보안의 범위가 클라우드와 인공지능(AI), 소프트웨어 공급망으로 확장되면서 한 기업이나 기관이 필요한 기술과 정보, 경험을 모두 확보하기 어려워졌다. 글로벌 보안 생태계에서 다양한 연합체가 만들어지는 배경이다. 연합체마다 목적과 운영 방식은 서로 다르다.
가장 오래 검증된 유형은 정보공유형이다.
금융서비스 정보공유·분석센터(FS-ISAC)는 1999년 미국 금융부문 정보공유 조직으로 출발해 75개국 5000개 이상 기관이 참여하는 글로벌 네트워크로 성장했다. 경쟁 관계에 있는 금융회사들이 공격정보와 취약점, 공격 징후를 공유하는 것이 핵심 기능이다.
경쟁사들이 민감한 정보를 공유할 수 있었던 것은 단순한 협력 정신 때문만은 아니다. 회원을 검증하고 정보의 민감도와 지역·업종·회원 등급에 따라 공유 범위를 구분한다. 전문 상근조직이 정보공유 과정도 관리한다.
신뢰를 사람 간 친분이나 선의에 의존하지 않고 구조와 규칙으로 설계한 것이다.
두 번째는 공동실증형이다.
미국 국립표준기술연구소(NIST) 산하 국가사이버보안우수센터(NCCoE)에서는 정부기관과 수요기업, 기술기업이 실제 제품을 활용해 공동으로 기술을 시험한다.
양자내성암호 전환 프로젝트에서는 기존 암호기술이 사용되는 곳을 파악하고 새로운 암호체계로 전환하는 방법을 설계한다. 서로 다른 기업의 기술이 실제로 연동되는지도 검증한다. 결과는 공개 실무 가이드와 기술자료로 축적된다.
참여기업도 임의로 선정하지 않는다. 공개 모집을 통해 기업을 선정하고 공동연구개발협약을 체결해 기술 기여와 성과 활용, 지식재산의 범위를 명확히 한다. 특정 기업이 프로젝트에 참여했다고 NIST가 제품을 추천하는 것은 아니라는 비보증 원칙도 문서에 명시한다.
정부와 기업이 공동으로 기술을 시험하면서도 중립성을 유지하기 위한 장치다.
세 번째는 공동개발·표준형이다.
안전한 AI를 위한 연합(CoSAI)에는 구글, 마이크로소프트, IBM, 엔비디아 등 경쟁기업들이 참여한다. AI 공급망과 AI 위험관리, AI 에이전트 보안처럼 개별 기업이 단독으로 해결하기 어려운 문제에 대해 공통 가이드와 방법론을 개발한다.
특징은 새로운 독립기관을 설립하는 대신 국제 표준·오픈소스 조직인 오아시스 오픈(OASIS Open)의 운영체계 안에서 활동한다는 점이다.
운영이사회와 기술위원회, 실무 워크스트림으로 역할을 구분하고 회의 기록과 기술 산출물을 공개한다. 경쟁기업들이 각자의 기술적 차별성을 포기하는 것이 아니라 시장 전체에 필요한 최소한의 공통 기반을 공동으로 구축하는 방식이다.
네 번째는 정부·산업·학계를 연결하는 가교형이다.
미국 첨단기술 학술연구센터(ATARC)가 대표적이다.
정부기관은 신기술이 필요하지만 조달 규제와 특정 기업에 대한 특혜 논란 등으로 기술기업과 자유롭게 논의하거나 제품을 시험하기 어렵다. 반면 기업은 정부가 실제로 어떤 기술적 문제를 안고 있는지 파악하기 쉽지 않다.
ATARC는 정부와 기업 사이에 중립적인 협력 공간을 제공한다.
제로트러스트와 AI, 양자, 신원관리, 데브섹옵스(DevSecOps) 등의 워킹그룹을 운영하며 각 워킹그룹에는 공개된 헌장이 있다. 정부가 실제 문제를 제시하면 기업과 학계가 함께 논의하고 별도 연구시설에서 기술을 시험한다. 결과는 백서와 정책 제안으로 정리한다.
워킹그룹 운영부터 기술 실증, 결과 문서화, 정책·시장 확산으로 이어지는 구조다.
ATARC는 '정부가 설계하고, 정부가 이끌고, 정부가 참석한다'는 원칙도 강조한다. 기술 수요자인 정부가 중심에 서고 산업계는 문제 해결자로 참여한다. 기업에는 정부의 실제 수요를 파악할 수 있는 합법적인 접점이 되고, 정부에는 특정 기업의 영업 활동에 좌우되지 않고 시장을 탐색할 기회를 제공한다.
다섯 번째는 국가 간 공동평가형이다.
국제 AI안전연구소 네트워크(International Network of AI Safety Institutes)에는 한국과 미국, 영국, 일본, 유럽연합(EU) 등 여러 국가와 지역의 기관이 참여한다.
단일 평가기준을 먼저 수립해 각국에 배포하는 방식은 아니다. 여러 나라가 같은 AI 모델과 위험을 공동으로 시험하고 서로 다른 평가방법과 결과를 비교하며 기준을 조율한다. AI 에이전트의 민감정보 유출이나 사이버 공격 능력처럼 빠르게 등장하는 위험에 대응하려면 공동으로 시험하면서 평가기준을 마련하는 과정이 중요하다.
운영 형태는 달라도 지속적으로 활동하는 연합체에는 공통점이 있다.
첫째, 목표가 구체적이다. 정보공유와 공동실증, 기술검증, 공동 가이드 개발 등 참여자가 무엇을 위해 모였는지 명확하다.
둘째, 참여자에게 실질적인 이익이 있다. 회원은 개별적으로 확보하기 어려운 위협정보와 실증 결과를 얻고, 정책과 표준에 영향을 미칠 기회도 확보한다.
셋째, 중립성과 실행력을 동시에 갖췄다. 특정 기업이 연합체를 지배하면 경쟁사는 핵심 정보를 공유하지 않는다. 반대로 모든 참여자에게 개방돼 있지만 실행을 책임지는 조직이 없다면 회의만 반복될 수 있다. 회원들이 의제를 정하고 전문 상근조직이 실행을 담당하는 구조가 반복적으로 나타나는 이유다.
넷째, 결과물이 축적된다. 위협정보와 기술규격, 실증 보고서, 오픈소스, 평가방법, 가이드 등 공동 자산이 남는다.
다섯째, 안정적인 운영재원을 확보한다. 회원 회비나 기업의 현물 기여, 정부 인프라 지원 등으로 참여자가 얻는 가치와 비용 부담을 연결한다. 특정 정부사업이 종료되면 함께 사라지는 포럼과 구별되는 부분이다.
반면 지속성을 확보하지 못하는 연합체의 특징도 뚜렷하다. 목표가 '산업 활성화'처럼 추상적이거나 회원들이 이름만 올리는 경우다. 행사와 세미나 개최 횟수가 주요 성과가 되고 특정 기업이나 정부지원금에 지나치게 의존하면 참여 동력도 약해진다.
연합체는 단순히 사람을 모으는 조직이 아니다. 개별 기업이나 기관이 혼자 해결하기 어려운 문제를 공동으로 해결하고, 결과를 공동 자산으로 축적하는 운영 방식이다.
김인현 한국제로트러스트보안협회 회장(투이컨설팅 대표) ihkim@2e.co.kr
