최근 금융권 연쇄 해킹으로 주변 업무지원 시스템에서 개인정보가 유출되면서 핵심 금융거래망 중심 보안체계의 사각지대가 드러났다.
인공지능(AI)을 활용한 공격 정황까지 나타난 만큼 주변 시스템과 협력사까지 보안 범위를 확대하고, 취약점을 상시 검증·조치할 수 있는 인력·예산·권한을 갖춰야 한다는 주문이 나왔다.
전자신문이 12일 서울 용산구 스틸리언 본사에서 개최한 '현실로 다가온 AI 해킹, 기업 보안 무엇을 바꿔야 하나' 특별좌담회에서는 AI 시대의 사이버보안 환경 변화와 기업·기관·정부의 대응 방향이 폭넓게 논의됐다.
전문가들은 기업의 보안 의사결정 구조 개선과 AI 방어 역량 강화뿐 아니라 과징금의 보안투자 환원, AI 자율방어의 적용 여건 개선 등을 제안했다. AI 에이전트에 맞는 법·제도 정비와 사고 이후 핵심 업무를 신속히 복구하는 역량, 국내 보안산업의 경쟁력 확보 등도 주요 과제로 꼽았다.
〈참석자(가나다순)〉
△박찬암 스틸리언 대표
△이원태 국가AI전략위원회 보안특위 위원장
△이준호 한국CIO포럼 회장
△장항배 중앙대 산업보안학과 교수
△사회=김지선 전자신문 SW/AI산업부장
◇사회(김지선 전자신문 SW/AI산업부장)=AI를 악용한 해킹 가능성이 경고돼 왔는데, 이번에는 단기간에 여러 금융기관이 공격받았다. 기존 해킹과 비교해 무엇이 달라졌으며, 이번 사고의 의미를 어떻게 보나.
◇이준호(한국CIO포럼 회장)=사이버 공격의 경제학이 바뀌고 있다는 점에서 중요한 경고다. 과거에는 공격자가 개별 시스템을 분석하고 취약점을 찾아 침투하기까지 상당한 시간과 전문성이 필요했다. AI 기술의 발전으로 취약점 탐색, 공격 코드 작성, 정보 수집 등에 필요한 시간과 비용이 크게 줄고 있다.
공격자도 과거에는 성공 가능성이 높은 대상에 선택과 집중을 해야 했다. 이제는 상대적으로 보안 관리가 취약한 주변 시스템까지 광범위하게 탐색하고 공격하는 것이 경제적으로 가능해졌다. 방어자 역시 핵심 시스템만 선택적으로 보호하는 전략에서 벗어나야 한다.
◇박찬암(스틸리언 대표)=해킹의 진입장벽이 낮아졌고 누구나 시도할 수 있는 공격 수준은 높아졌다. 과거에는 몇 개월에서 몇 년은 공부해야 확보할 수 있었던 공격 지식에 접근하는 문턱이 AI로 극단적으로 낮아졌다.
고급 기술에 대한 방어뿐 아니라 초·중급 수준의 공격에 대응할 보안 기술에도 관심을 가져야 한다. 이상행위를 알아차리고 알려주며 공격자의 작업을 어렵게 만드는 기술이 필요하다. 공격의 최저 수준이 높아지는 만큼 기업이 갖춰야 할 최저 보안 수준도 높아져야 한다.
◇장항배(중앙대 산업보안학과 교수)=AI 위협이 가능성에 대한 경고를 넘어 기업이 실제로 대응해야 하는 운영상의 위험으로 구체화됐다. 기존 공격 기술과 AI 도구의 결합이 금전적 동기를 가진 공격자의 단기간 반복 침입을 가능하게 했다는 점에 주목해야 한다.
기업은 위험을 줄이거나, 이전하고, 피하는 전략 외에도 자원 한계와 사고 가능성을 고려해 일부 위험을 수용하기도 한다. AI를 악용한 공격은 위험을 수용하는 선택을 점점 어렵게 만든다. 상대적으로 위험이 작다고 판단했던 보호 대상도 쉽게 보안사고로 연결될 수 있기 때문이다.
◇이원태(국가AI전략위원회 보안특별위원회 위원장)=아직 AI가 스스로 저지른 연쇄 해킹이라고 단정할 단계는 아니다. '아르텍스(ARTEX)' 관련 흔적은 AI 도구가 쓰였을 가능성을 보여주는 정황이고, 동일 IP도 연관성을 살펴볼 단서일 뿐 공격자나 국적을 확정하는 근거는 아니다. 당국의 조사 결과를 지켜봐야 한다.
AI 자율공격의 가능성을 경계하되 과도한 공포는 금물이다. 공포는 잘못된 처방과 보여주기식 대책을 낳기 쉽다.
하지만 AI 기반 공격이 여러 기관의 빈틈을 동시에, 빠르게 노릴 수 있다는 경고를 냉정하게 받아들여야 한다. 한 곳의 침해가 협력사와 고객, 다른 금융회사로 피해를 번지게 할 수 있다는 점도 중요하다.
◇사회=공격자가 주변 시스템까지 광범위하게 탐색한다면 기업의 관리 범위도 달라져야 할 것 같다. 이번 사고에서 드러난 보안 사각지대는 왜 생기며, 협력사와 외부 서비스까지 어디까지 관리해야 하나.
◇박찬암=자산이 많을수록 메인 시스템에 비해 보안 수준이 낮은 지점, 즉 가장 약한 고리를 더 쉽게 찾을 수 있다. 관리 영역이 너무 많아 보안 수준을 일률적으로 챙기기 어려운 문제로 보인다. 공격자 관점에서 중요하지 않은 시스템은 없다. 어떤 침투 경로도 도움이 된다.
이번 사고는 고난도 공격 시도가 아니었고 보안담당자들도 막을 역량이 있었다고 본다. 다만 역량이 있는 것과 현실적인 인력·예산이 뒷받침되는 것은 다른 이야기다. 메인 시스템 이외 자산들의 기본 보안 수준을 높일 투자가 필요하다.
◇이준호=전체 IT자산과 외부 접점을 충분히 파악하고 지속적으로 관리하지 못한다는 점이 문제다. 금융기관은 핵심 금융거래 시스템에 상당한 보안 투자를 해왔다. 그러나 대출모집인 조회 서비스, 직원 모바일 업무지원, 영업지원 시스템 등 상대적으로 중요도가 낮게 평가되거나 외부와 연결된 시스템에는 사각지대가 생길 수 있다.
특히 API와 외부 연계 시스템에서는 인증뿐 아니라 인가 통제가 중요하다. 정상 계정으로 로그인했더라도 권한이 없는 다른 고객의 정보에 접근할 수 있다면 다중인증만으로 막을 수 없다. IT자산의 정확한 식별, 접근권한 관리, API 보안, 개인정보 최소 수집과 보관이 함께 이뤄져야 한다. 보안 제품을 추가하는 것만으로 해결되지 않는다.
◇장항배=관리 범위는 기업이 가치를 만드는 과정의 변화와 함께 봐야 한다. 과거에는 기업 내부의 생산과 업무 과정에 집중했다면 최근에는 핵심 공정을 내재화하고 나머지는 위탁하는 방식으로 기업 간 연결이 확대되고 있다. 보호 대상의 범위도 넓어져야 한다.
공급망(Upstream)뿐 아니라 제품과 서비스가 고객에게 전달되는 수요망(Downstream)의 연결까지 보호활동이 확대되고 있다. 기업 간 연결과 데이터 흐름, 접근통제 수준을 관리하고 협력사와 공동 대응훈련도 해야 한다. 개별 시스템을 넘어 사업이 가치를 만들어내는 연결 과정의 보안을 살펴야 한다.
◇사회=기업은 사고 이후 점검과 대책을 반복하고 있다. 점검을 실제 보안 수준 향상으로 연결하려면 무엇이 달라져야 하나.
◇이준호=보안 조치가 실제 사업 운영과 충돌하는 경우가 많다. 취약점이 발견돼도 금융거래나 고객 서비스가 중단될 위험 때문에 즉시 패치를 적용하기 어려울 수 있다. 오래된 시스템에서는 패치 적용에 따른 부작용도 충분히 검증해야 한다.
보안책임자는 즉각적인 조치를 요구하지만 사업부서는 서비스 안정성과 고객 불편을 우려한다. 경영진은 제한된 예산 안에서 사업과 보안 투자 사이의 우선순위를 결정해야 한다. 단순히 보안 의지가 부족해서 생기는 문제가 아니다. 기술적 복잡성과 조직 간 이해관계가 함께 작용한다.
◇박찬암=좋은 대응책은 이미 많지만 실행은 완전히 다른 문제다. 대응책을 실행할 인력과 예산, 권한이 있어야 한다. 이사회와 최고경영자(CEO)를 비롯한 전사적인 보안 인식과 협조체계가 필요하다.
지속적인 모의해킹과 AI 공격으로 취약한 부분을 하나씩 개선하며 침투 확률을 줄여야 한다. 식별된 취약점은 신속하게 조치해야 한다. 필요하면 서비스를 내리는 방식으로 적극 대응해야 한다.
◇장항배=보안이 경영진에게 보고하는 수준에 머물고 실제 의사결정으로 이어지지 않으면 개선에도 한계가 있다. 경영진도 법·재무·위험관리처럼 보안을 기본 소양으로 갖추고, 보고서를 보고 질문하고 판단할 수 있어야 한다. 보안을 지원 업무가 아닌 기업의 지속가능성을 위한 전략으로 다뤄야 한다.
보안은 지속적인 과정이다. 사고가 났다고 최고정보보호책임자(CISO)에게만 책임을 지우고 물러나게 하면 축적된 경험과 업무의 연속성이 끊길 수 있다. 공동의 책임을 전제로 기존 인력이 문제를 해결할 기회도 줘야 한다. 점검과 대책이 조직의 경험과 역량으로 쌓이는 구조가 필요하다.
또 사고가 발생한 기업을 대상으로 처벌만 강화할 것이 아니라 보안 투자로 이어지는 선순환 구조를 만들어야 한다. 예를 들어 기업에 부과한 과징금의 50%를 다시 환원하되, 보안 강화에 재투자하도록 하는 방안이다. 제재를 통해 책임을 묻는 동시에 기업이 보안 역량을 지속적으로 높일 수 있도록 제도적 개선이 필요하다.
◇이원태=점검표 제출로 끝나서는 안 된다. 취약점을 찾고 고친 뒤 실제로 막혔는지 재검증하는 과정이 평소 업무로 자리 잡아야 한다. 사고가 발생했을 때 핵심 업무를 얼마나 빨리 복구할 수 있는지도 훈련으로 확인해야 한다. 한 기업의 경험이 다른 기업의 예방으로 이어지도록 민관이 위협정보를 신속히 공유하고, 성실하게 신고한 기업에는 지원이 돌아가야 한다.
기업의 개선을 돕는 전문인력도 중요하다. 특히 인력과 예산이 부족한 중소기업을 지원하려면 한국인터넷진흥원(KISA)의 숙련된 인력이 뒷받침돼야 한다. 축적된 사고 분석과 현장 대응 경험은 단기간에 대체하기 어려운 국가적 자산이다. 과학기술정보통신부와 유관 기관이 처우 개선과 인력 확충에 나서야 한다. 장비와 사업에 투자하는 만큼 이를 운용하고 위기에 대응할 사람에게도 투자해야 한다.
◇사회=결국 보안부서의 노력만으로 해결하기 어려운 문제다. 사업과 시스템 운영을 결정하는 경영진과 각 부서는 책임을 어떻게 나누고, 보안투자의 효과는 무엇으로 판단해야 하나.
◇장항배=경영진은 보호할 핵심 업무와 감수할 위험 수준을 정해야 한다. 사업부서는 데이터 이용과 서비스 설계, 구매·계약부서는 외부 업체 연계, IT부서는 시스템 변경과 접근권한의 위험을 관리해야 한다. 보안부서의 전문적인 평가와 통제를 바탕으로 각 부서가 함께 결정하고 공동으로 책임져야 한다.
투자 효과도 잠재적인 손실 예방만으로 설명해서는 안 된다. 보안 준수를 위해 업무 절차를 정형화하면 생산성 향상에 기여할 수 있고, 보안 인증이 공급업체 선정 조건이라면 새로운 거래의 기반도 된다. 보안을 잘하는 기업과 그렇지 않은 기업의 생산성·품질을 비교해 효과를 입증해야 한다. 보안이 매출과 사업 기회에 어떤 도움이 되는지 경영진이 이해하는 언어로 설명할 필요가 있다.
◇이준호=최고정보책임자(CIO)와 CISO를 모두 경험한 입장에서 보안 문제의 상당 부분은 경영적인 의사결정이 필요하다고 생각한다. 경영진이 위험을 이해하고 결정에 참여할 때 실행력이 생긴다. 보안책임자에게 책임뿐 아니라 예산과 권한, 조직 간 조정 능력을 함께 제공해야 한다.
AI 도입도 기획 단계부터 CIO·CISO·개인정보보호책임자(CPO)가 함께 참여해야 한다. 생산성과 사업 기회, 보안 위험, 개인정보보호 요건을 함께 검토해 데이터 활용 범위와 통제 수준을 정해야 한다. 일반 업무에는 상대적으로 유연한 정책을 적용하되 고객 개인정보나 금융거래에 영향을 미치는 고위험 영역에는 강화된 검증과 통제가 필요하다.
성과는 실제 위험 감소로 평가해야 한다. 인증과 규제 준수는 기본 조건이지만 인증 획득이 실제 공격에 대한 안전성을 보장하지는 않는다. 점검 횟수나 제품 도입 수보다 중요 취약점의 조치 시간, 외부 노출 자산 관리 수준, 탐지·대응 시간을 살펴야 한다. 사고 이후 대책 발표 속도가 아니라 사고 이전에 얼마나 많은 위험을 발견하고 제거했느냐가 중요하다.
◇사회=AI 발전으로 공격의 속도와 규모가 커질 것으로 예상된다. 기업은 방어에 AI를 어디까지 활용하고, 실제 적용과 자동화 과정의 위험은 어떻게 관리해야 하나.
◇이준호=공격자가 AI로 취약점을 탐색하고 공격을 반복하는 상황에서 사람의 수작업만으로 대응하는 데는 한계가 있다. 기업도 보안 로그와 이상 징후 분석, 취약점 탐색, 위험도에 따른 대응 우선순위 결정에 AI를 활용해야 한다. 공격과 방어 모두 기계의 속도로 움직이는 시대를 준비해야 한다.
다만 AI의 오탐과 미탐, 자동 대응에 따른 업무 영향도 함께 관리해야 한다. 중요한 조치에는 사람의 검증과 통제가 필요하다. 장기적으로는 국내 금융·공공 환경의 특성과 규제 요건을 이해하는 보안 특화 AI 모델과 에이전트를 확보하는 것도 중요하다.
◇박찬암=100% 완벽한 보안은 없다. 계층별로 다양한 보안 기술을 적용해 침투가 발생하더라도 탐지와 기록, 알림이 명확히 이뤄지도록 가시성을 강화해야 한다. 공격 탐지부터 패치 개발·적용, 시스템 복구까지 보안 조치의 자율성도 확대해야 한다.
문제는 현장 적용 여건이다. 지난달 국가정보원과 북대서양조약기구(NATO) 사이버방위협력센터 등이 공동 개최한 국제 사이버훈련 'APEX'에서는 시스템 구성도가 제공돼 AI 방어팀 '팔랑크스'가 패치와 복구 등을 자율적으로 수행할 수 있었다. 하지만 국내는 폐쇄망과 자체 구축한 시스템이 뒤섞여 전체 구성조차 파악하기 어려운 경우가 많다. 자율주행차를 개발하려는데 지도가 없는 상황과 비슷하다.
시스템 구성 정보를 공유하고 보안 데이터를 모아 분석·학습할 수 있는 환경을 갖춰야 자율방어 기술을 적용할 수 있다. 다만 아직 중요한 작업에는 사람의 최종 판단이 필요하다.
◇장항배=기업의 준비도에는 AI 도구를 갖추는 것과 함께 도구를 검증하고 활용할 수 있는 AI 보안 문해력도 포함된다. AI 기반 보안관제로 경보의 우선순위 판단과 로그 분석, 초기 대응을 지원하되 사람이 중요한 판단과 책임을 수행해야 한다.
보안 환경과 보호 대상, 위험 요소는 서로 영향을 주며 변한다. 자원이 한정돼 모든 대상을 획일적으로 보호할 수는 없는 만큼 기업의 가치사슬을 구성하는 요소를 식별·평가하고 중요한 연결 과정의 보안을 강화해야 한다. 공격자도 탐지를 피하려고 행동을 바꾸므로 방어체계 역시 이미 알려진 공격에 대응하는 데서 나아가 새로운 공격을 예측하는 방향으로 발전해야 한다.
◇이원태=기업은 외부 AI 공격에 대비하는 동시에 도입한 AI 에이전트가 새로운 위험이 되지 않도록 관리해야 한다. 에이전트에는 일종의 안전벨트가 필요하다. 업무에 필요한 최소 권한을 부여하고 할 수 있는 일의 범위를 정해야 한다.
데이터 삭제나 대량 반출 같은 중요한 행동은 사람이 승인하고, 이상행동이 나타나면 즉시 멈추거나 권한을 회수할 수 있어야 한다. 공격이 AI로 빨라지는 만큼 방어도 AI로 빨라져야 하지만, 통제할 수 있는 환경을 갖추는 일이 함께 이뤄져야 한다.
◇이준호=그런 통제를 도입 이후에 검토해서는 늦다. 기획 단계부터 CIO·CISO·개인정보보호책임자(CPO)가 함께 참여해야 한다. CIO는 생산성과 사업 기회를, CISO는 보안 위험을, CPO는 개인정보의 적법한 활용과 정보주체의 권리를 고려한다. 데이터 활용 범위와 접근·외부 전송 통제, 처리 목적과 보유기간을 함께 설계해야 한다.
일반적인 업무 생산성 향상에는 상대적으로 유연한 정책을 적용하되 고객 개인정보나 금융거래에 직접 영향을 미치는 고위험 영역에는 강화된 검증과 통제가 필요하다. 세 조직이 기업의 지속가능한 혁신을 함께 책임지는 파트너가 돼야 한다.
◇사회=AI 방어 역량을 높이려면 보안업계의 역할도 중요하다. 해외 기업들이 대형 플랫폼화를 추진하는 가운데 국내 기업은 어떤 경쟁력을 확보해야 하며, 수요기업은 무엇을 원하나.
◇이준호=수요기업은 실제 위험을 줄이면서 기존 IT 환경에서 안정적으로 운영할 수 있는지를 중요하게 생각한다. 새로운 AI 기술이나 탐지 기능뿐 아니라 시스템 연동, 운영 인력의 부담, 오탐·미탐에 따른 업무 영향, 유지보수의 안정성이 중요하다.
기업은 이미 다양한 보안 솔루션을 운영하고 있다. 서로 연동되지 않으면 제품이 늘어도 사각지대가 생길 수 있다. AI로 반복 업무를 줄여 탐지·분석·대응 시간을 단축하고, 도입 이후에도 업데이트와 취약점 관리, 기술 지원을 지속해야 한다. 기업이 원하는 것은 또 하나의 제품이 아니라 운영의 복잡성을 줄이면서 위험을 낮춰주는 솔루션이다.
◇장항배=서로 다른 보안정보를 연결해 공격 흐름을 파악하고 대응으로 이어지게 하는 것이 중요하다. 개별 솔루션이 유기적으로 연계돼 탐지부터 대응까지 일관된 서비스로 확장될 필요가 있다.
공통 보안서비스와 산업별 특화 서비스를 병행하는 전략도 필요하다. 금융과 제조, 방산, 연구기관은 보호할 자산과 업무 구조, 사고의 파급효과가 다르다. 차이를 반영한 서비스를 제공해야 한다.
◇박찬암=세부 분야나 기업 규모에 따라 전략이 다를 것이다. 스틸리언 같은 벤처기업 입장에서는 규모의 경제에 맞서 경쟁할 수 있는 틈새시장이 있다고 생각한다. 강점을 발휘할 수 있는 영역에 집중해 경쟁력을 날카롭게 만들어야 한다.
◇이원태=규모 경쟁만으로 글로벌 대형 플랫폼을 따라잡기는 어렵다. 국내 금융·공공 환경을 잘 안다는 강점과 고객의 위험을 실제로 줄였다는 성과에서 경쟁력이 나와야 한다.
국내 전문기업들이 각자의 강점을 공통 규격으로 연결하고 위협정보를 함께 나누면 큰 플랫폼 못지않은 힘을 낼 수 있다. 서로 경쟁자이기 전에 국가 사이버안보를 함께 지키는 동반자라는 인식이 필요하다. 정부는 검증된 제품의 초기 수요를 만들고 중소기업이 쓸 수 있는 보안서비스와 인재 양성을 지원해야 한다. 평가는 국산 여부만이 아니라 실제 효과와 연동성, 지속적인 관리 능력을 기준으로 해야 한다.
박진형 기자 jin@etnews.com
