AI 해킹과 징벌적 제재의 시대, 해법은 ‘선제적 보안과 회복력’... 제154차 CISO 포럼

고낙준 개인정보위 예방조정심의관, 조사와 분리된 사전 실태 점검 및 ISMS-P 개정안 강조
조상원 아카마이 상무, 침해 상황 전제한 ‘마이크로 세그멘테이션’ 아키텍처가 제로트러스트의 핵심

[보안뉴스 조재호 기자] “프론티어 AI 모델 확산에 따른 사이버보안 이슈가 글로벌 화두로 떠오른 만큼, 과기정통부 역시 국가안보실 및 유관기관과 협력해 이를 최우선 현안으로 다루고 있으며, 현장의 CISO들을 지원하기 위해 총력을 기울이고 있습니다.”

▲(왼쪽부터) 이기주 한국CISO협의회 회장과 최우혁 과기정통부 정보보호네트워크정책실장, 김진수 KISIA 회장이 인사말을 하고 있다. [출처: 보안뉴스]

최우혁 과학기술정보통신부 정보보호네트워크정책실장은 16일 서울 중구 롯데호텔에서 열린 ‘제154차 CISO 포럼’에서 이와 같이 말했다. 최근 고도화된 AI의 범죄 악용 가능성과 함께 한층 더 강화된 법적 기준에 대비한 차세대 보안 전략을 모색하는 자리에서 정책적 연대와 상생을 강조한 것이다.

김진수 한국정보보호산업협회(KISIA) 회장도 “국내 보안 기업의 솔루션 확대와 상생을 위해 협회장 직통 채널을 상시 개방하고, CISO들의 목소리를 가감없이 수렴하겠다”며 힘을 보탰다.

이번 포럼은 과기정통부와 개인정보보호위원회, KISA 등 국내 주요 기업의 CISO 등 민관 보안 거버넌스의 핵심 관계자 100여명이 참석했다.

▲고낙준 개인정보보호호위원회 예방조정심의관이 강연을 진행하고 있다. [출처: 보안뉴스]

특별 초청 강연을 맡은 고낙준 개인정보위 예방조정심의관은 ‘AI 시대 개인정보 보호 체계 대전환’을 주제로 강연을 진행하며, 개인정보위에서 중점 추진 중인 △선제적인 예방·점검검체계 구축 △실효적 제재 및 권리구제 실질화 △신뢰기반 AI 사회 등 3대 정책 방향을 설명했다.

고 심의관은 “(침해 사고) 조사와 분리된 전담 조직을 신설해 진행하는 실태 점검은 위반 행위를 처벌하기 위한 사후 제재 목적이 아니라, 사고 발생 전 선제적으로 취약점을 찾아내고 기업이 스스로 개선하도록 돕는 일종의 ‘컨설팅’ 개념으로 접근해야 한다”고 말했다.

특히 사고가 터진 후 책임을 묻는 사후 규제에서 벗어나, 시스템 기획 단계부터 프라이버시를 내재화하는 ‘선제적 보안’의 중요성을 거듭 강조했다. 고 심의관은 기업이 자발적으로 모의해킹을 수행하고 보호 기술 생태계에 선행 투자를 진행하는 등 사전 예방 중심의 안전 조치를 충실히 이행할 경우, 이를 강력한 책임 이행의 증거로 인정해 과징금을 대폭 감경하는 등 실질적인 인센티브를 부여하는 방안을 마련하고 있음을 밝혔다.

또, 실질적인 개인정보보호 안전망 구축을 위해 오는 2027년 7월 1일부터 ISMS-P 의무화 대상이 공공·민간의 중요 개인정보 처리 시스템으로 대폭 확대된다. 이에 따라 이동통신사, 본인확인기관, 그리고 매출액 1조원 이상 등 국민 파급력이 큰 기업을 대상으로 강화된 인증 기준이 적용되며, 예비 심사 과정 신설 및 현장 심사 역시 상향된다. 인증 기업에서 사고가 발생할 경우, 특별 현장 점검이 진행되고 중대한 법령 위반 시 인증이 취소되는 등 사후 관리 체계도 한층 더 엄격해질 예정이다.

고 심의관은 오는 9월로 예정된 징벌적 과징금 제도와 신속한 유출 통지 의무를 언급하며 경영진과 CISO 중심의 책임감 있는 예방 투자와 신속한 보안 거버넌스 확립을 주문했다.

이어 조상원 아카마이(Akamai) 상무는 ‘제로트러스트와 마이크로세그멘테이션을 통한 사이버 회복력의 강화’를 주제로 AI와 함께 진화하는 해커의 공격을 조명하고 보안 패러다임 혁신에 대한 강연을 진행했다.

조 상무는 “AI를 악용한 자동화 해킹으로 인해 기존의 수동적 경계 방어가 한계에 직면했다”며 “침입을 100% 완벽히 막아내는 것은 불가능하다는 전제하에, 내부 자원을 세밀하게 분리해 침해 사고가 전사적 재앙으로 번지는 것을 막는 사이버 복원력(Cyber Resilience)을 갖춰야 하며, 이를 위한 체계를 구축하는 것이 시급하다”고 말했다.

이를 위해 특정 망분리 규제 완화 기조에 흔들릴 것이 아니라, 모든 주체를 끊임없이 검증하는 제로트러스트보안 철학과 함께 데이터 센터와 클라우드 환경에서 네트워크를 개별 워크로드나 애플리케이션 단위로 나누고, 단위마다 엄격한 보안 정책을 적용하는 마이크로 세그멘테이션(Micro-segmentation) 아키텍처를 차세대 보안 설계의 핵심이라고 진단했다.

그는 “방어벽이 무너졌을 때를 대비해 조선소 격벽처럼 네트워크 인프라를 쪼개 피해를 고립시키는 설계만이 AI 시대의 유일한 생존법”이라고 강조하며, CISO들의 경각심을 일깨웠다.

[조재호 기자(zephyr@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다