방산 사이버 위협·AI 전장, 그리고 지방까지 번진 K-방산 생태계의 새 좌표

전략이 바뀌고 있다 — 세 가지 신호

방산 뉴스는 보통 무기 성능이나 계약 규모를 중심으로 돌아간다. 그런데 최근 며칠 사이 한국과 캐나다에서 동시에 터져 나온 소식들은 조금 다른 결을 보여준다. 사이버 공격으로 인한 전력 공백, 지방 도시가 직접 뛰어드는 방산 실증 생태계, 그리고 동맹 의존도를 낮추려는 전략적 자율성 추구. 세 흐름은 언뜻 별개처럼 보이지만, 사실 하나의 방향을 가리킨다. 방산의 무게중심이 하드웨어 플랫폼 단독에서 소프트웨어·데이터·공급망 전반으로 이동하고 있다는 것이다.

사이버 피해가 곧 전력 공백이다 — KIDA의 경고

뉴스투데이가 전한 한국국방연구원(KIDA) 김영봉 연구위원의 발언은 짧지만 날카롭다. "방산업체의 사이버 피해는 단순한 기업 손실이 아니라, 전력 공백으로 이어지는 국가안보 차원의 리스크"라는 것이다.

솔직히 말해, 이 경고는 새롭지 않다. 미국 방위산업청(DIBNet)은 이미 수년째 방산 공급망 사이버 보안(CMMC, Cybersecurity Maturity Model Certification)을 의무화하는 방향으로 가고 있다. 그런데 한국에서 KIDA 연구위원이 공개 석상에서 "국가안보 리스크"라는 단어를 직접 쓴다는 것은, 문제의 심각성이 이제 정책 의제로 본격 부상했음을 뜻한다.

왜 방산 사이버 침해가 유독 위험한가. 일반 기업의 랜섬웨어 피해는 생산 중단, 매출 손실로 끝날 수 있다. 그러나 방산업체가 공격받으면 결과가 다르다.

설계 도면·소스코드 유출 → 적국의 무기 체계 역설계 가능
생산 라인 마비 → 납품 지연, 실전 배치 차질
공급망 침투 → 소프트웨어 업데이트에 악성코드 삽입, 실전 운용 중 오작동 유발

특히 세 번째 시나리오, 즉 공급망 침투는 무기 체계가 소프트웨어 정의(Software Defined) 방향으로 갈수록 위협 표면이 기하급수적으로 넓어진다. 하드웨어만 지키는 시대는 끝났다.

포천이 움직였다 — 지방이 방산 실증 도시가 되는 법

경기도 포천시의 행보가 흥미롭다. 경기평화신문 보도에 따르면, 포천시는 특수지상작전연구회와 국방 AI·방산 협력 MOU를 체결했다. 다음 보도는 여기에 구체적 그림을 더한다. 포천시가 내세운 키워드는 국방 AI와 **유무인 전술(MUM-T, Manned-Unmanned Teaming)**이다.

포천은 지리적으로 수도권 북부, 군사훈련 지역과 인접해 있다. 이 지역 특성상 실사격·드론 운용 실증이 가능한 공간 확보가 비교적 용이하다. 지방 도시가 방산 생태계의 테스트베드로 자리매김하는 모델은 이미 창원(함정·기계), 구미(항공 부품), 보령(폭발물·화약) 등에서 확인된 바 있다. 포천이 여기에 AI·자율화 영역을 새 카드로 들고나온 것이다.

흥미로운 점은, 이런 지방 주도 방산 클러스터 전략이 단순한 지역경제 카드가 아니라는 것이다. 방산 실증 인프라는 기업의 연구개발(R&D) 비용을 낮추고, 실전 데이터 축적을 빠르게 한다. 결국 K-방산 수출 경쟁력의 근간이 되는 실증 사이클을 단축하는 효과가 있다.

캐나다의 선택, 그리고 한국이 읽어야 할 행간

더구루에 따르면, 캐나다가 국방산업전략을 공식 발표했다. 핵심 철학은 **전략적 자율성(Strategic Autonomy)**과 경제 성장의 결합이다. 이는 단순히 캐나다만의 이야기가 아니다.

국가	방산 전략 키워드	최근 주요 행보
캐나다	전략적 자율성 + 경제 성장 결합	국방산업전략 공식 발표
한국	K-방산 수출 확대 + AI 자율화	방산 실증 클러스터 구축 시동
미국	CMMC 의무화 + 공급망 보안	방산 사이버 보안 규제 강화
EU	전략적 자율성 + 역내 공동생산	유럽방위펀드(EDF) 확대

캐나다의 이 전략은 트럼프 행정부 2기 출범 이후 미국의 동맹 압박, 방위비 분담 갈등을 배경으로 나왔다는 점에서 의미심장하다. 동맹에 의존하는 안보 구조의 취약성을 인식하고, 독자적 방산 역량 확보로 방향을 튼 것이다. 다만 캐나다는 인구 4천만, 방산 예산 규모의 한계가 있는 만큼, 이 전략이 얼마나 빠르게 구체화될지는 지켜봐야 한다.

K-방산이 잡아야 할 세 가지 좌표

이 흐름들을 연결하면, 한국 방산이 지금 바로 움직여야 할 지점들이 선명해진다.

첫째, 방산 사이버 보안 인증 체계 선점. 미국 CMMC의 한국판 구축은 선택이 아니라 수순이다. 한화시스템은 이미 사이버 보안 솔루션과 국방 네트워크 체계를 통합 운용하는 역량을 갖추고 있으며, KIDA의 이번 경고를 계기로 **방위사업청(DAPA)**이 방산 중소 협력업체를 포함한 공급망 전반의 사이버 보안 의무화 기준을 조기에 수립한다면, 한국이 이 분야에서 아시아 수출 레퍼런스를 선점할 수 있다.

둘째, 유무인 복합전투(MUM-T) 실증 인프라를 포천 중심으로 구체화. 현대로템의 무인 지상 플랫폼(UGV) 계열과 LIG넥스원의 전술 드론 통신·링크 체계는 유무인 전술 통합 실증이 가능한 테스트베드가 있어야 실전 데이터를 쌓을 수 있다. 포천시가 구축 중인 방산 실증 도시 인프라는 이 두 기업이 공동 실증을 진행할 수 있는 플랫폼이 될 수 있으며, 이는 곧 수출용 레퍼런스 영상·데이터로 직결된다.

셋째, 캐나다 국방산업전략을 K-방산 수출의 창구로 활용. 캐나다가 전략적 자율성을 강화하는 방향으로 간다는 것은, 미국산 일색의 조달 구조에서 다변화를 모색할 여지가 생긴다는 뜻이다. KAI의 경공격기·훈련기 계열, 풍산의 탄약 라인업, SNT다이내믹스의 자주포·전술차량 구동 체계는 캐나다가 구축하려는 독자 방산 생태계의 협력 파트너 후보군으로 충분한 경쟁력을 갖춘다. 국방AI센터와 방위사업청이 캐나다 전략 발표 직후 정부 간 방산 협력 채널을 선제적으로 타진하는 것이 타이밍상 유리하다.

이 흐름이 어디로 가는가 — 전망과 리스크

방산 AI와 자율화, 사이버 보안이 교차하는 지금의 국면은 2~3년 안에 훨씬 가파른 경쟁 구도로 전환될 가능성이 높다. 특히 주목할 포인트는 두 가지다.

우선, 소프트웨어 공급망 공격의 정교화다. 북한·중국·러시아 계열 해킹 그룹이 방산업체 2·3차 협력사 수준까지 침투를 시도하는 사례가 증가하고 있다. KIDA의 경고가 단순한 학술적 제언에 그치지 않으려면, 법적 의무화와 함께 중소 방산 협력사에 대한 실질적 사이버 보안 지원 예산이 뒷받침되어야 한다.

다음으로, 지방 방산 클러스터의 지속성 문제다. 포천시의 방산 실증 도시 구상은 방향은 맞지만, 중앙정부 예산·국방부 협력 없이 지방자치단체 단독으로는 속도를 내기 어렵다. MOU 단계에서 실질적 계약·프로그램으로 이어지지 않으면 선언에 머물 위험이 있다.

캐나다 국방산업전략 역시, 정치적 의지와 예산 현실 사이의 간극이 변수다. NATO 국방비 2% 목표 달성 압박을 받고 있는 캐나다가 얼마나 빠르게 실행 예산을 편성할지는 불확실하다.

자주 묻는 질문 (FAQ)

Q1. 방산업체 사이버 공격이 실제로 전력 공백을 일으킨 사례가 있나요? 2022년 독일 방산 기업 헨솔트(Hensoldt) 해킹, 2023년 미국 방산 협력사 데이터 유출 사례 등이 있다. 직접적 무기 오작동 사례는 비공개가 많으나, 납품 지연·설계 유출로 인한 간접 전력 공백 효과는 실재한다.

Q2. 유무인 복합전투(MUM-T)란 정확히 무엇인가요? 유인 플랫폼(조종사·병사)이 무인 드론·로봇을 실시간 통제하며 협동 작전을 수행하는 전술 개념이다. 미 육군이 아파치-드론 연동에서 시작, 현재 지상·해상·공중 전 영역으로 확대 중이다.

Q3. 캐나다 국방산업전략에서 한국 방산이 진출할 수 있는 분야는? 캐나다는 탄약, 경공격기, 기갑 차량 분야의 국산화 또는 동맹 협력 생산을 강조하고 있어, KAI·풍산·SNT다이내믹스 등이 공동생산 또는 기술이전 협력 형태로 접근 가능한 분야다.

Q4. 포천시 방산 실증 도시 구상은 실현 가능성이 있나요? 지리적 조건(군 인접 지역, 넓은 훈련 가용 공간)은 유리하다. 다만 국방부·방위사업청의 공식 지정과 예산 연계가 없으면 선언적 MOU에 그칠 수 있다. 향후 6~12개월 내 중앙정부 연계 여부가 관건이다.

Q5. CMMC 같은 방산 사이버 보안 인증 제도가 한국에도 생길까요? KIDA를 포함한 연구기관들이 필요성을 지속 제기하고 있으며, 방위사업청도 공급망 보안 강화 기조로 움직이는 중이다. 미국 CMMC의 한국판 제도화는 2~3년 내 가시화될 가능성이 높다고 보는 시각이 우세하다.

여러분은 방산 사이버 보안을 기업의 자율 영역으로 두어야 한다고 보십니까, 아니면 CMMC 방식의 국가 주도 의무 인증 체계로 강제해야 한다고 생각하십니까?

포천시, 특수지상작전연구회와 MOU 체결…국방 AI·방산 협력 확대 - 경기평화신문