Infrastructure–Governance Asymmetry and Cybersecurity Exposure in Nepal's E-Governance: A South Asian Comparative Study

한 국가가 새로운 고속도로 시스템을 구축하고 있다고 상상해 보십시오. 도로는 넓고, 다리는 튼튼하며, 교통 흐름은 그 어느 때보다 빠릅니다. 하지만 교통 신호등이 고장 나고, 경찰 인력이 부족하며, 운전자들이 지도를 가지고 있지 않다면, 자동차의 속도는 이점이 아니라 오히려 위험이 됩니다. 이것이 네팔의 디지털 세계를 연구한 새로운 연구에서 탐구하는 핵심적인 긴장 관계입니다. 이 연구는 국가가 기술을 사용하여 정부를 운영하는 방식, 즉 전문가들이 'e-거버넌스(e-governance)'라고 부르는 것을 살펴봅니다. 이 연구는 두 가지 뚜렷한 요소를 조사합니다. 인터넷 연결이나 컴퓨터 서버와 같이 한 국가가 구축하는 물리적 및 디지털 도구, 그리고 숙련된 인력, 명확한 규칙, 그리고 해를 끼치기 전에 문제를 포착하는 능력과 같이 이를 안전하게 관리하는 데 필요한 인간적 및 법적 시스템입니다. 이 작업을 이끄는 질문은 단순합니다. 국가들이 더 많은 디지털 서비스를 구축하기 위해 경주하는 동안, 그 속도에 맞춰 안전망을 충분히 빠르게 구축하고 있는가 하는 점입니다.

카트만두에 위치한 소프트웨어리카 칼리지(Softwarica College)의 연구원 가네쉬 부살(Ganesh Bhusal)은 네팔의 디지털 역사를 면밀히 조사함으로써 이 아이디어를 테스트하기로 했습니다. 그는 이러한 추세를 전 세계적으로 추적하는 두 주요 국제 기구로부터 데이터를 수집했습니다. 한 세트의 수치는 한 국가가 온라인으로 서비스를 얼마나 잘 제공하는지를 측정하며, 다른 한 세트는 한 국가가 디지털 시스템을 안전하게 유지하는 데 얼마나 전념하고 있는지를 측정합니다. 지난 20년 동안 이 수치들을 비교하고, 네팔에서 발생한 실제 보안 침해 사례들을 살펴봄으로써, 이 연구는 놀라운 격차를 드러냅니다. 네팔은 디지털 기반을 구축하는 데 믿기 힘들 정도로 성공적이었습니다. 2020년에서 2024년 사이, 통신 인프라의 품질은 60% 이상 성장했습니다. 그러나 이러한 시스템을 관리하고 시민들을 과정에 참여시키는 능력은 그 속도를 따라잡지 못했습니다. 실제로, 시민들이 온라인상에서 정부 의사 결정에 참여할 수 있는 정도를 나타내는 척도는 같은 기간 동안 40% 감소했습니다. 연구진은 이 불일치를 "인프라-거버넌스 비대칭(infrastructure–governance asymmetry)"이라고 부릅니다. 이는 디지털 고속도로가 교통 규칙과 안전 요원들이 조직되는 속도보다 더 빠르게 포장되고 있음을 의미합니다.

이 연구는 단순히 네팔을 살펴보는 데 그치지 않고, 네팔을 남아시아의 이웃 국가들과 나란히 비교하여 이것이 지역적인 문제인지 아니면 지역적 패턴인지를 확인합니다. 이 비교는 인도와 부탄 역시 디지털 도로를 빠르게 구축하고 있지만, 네팔의 구축과 거버넌스 사이의 격차는 그들보다 더 넓다는 것을 보여줍니다. 특히 시사하는 바가 큰 발견은 국가들이 보안 점수에서 어떻게 기록되는지를 살펴보는 데서 나옵니다. 네팔은 서류상으로는 매우 강력한 법을 가지고 있습니다. 사이버 보안에 관한 법적 조치에 대한 네팔의 점수는 지역 내 최고 수준의 성과자들과 나란히 있을 만큼 높습니다. 그러나 그러한 법을 사용하는 데 필요한 실질적인 기술, 예를 들어 해커를 막기 위한 적절한 기술적 도구나 국제적 협력과 같은 측면에서 네팔의 점수는 그룹 내에서 가장 낮습니다. 이는 법을 갖는 것이 그것을 집행할 능력을 갖추는 것과 같지 않음을 시사합니다. 또한 연구는 파키스탄과 방글라데시 같은 국가들이 매우 높은 보안 의지 점수를 가지고 있지만, 실제 디지털 서비스 개발 수준은 상대적으로 낮다는 것을 발견했습니다. 이는 보안 체크리스트의 높은 점수가 반드시 그 국가가 실제로 안전하다는 것을 의미하지는 않는다는 경고를 줍니다. 그것은 단지 그 규칙을 따를 인력이 없는 상태에서 좋은 규칙만을 작성했을 수도 있다는 뜻입니다.

이 격차가 현실에서 어떤 모습인지 이해하기 위해, 연구원은 2020년에서 2026년 사이에 네팔에서 발생한 6가지 특정 보안 사건을 조사했습니다. 이 사건들은 정부 웹사이트를 중단시켜 국제 항공편을 지연시킨 대규모 장애부터 해커들이 수백만 명의 시민 기록을 훔친 사건까지 다양했습니다. 문제가 발견되는 방식에서 결정적인 패턴이 나타났습니다. 거의 모든 경우에서, 정부는 스스로 침해 사실을 발견하지 못했습니다. 대신, 보안 연구자, 해외 모니터링 서비스, 또는 유출된 데이터를 광고하는 해커와 같은 외부 집단에 의해 문제가 드러났습니다. 한 주목할 만한 사례는 정부 기관이 유출된 비밀번호를 추적하는 외부 서비스에 가입한 후에야 비로소 자신들이 침해되었다는 사실을 깨달은 경우였습니다. 이는 내부적인 문제 감지 능력이 취약함을 나타냅니다. 정부는 자신의 시스템이 고장 났을 때 이를 알려줄 외부인들에게 의존하고 있습니다.

연구는 또한 새롭고 빠르게 성장하는 추세인, 정부 시스템을 위한 컴퓨터 코드를 작성하는 데 인공지능(AI)을 사용하는 현상을 살펴봅니다. 네팔의 한 국영 기업은 몇 주가 걸리던 과정을 단 몇 시간 만에 작동하는 소프트웨어를 구축하는 것으로 바꾸어 놓은 AI 도구를 사용하기 시작했습니다. 이는 개발 속도를 높이지만, 새로운 위험을 초래합니다. 정부는 인간 팀이 이 AI 생성 코드를 검토하고 테스트한다고 주장하지만, 그 검토 과정이 어떻게 이루어지는지 또는 누가 책임을 지는지에 대한 공개적인 증거는 없습니다. 국가 사이버 보안 센터의 책임자는 이러한 급격한 도입이 '사각지대'를 만든다고 인정했습니다. 즉, 기관들이 그 밑단의 보안을 완전히 이해하지 못한 채 시스템을 구축하고 있다는 것입니다. 연구는 AI가 아직 구체적인 재난을 일으켰다고 주장하는 것은 아니지만, 다음과 같은 우려스러운 현실을 강조합니다. 소프트웨어를 구축하는 속도는 빨라지고 있는 반면, 그 소프트웨어의 안전을 점검하는 속도는 명확하게 그 속도를 맞추지 못하고 있다는 사실입니다.

궁극적으로, 이 논문은 해결책이 단지 더 많은 법을 만들거나 더 많은 서버를 구축하는 것이 아니라고 주장합니다. 데이터에 따르면 네팔은 이미 강력한 법을 가지고 있으며 인프라를 기록적인 속도로 구축하고 있습니다. 누락된 조각은 구축된 것을 관리할 운영 역량입니다. 권고 사항은 네-팔이 문제를 발견하기 위해 외부의 도움에 의존하기보다는, 보안 문제를 탐지하고 수정할 수 있는 자체 인력을 교육하는 데 집중적으로 투자해야 한다고 제안합니다. 또한 새로운 디지털 도구를 구축하는 속도가 그 안전성을 검증하고 문서화하는 과정에 의해 뒷받항되어야 함을 촉구합니다. 연구는 e-거버넌스의 급격한 확장이 국가를 노출된 상태로 남겨둘 것이라는 점을 강조하며, 디지털 시스템을 거버넌스하고 보안하는 능력이 시스템 자체의 성장 속도와 일치할 때까지는 이 문제가 지속될 것이라고 결론짓습니다. 도로는 건설되고 있지만, 안전 요원들은 여전히 뒤처져 있습니다.