사이버 서밋 코리아(CSK) 2026. (출처: CSK 2026 Cyber Summit Korea 홈페이지)

CSK 2026 기조연설 3

카트리오나 로빈슨이 말하는 뉴질랜드의 사이버 위협 환경과 국가 사이버 회복력

사이버 위협 환경의 탐색 – 뉴질랜드의 경험

인공지능(AI), 클라우드, 사물인터넷(IoT), 디지털 공급망 등 새로운 기술이 빠르게 확산되면서 사이버 보안은 더 이상 특정 기업이나 보안 담당자만의 문제가 아니게 되었습니다.

정부기관의 행정 시스템부터 기업의 업무환경, 의료·금융·통신 등 사회의 핵심 인프라까지 디지털 기술에 대한 의존도가 높아지면서 하나의 사이버 사고가 사회 전체의 서비스와 경제활동에 영향을 미칠 가능성도 커지고 있습니다.

이러한 변화 속에서 2026년 9월 16일부터 18일까지 서울 코엑스에서 열린 Cyber Summit Korea 2026(CSK 2026)에서는 국제적인 사이버 위협 환경과 국가 차원의 대응을 주제로 다양한 논의가 진행됐습니다. CSK 2026은 국가정보원과 국가보안기술연구소가 주최했으며, 카트리오나 로빈슨 뉴질랜드 국가사이버보안센터(NCSC) 센터장도 주요 연사로 참여했습니다.

이번 기조연설에서 다뤄진 주제는 「사이버 위협 환경의 탐색 – 뉴질랜드의 경험」입니다.

뉴질랜드가 경험하고 있는 사이버 위협과 국가 차원의 대응 방향을 살펴보면, 오늘날 사이버 보안이 어떤 방향으로 변화하고 있는지 이해하는 데 도움이 됩니다.

1. 카트리오나 로빈슨은 누구인가?

카트리오나 로빈슨(Catriona Robinson)은 뉴질랜드의 사이버 보안 정책과 대응을 담당하는 핵심 인사입니다.

뉴질랜드의 Government Communications Security Bureau(GCSB) 산하 National Cyber Security Centre(NCSC)의 책임자로서 국가 차원의 사이버 보안 업무를 이끌고 있습니다.

뉴질랜드 정부는 2026년 3월 로빈슨을 GCSB의 사이버보안 담당 Deputy Director-General이자 NCSC 책임자로 임명한다고 발표했습니다. 로빈슨은 이전에 뉴질랜드 기업혁신고용부(MBIE)에서 이민 분야 고위직을 맡았으며, 그 이전에는 총리·내각부(DPMC)에서 국가안보 시스템 관련 업무를 담당했습니다.

NCSC는 뉴질랜드에서 국가적으로 중요한 조직을 대상으로 사이버 보안 및 사이버 회복력을 지원하는 기관입니다. GCSB 역시 뉴질랜드의 신호정보(SIGINT)와 사이버 보안을 담당하는 핵심 정부기관으로 설명하고 있습니다.

즉, 이번 CSK 2026 기조연설은 단순히 사이버 공격 기술을 소개하는 자리가 아니라 국가 사이버 보안 책임자가 바라본 현재의 위협 환경과 국가 차원의 대응 방향을 살펴보는 자리라는 의미가 있습니다.

2. 뉴질랜드가 바라보는 사이버 위협의 변화

뉴질랜드 정부가 2026년 발표한 「New Zealand's Cyber Security Strategy 2026–2030」에서는 사이버 위협을 국가안보 차원의 중요한 문제로 다루고 있습니다.

뉴질랜드 정부는 디지털 기술이 사회 전반에 널리 사용되면서 공격 대상이 될 수 있는 영역 역시 넓어지고 있다고 설명합니다.

정부기관과 기업뿐 아니라 중요 인프라, 민간 서비스, 일반 시민의 일상생활까지 연결되면서 사이버 공간에서 발생한 문제가 현실 세계의 피해로 이어질 수 있기 때문입니다.

특히 뉴질랜드가 주목하고 있는 위협은 하나의 유형에 한정되지 않습니다.

대표적으로 다음과 같은 위협이 동시에 나타나고 있습니다.

• 국가 지원을 받는 사이버 활동

• 금전적 목적의 사이버 범죄

• 랜섬웨어와 사이버 갈취

• 사회공학 및 피싱

• 디지털 공급망 공격

• 중요 인프라 공격

• 알려진 보안 취약점의 악용

• 지정학적 갈등과 연결된 사이버 공격

• AI를 활용한 새로운 공격 방식

따라서 현대의 사이버 보안은 특정 공격 하나를 차단하는 방식보다 변화하는 위협 환경에 지속적으로 대응할 수 있는 회복력(resilience)을 확보하는 방향으로 변화하고 있습니다.

3. 실제 통계로 확인하는 뉴질랜드의 사이버 위협

뉴질랜드 NCSC가 발표한 Cyber Threat Report 2025는 2024년 7월부터 2025년 6월까지의 사이버 보안 사고를 분석하고 있습니다.

해당 기간 NCSC에는 총 5,995건의 사이버 보안 사고가 보고됐습니다.

이 가운데 개인이 보고한 사례가 4,343건, 조직이 보고한 사례가 1,321건이었습니다.

NCSC가 전문적인 기술 지원과 분석을 위해 별도로 분류한 잠재적 국가 중요 사고는 331건이었습니다.

이 331건을 행위자의 동기와 관련해 살펴보면,

• 의심되는 국가 지원 행위자와 연관된 사고: 82건

• 범죄 또는 금전적 목적의 행위자와 연관된 사고: 137건

• 명확하게 분류하기 어려운 사고: 112건

으로 집계됐습니다.

여기서 중요한 것은 단순히 사고 건수만 보는 것이 아닙니다.

사이버 위협은 국가 지원 공격, 사이버 범죄, 정치·사회적 목적의 공격 등 서로 다른 동기를 가진 행위자가 동시에 활동하는 복합적인 환경으로 변화하고 있습니다.

4. 뉴질랜드 NCSC가 지적한 주요 위협

NCSC의 2025년 사이버 위협 보고서는 뉴질랜드 조직이 주목해야 할 위협을 몇 가지 핵심 영역으로 정리하고 있습니다.

국가 지원 사이버 활동

국가 지원을 받는 것으로 추정되는 공격자는 특정 국가의 정보 수집이나 전략적 목적 등을 위해 사이버 공간을 활용할 수 있습니다.

이러한 공격은 단순한 금전적 이익을 목적으로 하는 범죄와는 성격이 다를 수 있으며, 정부기관뿐 아니라 통신, 금융, 기술 등 다양한 분야가 대상이 될 수 있습니다.

사이버 범죄의 산업화

과거에는 상당한 기술적 지식이 필요한 공격도 많았지만, 사이버 범죄 생태계가 상업화되면서 공격 도구와 서비스가 거래되는 구조가 발전하고 있습니다.

NCSC는 랜섬웨어 서비스형 모델과 같은 사이버 범죄의 상업화가 공격 역량을 확산시키는 요인 가운데 하나라고 설명합니다.

공급망 공격

기업이 사용하는 소프트웨어와 클라우드 서비스, 외부 IT 업체, 데이터 처리 서비스 등이 서로 연결되면서 보안 책임의 범위도 넓어졌습니다.

직접 공격받지 않았더라도 협력업체나 공급업체의 보안 문제가 연결된 조직에 영향을 줄 수 있습니다.

NCSC 역시 공급망과 숨겨진 의존관계가 공격에 악용될 가능성을 주요 위험으로 제시하고 있습니다.

알려진 취약점

새로운 해킹 기법만 위험한 것은 아닙니다.

이미 알려진 취약점을 제때 패치하지 않거나 오래된 시스템을 계속 사용하는 경우 공격자에게 비교적 쉬운 진입점이 될 수 있습니다.

결국 최신 보안 기술을 도입하는 것과 함께 기본적인 보안 관리가 중요하다는 의미입니다.

5. 가장 큰 변화 중 하나, Frontier AI

이번 기조연설에서 특히 주목할 부분은 Frontier AI와 사이버 보안의 관계입니다.

Frontier AI는 기존의 AI 시스템보다 높은 수준의 능력을 보여주는 최첨단 AI 모델을 가리키는 표현으로 사용됩니다.

AI의 발전은 사이버 보안에 양면적인 영향을 줄 수 있습니다.

한편으로는 보안 전문가가 방대한 로그를 분석하고 취약점을 발견하거나 이상 징후를 탐지하는 데 AI를 활용할 수 있습니다.

반대로 공격자 역시 AI를 활용할 수 있습니다.

공격에 필요한 정보 탐색, 코드 분석, 취약점 탐색, 사회공학적 콘텐츠 작성 등 여러 단계의 작업이 자동화되거나 빨라질 가능성이 있기 때문입니다.

뉴질랜드 NCSC는 2026년 6월 Five Eyes 국가의 사이버 보안 기관장들과 함께 Frontier AI로 인해 변화하는 사이버 위험에 대비해야 한다는 공동 행동 촉구를 발표했습니다.

로빈슨 센터장은 당시 AI가 미래의 문제가 아니라 이미 현재의 사이버 보안 환경에 영향을 주고 있으며, AI가 공격자의 진입장벽을 낮추고 공격의 속도와 복잡성을 높일 수 있다고 설명했습니다.

동시에 AI는 사이버 방어 능력을 강화할 수 있는 강력한 도구이기도 하다는 점도 강조했습니다.

6. AI는 공격 도구인 동시에 방어 도구

AI와 사이버 보안의 관계를 단순하게 'AI 때문에 해킹이 증가한다'라고 이해하는 것은 충분하지 않습니다.

AI는 방어 영역에서도 활용할 수 있습니다.

예를 들어 보안 담당자는 AI를 활용해 다음과 같은 업무를 지원받을 수 있습니다.

보안 관제

대량으로 발생하는 로그와 이벤트 가운데 의심스러운 패턴을 찾아내는 데 AI를 활용할 수 있습니다.

취약점 탐색

소프트웨어 코드나 시스템 구성에서 잠재적인 보안 문제를 찾아내는 작업을 AI로 보조할 수 있습니다.

사고 대응

보안 사고가 발생했을 때 관련 데이터를 분석하고 대응 과정에서 필요한 정보를 빠르게 정리하는 데 AI를 활용할 수 있습니다.

위협 정보 분석

새롭게 발견된 악성코드나 공격 패턴을 분석하고 기존의 위협 정보와 연결하는 작업에도 AI가 활용될 수 있습니다.

뉴질랜드 NCSC 역시 Frontier AI를 단순히 차단해야 할 대상으로만 바라보는 것이 아니라 실제 방어 능력을 강화하는 데 활용할 수 있는 기술로 보고 있습니다. NCSC는 AI 모델 제공업체 및 산업계와 협력하면서 이러한 기술의 사이버 보안 영향을 파악하고 대응 방안을 마련하고 있다고 밝혔습니다.

7. 뉴질랜드의 대응 방향은 '전 사회적 접근'

뉴질랜드의 2026~2030 사이버보안 전략에서 눈에 띄는 부분은 사이버 보안을 정부만의 책임으로 보지 않는다는 점입니다.

뉴질랜드 정부는 정부·기업·기관·지역사회·개인이 함께 참여하는 'whole of society' 접근 방식을 강조하고 있습니다.

디지털 서비스가 서로 연결되어 있기 때문에 한 조직의 보안 수준이 다른 조직의 보안에도 영향을 줄 수 있기 때문입니다.

예를 들어,

기업 → 외부 IT 서비스 → 클라우드 → 고객 데이터 → 공공 서비스

와 같이 여러 시스템이 연결되어 있다면 어느 한 부분의 취약점이 전체 생태계의 위험으로 확대될 수 있습니다.

따라서 국가 사이버 회복력을 높이기 위해서는 정부기관만 보안을 강화하는 것으로 충분하지 않습니다.

기업과 공급업체, 중요 인프라 운영자, 일반 이용자까지 각자의 역할을 수행해야 합니다.

8. 뉴질랜드 사이버보안 전략 2026~2030

뉴질랜드는 2026년 2월 새로운 Cyber Security Strategy 2026–2030을 발표했습니다.

이 전략은 사이버 위협에 대응하기 위한 국가 차원의 장기적인 방향을 제시하며 크게 네 가지 목표를 중심으로 구성되어 있습니다.

① Understand — 이해

사이버 위험을 이해하고 무엇을 보호해야 하는지 파악하는 단계입니다.

조직과 개인이 자신이 가지고 있는 정보와 시스템, 그리고 그와 관련된 위험을 알아야 효과적인 보안 대책을 세울 수 있습니다.

② Prevent & Prepare — 예방과 준비

사이버 사고가 발생하기 전에 위험을 줄이고 사고가 발생했을 때 대응할 준비를 갖추는 단계입니다.

취약점 관리, 보안 정책, 교육, 백업, 사고 대응계획 등이 여기에 포함될 수 있습니다.

③ Respond — 대응

사이버 사고가 실제 발생했을 때 신속하고 효과적으로 대응하는 능력을 강화하는 것입니다.

완벽하게 공격을 막는 것만을 목표로 하기보다 공격이 발생했을 때 피해를 최소화하고 서비스를 빠르게 복구할 수 있는 능력이 중요합니다.

④ Partner — 협력

정부와 산업계, 국제 파트너가 협력해 사이버 회복력을 강화하는 것입니다.

오늘날 사이버 공격은 국경을 기준으로 발생하지 않기 때문에 국제적인 정보 공유와 공동 대응도 중요한 요소가 됩니다.

9. 국가 사이버 회복력의 핵심은 '기본기'

최첨단 AI와 새로운 사이버 공격 기술이 등장하고 있지만, 보안의 출발점은 여전히 기본적인 보안 관리입니다.

예를 들어 다음과 같은 항목을 생각할 수 있습니다.

• 운영체제와 소프트웨어의 보안 업데이트

• 중요 계정에 대한 다중 인증

• 불필요한 계정과 권한 정리

• 중요 데이터의 정기적인 백업

• 네트워크 및 시스템 모니터링

• 피싱과 사회공학 공격에 대한 임직원 교육

• 외부 공급업체의 보안 수준 점검

• 사고 발생 시 대응 절차 마련

• 중요 시스템에 대한 접근통제

• 자산과 데이터의 지속적인 관리

AI 시대라고 해서 이러한 기본기가 중요하지 않게 되는 것은 아닙니다.

오히려 공격 자동화와 공격 속도가 빨라질수록 기본적인 방어 체계를 얼마나 빠르고 안정적으로 운영하는지가 더욱 중요해질 수 있습니다.

10. 공급망 보안이 중요한 이유

현대 기업의 IT 환경에서는 모든 시스템을 직접 구축하는 경우가 많지 않습니다.

클라우드 서비스, SaaS, 외부 개발사, 결제 시스템, 데이터 분석 서비스, 보안 솔루션 등 수많은 외부 서비스가 연결됩니다.

따라서 기업의 보안 수준을 평가할 때 내부 시스템만 확인해서는 부족할 수 있습니다.

예를 들어 다음과 같은 구조를 생각해 볼 수 있습니다.

우리 회사

↓

외부 IT 업체

↓

클라우드 서비스

↓

소프트웨어 및 API

↓

고객 데이터

이 가운데 하나의 구성요소가 공격받으면 다른 시스템으로 피해가 확산될 가능성이 있습니다.

뉴질랜드 NCSC도 공급망과 제3자 의존관계가 사이버 공격의 중요한 위험 요소가 될 수 있다고 보고 있으며, 2026년 8월에는 제3자 공급업체를 이용하는 조직을 위한 공급망 보안 지침을 별도로 발표했습니다.

11. 사회공학 공격도 여전히 중요한 위협

AI와 관련된 이야기가 많아졌지만 가장 기본적인 공격 방식이 사라진 것은 아닙니다.

피싱, 사칭, 가짜 메시지, 악성 링크 등을 이용해 사용자가 스스로 중요한 정보를 입력하도록 유도하는 사회공학 공격은 여전히 중요한 보안 문제입니다.

뉴질랜드 NCSC가 2024/25년에 일반적인 사고로 처리한 사례를 유형별로 보면 사기 및 금융범죄 관련 사고가 2,111건, 피싱 및 계정정보 탈취 관련 사고가 1,994건으로 집계됐습니다.

이는 사이버 보안이 단순히 방화벽이나 백신 프로그램만의 문제가 아니라는 점을 보여줍니다.

사람 역시 중요한 보안 요소입니다.

12. NCSC가 바라보는 '준비된 조직'

뉴질랜드 NCSC가 제시하는 사이버 보안의 관점에서 중요한 것은 공격을 완전히 없애는 것이 아니라 공격이 발생하더라도 피해를 제한하고 빠르게 회복할 수 있는 조직을 만드는 것입니다.

예를 들어 다음과 같은 질문을 조직 내부에서 지속적으로 확인할 필요가 있습니다.

어떤 시스템이 가장 중요한가?

가장 중요한 데이터는 어디에 저장되어 있는가?

누가 접근할 수 있는가?

외부 업체가 어떤 시스템과 데이터를 이용하고 있는가?

취약점이 발견됐을 때 얼마나 빨리 조치할 수 있는가?

사고가 발생하면 누가 의사결정을 하는가?

백업 데이터로 실제 복구가 가능한가?

핵심 서비스가 중단됐을 때 업무를 어떻게 지속할 것인가?

이러한 질문에 답할 수 있어야 사이버 회복력을 갖춘 조직에 가까워질 수 있습니다.

13. CSK 2026 기조연설이 보여주는 핵심 메시지

카트리오나 로빈슨 센터장의 이번 발표 주제는 단순히 뉴질랜드의 사이버 공격 사례를 소개하는 데 그치지 않습니다.

발표의 핵심을 정리하면 다음과 같은 흐름으로 이해할 수 있습니다.

글로벌 환경 변화

지정학적 갈등과 국제적인 긴장이 사이버 공간에도 영향을 미치고 있습니다.

↓

디지털 연결성 확대

정부·기업·공급업체·개인의 시스템이 서로 연결되면서 공격 표면이 넓어지고 있습니다.

↓

사이버 위협의 다양화

국가 지원 활동, 사이버 범죄, 공급망 공격, 사회공학 공격 등이 동시에 나타나고 있습니다.

↓

Frontier AI 등장

AI가 공격자의 능력을 확대할 가능성이 있는 동시에 방어자의 탐지·분석·대응 능력도 강화할 수 있습니다.

↓

국가 사이버 회복력의 중요성

기술뿐 아니라 정책, 조직, 인력, 국제협력, 기본적인 보안 관리가 함께 작동해야 합니다.

14. 우리에게 주는 의미

뉴질랜드의 경험은 한국의 기업과 기관에도 생각해 볼 만한 부분을 제공합니다.

특히 AI를 적극적으로 도입하고 있는 기업이라면 AI 활용에 따른 생산성 향상뿐 아니라 새로운 보안 위험도 함께 검토해야 합니다.

예를 들어 회사 내부 정보를 AI 서비스에 입력하는 경우,

어떤 정보가 입력되는가?

그 정보가 어디에서 처리되는가?

누가 해당 AI 서비스에 접근할 수 있는가?

AI가 생성한 결과를 사람이 검증하는가?

AI 서비스에 문제가 발생했을 때 업무를 어떻게 지속할 것인가?

등의 질문이 필요합니다.

특히 클라우드와 외부 AI 서비스를 사용하는 경우 데이터의 저장 위치와 처리 방식, 접근권한, 계약 조건, 공급업체의 보안 수준 등을 함께 살펴볼 필요가 있습니다.

15. AI 시대의 사이버 보안, 결국 사람과 조직의 문제

AI가 발전하면 사이버 공격과 방어의 방식도 계속 변화할 것입니다.

하지만 기술이 발전한다고 해서 보안의 기본 원칙까지 사라지는 것은 아닙니다.

자산을 파악하고,

중요한 정보를 보호하고,

접근권한을 관리하고,

취약점을 신속하게 수정하고,

이상 징후를 탐지하고,

사고에 대비하고,

발생한 사고에서 빠르게 회복하는 것.

이러한 기본적인 보안 활동이 국가와 기업의 사이버 회복력을 구성하는 기반입니다.

뉴질랜드의 2026~2030 사이버보안 전략 역시 이해(Understand), 예방·준비(Prevent & Prepare), 대응(Respond), 협력(Partner)이라는 네 가지 방향을 통해 이러한 접근을 국가 차원에서 추진하고 있습니다.

마무리

사이버 보안은 '완벽하게 막는 것'보다 '지속적으로 회복할 수 있는 능력'으로

CSK 2026의 기조연설 「사이버 위협 환경의 탐색 – 뉴질랜드의 경험」은 AI와 디지털 기술이 빠르게 발전하는 시대에 국가가 사이버 위협을 어떻게 바라보고 대응해야 하는지를 생각하게 하는 주제입니다.

뉴질랜드의 사례에서 확인할 수 있는 중요한 변화는 사이버 보안의 범위가 점점 넓어지고 있다는 것입니다.

과거에는 기업의 네트워크를 보호하는 문제가 중심이었다면 이제는 국가 인프라, 공급망, 클라우드, AI, 데이터, 국민의 일상생활까지 하나의 사이버 보안 생태계로 연결되고 있습니다.

특히 Frontier AI의 등장으로 공격과 방어 모두의 속도가 빨라질 가능성이 커지고 있습니다.

따라서 앞으로의 사이버 보안에서는 새로운 기술을 빠르게 도입하는 것만큼이나 기본적인 보안 통제, 책임 있는 리더십, 지속적인 준비, 공급망 관리, 그리고 국내외 협력이 중요해질 것으로 볼 수 있습니다.

카트리오나 로빈슨 센터장이 CSK 2026에서 공유한 뉴질랜드의 경험은 결국 하나의 방향을 보여줍니다.

사이버 위협이 계속 변화하더라도 조직과 국가가 지속적으로 대응하고 회복할 수 있는 구조를 만드는 것이 중요하다는 것입니다.

AI 시대의 사이버 보안은 특정 기술 하나로 해결되는 문제가 아닙니다.

기술과 사람, 정책과 조직, 정부와 기업, 그리고 국가 간 협력이 함께 작동할 때 비로소 지속 가능한 사이버 회복력을 구축할 수 있습니다.

Cyber Summit Korea(CSK) 2026 홈페이지 참고(https://cybersummit.kr)

출처 : 오늘부터 AI(Today AI) - https://blog.candlesister.com