국가보안시설 ‘가급’ 원자력 시설 “테러로부터 안전한가”

최근 사우디아라비아의 핵심 석유시설 2곳에서 드론 테러가 발생한 것 관련해 국내 원자력발전소를 비롯해 원자력 관련시설에 대한 물리적방호의 취약성을 우려하는 목소리가 높다. 또 2014년 12월 ‘원전반대그룹’을 자처한 해커들에 의한 한수원 정보유출 사건은 비록 실제로 원전 제어망에 침투하는 사이버공격은 발생하지 않았지만 ‘우리나라도 테러에 청정지역이 아님’을 각인시켰다.

과연 원자력시설에 대한 테러는 가능할까. 영화 <미션임파서블-고스트 프로토콜>에서는 주인공인 이단 헌트(톰 크루즈 분)가 핵 테러를 멋지게 막아내지만 현실에서도 이런 영웅이 나타나 우리를 구할 것이라며 안심할 수는 없다. 특히 최근 이슬람국가(Islamic State, IS)와 같은 비국가 행위자들의 테러 위협이 커지고 있는 상황에서 테러리스트에 의한 핵 테러는 어느 나라에든 위협적인 존재이며, 많은 물적ㆍ인적 피해를 입을 수 있다.

◆물리적방호와 핵안보 ‘그것이 알고싶다’
물리적방호(physical protection)란 핵물질 및 원자력 시설에 대한 내·외적 위협을 사전에 방지하고, 위협이 발생한 경우 이를 신속하게 탐지하여 적절한 대응조치를 취하며, 사고로 인한 피해를 최소화하기 위한 일체의 조치다.

물리적방호가 대상으로 하는 위협은 크게 핵물질의 불법이전과 핵물질 및 원자력 시설의 사보타주이다. 핵물질의 불법이전이란 도난을 포함해 허가되지 않은 핵물질이 불법적으로 이동하는 행위다.

사보타주란 정당한 권한 없이 방사성 물질을 배출하거나 방사선을 노출하여 사람의 건강·안전 및 재산 또는 환경을 위태롭게 할 수 있는 핵물질 및 원자력 시설을 파괴·손상하거나 그 원인을 제공하는 행위와 원자력시설의 정상적인 운전을 방해하거나 방해를 시도하는 행위가 해당된다.

물리적방호의 범위는 핵물질이 포함된 시설이 우선적으로 방호되며, 핵물질의 국내외 수송 시에도 적용된다. 이를 위해 각 국가는 물리적방호 체제를 구축해 운영하고 있다. 물리적방호에 대한 활동범위는 ▲평상시 원자력시설 등에 설치된 물리적방호 장비 및 시스템을 철저히 유지, 관리해 방호태세를 유지하고 ▲핵물질의 불법이전 또는 사보타주와 같은 위협의 발생 시 탐지·지연·대응 등 단계별로 운영시스템을 이용하여 대응하며 ▲유사시 도난당한 핵물질의 회수를 비롯해 사보타주로 인한 방사선적 영향을 최소화하는 활동까지이다.

탐지는 핵물질을 불법이전하거나 시설에 대한 사보타주를 목적으로 침입한 불법 침입자를 확인하는 행위로 원자력시설 외곽에 설치된 탐지장비나 경비원 등을 통해 수행된다. 지연은 군과 경찰 등 대응 병력이 도착할 때까지 불법침입자가 목적물에 접근하는 것을 늦추는 행위로 원자력시설에 설치된 물리적 방벽(장애물), 울타리, 벽, 출입문, 잠금장치 등에 의해 실현된다. 원자력시설 내 경비원들도 침입자의 행위를 지연시킬 수 있는 중요한 수단이 된다. 대응이란 정확하고 빠르게 침입을 탐지하고 평가해 내외부 침입을 무력화 또는 저지하기 위한 일체의 활동이다.

물리적방호는 초기 수출입통제, 안전조치와 함께 핵비확산을 위한 통제수단의 하나로 시작됐다. 물리적방호의 중요성이 크게 부각된 것은 1990년 대 초 소련이 붕괴됨에 따라 구소련 내의 핵물질 및 원자력시설에 대한 관리 문제가 대두 되고, 2001년 미국에서 발생한 9‧11 사태로 인해 원자력시설에 대한 테러가능성이 제기되면서부터다.

핵물질 및 원자력시설, 방사성물질 및 원자력시설, 컴퓨터 및 네트워크등 원자력과 관련된 모든 분야에 대하여 국가가 아닌 소규모 테러리스트 집단의 악의적 테러 가능성이 높아졌고, 이에 대해 국제적으로 종합적인 핵 테러 방지 및 대응체제를 구축하면서 핵 안보라는 용어가 사용되기 시작했다.

IAEA는 핵 안보에 대해 ‘핵물질, 방사성물질 및 관련 시설에 대한 내외적 위협을 사전에 방지하고, 위협이 발생한 경우에는 불법 행위에 대한 탐지, 지연, 대응 수단으로 이를 저지하며, 사고로 인한 피해를 최소화하기 위한 일체의 조치’라고 정의하고 있다.

이와 같이 핵 안보는 물리적방호에 비해 큰 업무 영역을 갖고 있다. 핵 안보는 핵물질 및 원자력시설에 국한한 물리적방호를 포함해 방사성물질 및 시설, 사이버 보안 등 원자력에 관련한 모든 보안 사항을 포함하고 있다.

◆국내 원자력시설 ‘물리적방호’ 어떻게 이뤄지고 있나
우리나라 역시 국가 물리적방호체제의 구축을 위해 국가(원자력안전위원회), 규제지원기관(한국원자력통제기술원), 원자력사업자(시설운영자) 등의 기관들이 유기적인 협력 체제를 유지하고 있다. 특히 원안위는 원자력시설 등의 방호 및 방사능방재대책법에 의거해 물리적 방호 업무의 주무부처로 ‘국가 물리적방호체제 수립’에 대한 실질적인 책임을 지고 있다.

물리적방호의 기본원칙(Fundamental Principles) 중 역할은 ▲한 국가 내 물리적 방호 체제의 구축, 이행, 유지에 대한 책임은 전적으로 그 국가에 귀속됨 ▲국가는 법률 및 규제체계 이행에 대한 책임과 이를 완수하는데 필요한 적절한 권한, 전문성, 예산과 인력을 갖춘 방호기관을 설립/지정 ▲핵물질이나 원자력시설에 대한 물리적방호의 이행에 대한 최우선적 책임이 관련 사업자에 있다.

원자력사업자는 원자력시설 등의 물리적 방호에 대해 원안위의 검사를 받아야 하는데(원자력안전법 및 원자력시설 등의 방호 및 방사능방재대책법 제12조) 물리적 방호 검사는 최초검사, 정기검사, 운반검사, 특별검사 등으로 이뤄진다.

최초검사는 핵물질, 방사성물질 또는 방사성폐기물을 원자력시설에 처음 반입하기 전 해당 원자력시설에 대해 실시하는 검사이며, 정기점사는 2년마다 정기적으로 해당 핵물질 및 원자력시설에 대해 실시하는 검사이다. 또 운반검사는 핵물질을 해당 사업소 외의 장소로부터 해당 사업소로 운반하거나 외국으로부터 국내에 반입해 해당 사업소로 운반하고자 하는 경우 실시하는 해당 핵물질에 대한 검사이다.

아울러 특별검사는 물리적 방호 규제 등에 대한 변경승인을 얻은 경우나 핵물질 원자력시설에 물리적 방호와 관련한 사고가 발생한 경우에 실시하는 검사이다.

◆한수원 홈피 해킹 등 사이버공격 시도 ‘489건’ 달해
고도의 기술로 치밀하게 준비된 사이버테러 위협이 원자력 시설에서도 꾸준히 증가하고 있다. 2003년 9월 슬래머 웜(worm)에 의한 미국 데이비스-베씨(Davis-Besse) 원전 감염, 2006년 8월 미국 브라운 페리(Brown Ferry) 원전 통신망 오류로 가동중지, 2008년 3월 미국 해치(Hatch) 원전의 제어시스템 소프트웨어 업데이트로 인한 가동중지, 2010년 9월 스텍스넷(Stuxnet)에 의한 이란 나탄즈(Natnaz) 원전 우라늄 원심부리기 파괴 등이 발생해 전 세계의 이목을 집중시켰다.

그러나 원자력 시설에서 발생한 사이버 공격 중 2010년 이전에 발생한 사건은 통신망의 취약성에 의해 원전이 양향을 받을 수 있음을 경험했지만 2010년 스텍스넷 공격 이후부터는 특정대상을 목표로 정교하게 진화된 악성코드에 의한 공격은 진행형이다.

원전 사이버테러에 청정지역이던 우리나라도 예외는 아니다. 2014년 연말 국내 원자력계를 대혼란에 빠뜨린 일이 발생했다. 한국수력원자력을 해킹했다고 주장하는 해커그룹이 나타나 월성 1호기와 고리 1·2호기의 각종 도면 등 원전 관련 자료들을 SNS를 통해 무려 5차례에 걸쳐 공개한 것이다.

결국 원전을 비롯해 국내 국가주요 기간시설을 사이버공격으로부터 안전하게 지켜낼 수 있는 사이버보안 대응시스템의 점검 및 확충과 동시에 관계자(기관 임직원, 협력사 등) 개개인의 보안의식 강화가 절실해졌다.

최근 국회 산업통상자원중소벤처기업위원회 소속 이훈 의원(더불어민주당)실이 한국전력공사를 비롯해 전력산업 유관기관 7곳으로부터 받은 국정감사 자료에 의하면, 2015년부터 올해 8월까지 사이버공격 시도가 총 979건이나 있었던 것으로 드러났다.

해당 자료는 단순한 공격의심 신호를 의미하는 것이 아닌 실제 공격시도가 있었던 경우가 대상이며, 이를 연도별로 살펴보면 ▲2015년에 286건 ▲2016년 290건 ▲2017년 204건 ▲2018년에 135건에 이어 올해 8월까지는 64건으로 해마다 끊임없이 시도되는 것으로 나타났다.

같은 기간동안 기관별로 살펴보면 한국수력원자력이 489건으로 전체의 약 50%를 차지해 ‘가장 많은 공격 대상’이었던 것으로 밝혀졌다. 사이버공격 시도의 유형으로는 ▲홈페이지 해킹공격이 475건으로 가장 많았다. 이어서 ▲악성코드를 통해 시스템에 침투하려는 공격이 333건으로 두 번째로 많았다. 일명 ▲D-DoS로 불리는 서비스접속 거부 공격도 70건이나 시도됐던 것으로 밝혀져 공격의 유형이 매우 다양한 것으로 나타났다.

이에 원자력산업계 복수의 관계자들은 “체계적인 원전 사이버보안 대책기술이 부족해 국내에서 현재 운영 또는 신규 건설되고 있는 대부분 원전은 물리적방호 차원의 접근통제 수립 등 단편적인 관점에서 사이버보안(cyber security) 대응만 하고 있어 빠르게 진화되는 사이버공격과 침투 등에 취약할 수밖에 없다”고 우려했다.

실제로 2011년 9월 스텍스넷과 유사한 MS-Word 제로데이(zero-day) 취약점을 이용한 정보수집 목적의 듀큐(Duqu) 악성코드가 발견됐으며 스텍스넷을 응용한 플래임(Flame) 악성코드는 설계문서 및 핵심 정보자산(시스템 및 네트워크 정보)을 수집했다. 이들 악성코드는 사이버공격을 위해 선행되는 정보수집 단계로 시만텍(Symantec)사에서는 매우 심각한 사이버공격 발생 가능성의 전조단계로 경고했다.

이에 IAEA 및 세계 각국의 규제기관은 원자력 시설에 대한 사이버보안 대책기술을 강구해 적용하도록 요구하고 있다. 원안위도 2013년 12월 24일부터 ‘원자력시설 등의 방호 및 방사능방재 대책법’을 시행하고 있으며, 한국원자력안전기술원은 기술지침(KINS GT-N27)과 안전규제지침(8-22) 등에 따라 원전 계측제어계통에 대한 종합적인 사이버보안 대책 수립을 요구하고 있다.

또 한국원자력통제기술원(KINAC)은 원안위의 물리적방호 심사 및 검사 등 기술적인 규제업무를 지원하고 있는데, 특히 사이버공격을 효과적으로 예방, 탐지, 대응하기 위해 원전별로 정기점사와 특별검사를 통해 악성코드 감염여부, 원전 제어시스템의 무결성(integrity) 등을 집중적으로 점검하고 있다.

원자력통제기술원 관계자는 “정기검사는 2년마다 원전의 계획예방검사기간에 시행되며, 연평균 16개 시설에 대해 사이버보안 전문가로 구성된 전담팀이 각 시설별로 2주간에 걸쳐 10개 사이버보안대책을 통해 검사를 수행하고 있다”면서 “이와 별개로 시설별로 사이버보안 전담조직을 운영하고 관련 교육과 훈련을 주기적으로 실시해 대응역량도 강화하고 있다”고 설명했다.

물리적방호에 대한 교육은 원자력사업자의 종사자, 원안위가 정해 고시하는 물리적방호와 관련된 단체 또는 기관의 직원이라면 꼭 받아야 하며, 물리적방호 업무를 담당하는 직원과 물리적방호 업무를 담당하지 않는 직원에 대해 교육 내용과 시간을 달리하고 있다.

담당직원의 경우 물리적방호 일반사항을 비롯해 관련법량, 방호비상대응에 관한 사항, 물리적방호 체제 및 동향, 위협평가에 관란 사항, 방호문화, 물리적방호 시스템 설계, 물리적방호 시설 및 장비 시험/실습 등에 대해 최초 8시간, 그리고 매년 4시간 이상의 교육을 받아야 한다. 담당하지 않는 직원 역시 일반사항과 관련 법령, 방호비상대응에 관란 사항에 대해 매년 2시간 이상의 교육을 받아야 한다.

한편 원안위를 비롯한 국내 원자력규제기관은 2015년부터 드론을 신종 위협 수단으로 반영하고 불법드론 대응체계 구축을 위해 ▲원전 ‘드론 발견 시 행동요령’ 수립(상황 전파, 군·경 협조 등) ▲방호인력 드론 식별 훈련 수행 ▲원전 주변 비행금지 경고판 설치‧대응 장비 도입 등 규제를 마련 중이다.