Applying Public Health Systematic Approaches to Cybersecurity: The Economics of Collective Defense

1. 문제 정의 (Problem)

현재 사이버보안 분야는 공중보건 (Public Health) 이 1900 년 이후 30 년 이상의 기대 수명 증가를 달성한 체계적인 접근법과 비교할 때 근본적인 인프라 부재를 겪고 있습니다. 주요 문제는 다음과 같습니다.

• 체계적 데이터 및 측정 부재: 공중보건이 '인구 (Population)', '전파 메커니즘 (Transmission Mechanisms)', '결과 지표 (Outcomes)'를 명확히 정의하고 측정하는 반면, 사이버보안은 이러한 기본 개념에 대한 표준화된 정의가 없습니다. (예: '사이버 인구'란 무엇인가? '보안 침해'의 정확한 정의는 무엇인가?)
• 근거 기반 개입의 부재: 백신 개발이나 위생 개선처럼 사이버 방어 조치의 효과를 정량적으로 검증하거나 대규모로 테스트할 수 있는 인프라가 없습니다. 조직들은 각자 대응하며, 성공 사례를 광범위하게 공유하거나 재현하지 못합니다.
• 시장 실패 (Market Failure) 와 공공재적 특성: 사이버보안은 '공공재 (Public Good)'의 성격을 띠고 있습니다. 한 조직이 보안을 강화하면 다른 조직에도 긍정적 외부효과 (Positive Externality) 가 발생하지만, 투자 조직은 그 사회적 가치를 전액 회수할 수 없습니다. 이로 인해 시장 메커니즘만으로는 사이버 방어에 대한 과소 투자가 발생하며, 국가 차원의 조정이 필요합니다.
• 정보 비대칭: 공격자는 다양한 표적을 통해 전파 메커니즘을 학습하지만, 방어자는 자사 시스템에 국한된 정보만 보유하고 있어 방어에 불리합니다.

2. 방법론 (Methodology)

이 논문은 **비교 분석 (Comparative Analysis)**과 경제학적 모델링을 기반으로 합니다.

• 역사적 사례 연구: 19 세기 존 스노 (John Snow) 의 콜레라 조사 (데이터 매핑 및 공간 분석) 와 현대 미국 공중보건 시스템의 발전 과정을 분석하여, 체계적 데이터 수집, 표준화된 측정, 증거 기반 개입, 조정된 대응이 어떻게 질병 퇴치에 기여했는지 규명했습니다.
• 경제학적 분석: 사이버보안을 '비배제성 (Non-excludable)'과 '비경합성 (Non-rivalrous)'을 가진 공공재로 정의하고, 이로 인해 발생하는 시장 실패와 긍정적 외부효과를 분석하여 정부의 개입이 경제적 필수요건임을 논증했습니다.
• 공중보건 프레임워크 적용: 공중보건의 3 가지 핵심 요소 (모니터링, 정책 개발, 보증) 와 10 가지 필수 공중보건 서비스 (Essential Public Health Services) 를 사이버보안 영역에 적용할 수 있는 구조를 제안했습니다.

3. 주요 기여 (Key Contributions)

이 논문은 사이버보안 패러다임의 전환을 위한 구체적인 프레임워크를 제시합니다.

• 국가 사이버 공중보건 시스템 (National Cyber Public Health System) 제안:
  • 표준화된 데이터 수집: 사이버 위협, 취약점, 사고에 대한 표준 정의와 보고 프로토콜을 확립하여 '국가 사이버 건강 (Cyber Health)'을 측정할 수 있는 인프라를 구축합니다.
  • 디지털 일상생활 활동 (Digital ADLs) 지표 개발: 공중보건의 '일상생활 활동 (ADLs)' 개념을 차용하여, 전자상거래, GPS, 금융 서비스 등 디지털 인프라의 가용성과 신뢰성을 측정하는 새로운 지표를 제안합니다.
  • 전파 메커니즘 규명: 질병의 전파 경로 (공기, 수인성 등) 분석과 유사하게, 멀웨어와 위협이 디지털 생태계 내에서 어떻게 확산되는지 체계적으로 추적하는 감시 시스템을 구축합니다.
• 연방 정부의 필수적 역할 규명:
  • 사이버보안이 공공재이므로 민간 시장만으로는 해결 불가능함을 강조하고, 연방 정부가 표준 설정, 연구 자금 지원, 조정된 대응, 정보 비대칭 해소를 주도해야 함을 주장합니다.
  • 특히, 단기적 이익을 추구하는 시장 압력을 극복하고 장기적인 보안 인프라를 구축하는 정부의 역할을 강조합니다.
• 사이버보안의 '가역성 (Reversibility)' 강조:
  • 공중보건과 달리 사이버 시스템은 감염 후 분석, 초기화, 재부팅이 가능하므로, 통제된 개입 실험과 빠른 반복 학습이 가능하다는 점을 지적하여 사이버보안이 증거 기반 실천에 더 이상적인 영역임을 역설했습니다.

4. 결과 및 논의 (Results & Discussion)

• 현재 상태: 사이버보안 분야는 여전히 '반응적 (Reactive)'이며, 사고 발생 후 대응하는 방식에 머물러 있습니다. "어제보다 오늘이 더 안전한가?"라는 질문에 답할 수 있는 정량적 데이터가 부족합니다.
• 제안된 시스템의 효과:
  • 표준화된 보고 체계가 구축되면 위협의 확산 경로를 실시간으로 추적하고, 방어 조치의 효과를 정량적으로 평가할 수 있게 됩니다.
  • 연방 정부의 조정 하에 정보 공유가 활성화되면 공격자와 방어자 간의 정보 비대칭이 해소되고, 집단 방어 (Collective Defense) 의 시너지가 발생합니다.
  • 백신 접종률과 유사하게, 핵심 보안 조치 (예: 패치 관리, 이메일 인증 프로토콜 SPF/DKIM/DMARC 등) 의 채택률과 효과를 지속적으로 모니터링하여 자원을 효율적으로 배분할 수 있습니다.

5. 의의 (Significance)

• 정책적 전환점: 이 논문은 사이버보안을 단순한 IT 기술 문제가 아닌, 국가 안보와 경제 안정을 위한 '공공보건' 문제로 재정의합니다.
• 실용적 로드맵: 추상적인 개념을 넘어, 표준화, 데이터 수집, 증거 기반 의사결정, 정부 주도 조정을 포함한 구체적인 실행 방안을 제시합니다.
• 경제적 타당성: 사이버보안 투자가 왜 시장 실패를 일으키는지 경제학적으로 설명함으로써, 정부의 개입이 선택이 아닌 필수임을 설득력 있게 증명합니다.
• 미래 지향성: 공중보건 시스템이 20 세기 동안 질병을 통제하고 기대 수명을 늘린 것처럼, 유사한 체계적 접근법을 사이버보안에 적용함으로써 국가 디지털 인프라의 회복탄력성과 안전성을 획기적으로 향상시킬 수 있음을 시사합니다.

결론적으로, 이 논문은 사이버보안의 불확실성과 비효율성을 해결하기 위해 공중보건의 체계적, 데이터 기반, 정부 주도 모델을 사이버 영역에 적용할 것을 강력히 권고하며, 이를 통해 '국가 사이버 건강 (National Cyber Health)'을 측정 가능하고 관리 가능한 영역으로 전환해야 함을 주장합니다.