미국 사이버 전략, 39페이지에서 7페이지로

들어가며

구독자님, 안녕하세요. 이란-미국-이스라엘 전쟁이 점점 오리무중이 되고 있습니다. 이 메일을 쓰는 시점인 3월 23일 기준으로 트럼프가 분명 48시간 내에 이란을 초토화 시키겠다고 했다가 24시간도 안되어서 5일간 공격 유예를 선언 하고, 미국 내 문제에 집중하겠다는 글을 자신의 SNS에 업로드하는 그는 무엇일까 고민하며, 오늘의 뉴스레터를 적어봅니다.

지난 3월 6일 금요일, 백악관에서 문서 하나가 공개됐어요. 제목은 “트럼프 대통령의 미국을 위한 사이버 전략(President Trump’s Cyber Strategy for America)”. 그런데 이 문서, 단 7페이지예요. 3년 전 바이든 행정부가 발표한 같은 성격의 문서가 39페이지였거든요. 분량이 5배 넘게 줄었어요.

분량만 줄었으면 “간결해졌구나” 하고 넘어갈 수 있어요. 그런데 메시지는 오히려 훨씬 공격적이에요. “사이버 영역에 한정하지 않겠다”는 선언까지 들어가 있어요. 사이버 공격을 받으면 물리적 보복까지 할 수 있다는 뜻이죠. 그러니까… 제목은 사이버인데… 사실상 이건 공격 선언문에 가까워요.

그런데 저는 이 전략 문서보다 그 뒤에서 벌어지고 있는 일이 더 눈에 들어왔어요. 이 야심찬 전략을 실행해야 할 핵심 기관인 CISA¹​의 예산과 인력이 대폭 삭감되고 있거든요. 공격력은 키우면서 방패는 줄이는 격이에요. 이 모순을 어떻게 봐야 할지, 그리고 이게 한국에 어떤 의미인지를 오늘 풀어보려고 해요.

20년간의 변화 — 방어에서 공격으로

이 전략이 왜 중요한지를 이해하려면 미국 사이버 전략의 흐름을 먼저 짚어볼 필요가 있어요.

미국이 처음 국가 사이버 전략을 만든 건 2003년, 부시 행정부 때예요. 당시 핵심은 “정부와 민간이 자율적으로 협력하자”는 수준이었어요. 지금 기준으로 보면 꽤 느슨했죠. 2018년 트럼프 1기 때 큰 전환이 왔어요. 40페이지짜리 전략 문서에서 디펜드 포워드(Defend Forward)²​라는 개념이 처음 등장했어요. 적의 네트워크에 먼저 들어가서 공격을 사전에 차단하겠다는 발상이었죠.

2023년 바이든 행정부는 39페이지에 5대 기둥, 구체적 이행 목표까지 꼼꼼하게 담았어요. 방향은 달랐어요. 소프트웨어를 만드는 기업에 보안 책임을 더 지우겠다는 규제 강화 노선이었죠.

그리고 2026년 3월, 트럼프 2기 전략이 나왔어요. 역대 가장 짧은 사이버 전략 문서예요. 실질적인 본문은 5페이지 남짓이에요. 그런데 기둥은 6개나 세웠어요. 핵심 철학의 차이가 명확해요. 바이든은 “규제를 강화해서 민간 책임을 높이자”였고, 트럼프는 “규제는 줄이고 민간 자율성을 높이되, 공격은 더 세게 가자”예요. 방어의 책임을 규제로 부과하느냐, 정부가 공격적 억지력으로 보호하느냐 — 근본적으로 다른 접근이에요.

이런 전략 전환이 나온 배경에는 현실이 있어요. FBI 인터넷 범죄 신고센터(IC3) 기준으로 2024년 한 해 동안 약 86만 건이 신고됐고, 피해액이 166억 달러(약 24조 원)에 달해요. 전년 대비 33% 증가한 수치예요. 중국의 볼트 타이푼(Volt Typhoon)이라는 해킹 그룹이 미국 전력망, 통신망, 수도 시설 같은 핵심 인프라에 침투해 있다는 사실도 확인된 상태고요.