 대응하기 위한 공조체계(MLAT)와 거래소·결제사업자 간 협업 채널도 조속히 정비해야 한다.

무엇보다 기업 경영진의 인식 전환이 절실하다. 이사회와 최고경영자(CEO)는 보안 성과평가지표(KPI)를 도입하고 예산과 권한을 명확히 보장해야 하며, 인수합병(M&A)·외주 단계에서 보안 실사를 의무화하고 정보보호최고책임자(CISO)의 독립성과 권한을 확보해 조직 전체의 책임 체계를 확립해야 한다. 시민도 기본 수칙을 지켜야 한다. 불필요한 개인정보 유출을 자제하고, 계정별 강력한 비밀번호와 인증앱·하드웨어 토큰을 사용하며 의심스러운 알림은 즉시 신고하자.

결론적으로 이번 연쇄 사고는 디지털 편의만 누렸던 시대에 대한 경고다. 기술적 패치·운영 개선·법제 정비·민·관·국제 협력·경영진의 결단이 함께할 때만 신뢰를 회복하고 재발을 막을 수 있다. 늦출수록 비용과 신뢰의 손실은 커진다. 디지털 인프라 안전 확보는 더 이상 선택이 아닌 국가적 과제다.