[보안 최전선 ⑤] 홍성진 샌드버드 제품 보안 엔지니어 “AI 코딩 시대, 보안 생태계 ‘연대’로 돌파한다”

홍성진 샌드버드 제품 보안 엔지니어, OWASP 서울 챕터 통한 위협 인텔리전스 공유 생태계 강조
엑시오스 등 오픈소스 공급망 해킹 방어 위해 실무자 간 즉각적 전파 및 공동 대응 필수적
차세대 보안 인재 필수 역량으로 붕어빵 장사에 빗댄 제품 전체 수명주기 경험 및 비즈니스 통찰 제시

“해커들은 협력하기보다 경쟁하지만, 보안 담당자들은 모여서 정보를 나누고 연대할 수 있습니다. 이것이 다가올 AI 해킹 시대에서 유일하게 해커를 앞설 수 있는 무기입니다.”

기술적 각개전투가 아닌 연대를 화두로 던진 홍성진 샌드버드 제품 보안 엔지니어는 오픈 월드와이드 애플리케이션 시큐리티 프로젝트(OWASP) 서울 챕터를 이끌며 방어 패러다임의 전환을 촉구했다. 단일 기업의 빗장 걸어 잠그기에서 벗어나 실무자 간 지식 공유 생태계로 나아가야 한다는 설명이다.

B2B SaaS와 최신 AI 플랫폼을 지키는 ‘데브섹옵스’(DevSecOps)
홍성진 샌드버드 제품 보안 엔지니어는 제품 보안 영역에서 취약점 점검부터 버그바운티 운영 등을 총괄하며 자사 제품의 안정성을 담보하고 있다. 그는 다양한 고객사의 보안 수준과 국가별 컴플라이언스를 충족해야 한다는 점을 가장 큰 도전 과제로 꼽았다.

글로벌 B2B 커뮤니케이션 플랫폼 기업인 샌드버드(Sendbird)는 기업 고객에게 채팅이나 음성, 영상 통화 등 B2B 솔루션을 제공하며, 보안 실패는 곧 글로벌 고객사의 위협으로 이어지는 거대한 공급망 사고를 의미한다.

지난해 샌드버드는 기존 B2B 커뮤니케이션망을 넘어 대화형 인공지능(AI) 솔루션인 딜라이트.AI(Delight.AI)를 론칭하며 AI 컴퍼니로 도약했고, 이에 따라 개발과 보안을 통합한 데브섹옵스 내재화는 필수적인 과제로 부상했다.

이에 실무진뿐만 아니라 경영진까지 대규모 보안 사고의 파급력을 명확히 인식해 부서 간 마찰을 줄이는 거버넌스 동기화가 기업 안보의 핵심 역량이라는 설명이다.

커뮤니티의 본질, 위협 인텔리전스와 폐쇄성 타파
AI 코딩이 보편화되는 시대가 열리면서 보안 실무진의 피로도는 극에 달하고 있다. 누구나 코드를 생성할 수 있지만 검증할 인력이 부족하기 때문이다. 홍 엔지니어는 이러한 방어적 비대칭에 맞설 해법으로 보안 업계 특유의 폐쇄성 극복을 지목했다.

그는 “IT 전반에 오픈소스와 지식 공유 문화가 정착된 반면, 보안 업계는 실무자 간 정보 교류가 제한적이기에 아는 사람끼리만 정보를 주고받는 한계가 있다”며 “문제가 생겼을 때 바로 물어보고 공유할 수 있는 공간이 반드시 필요하다”고 말했다.무엇보다 오픈소스 생태계 전반을 노리는 지능형 공급망 공격은 파편화된 개별 기업의 방어 인프라만으로는 선제적 차단이 불가능하다는 것이다.

최근 엑시오스(Axios) 등 유명 라이브러리를 겨냥한 해킹 사태에서 증명됐듯, 침해 징후를 가장 먼저 포착한 실무자가 커뮤니티를 통해 즉각적으로 위협 인텔리전스를 전파하고 공동 대응하는 ‘집단 지성 파이프라인’ 구축이 2026년 방어 생태계의 필수 불가결한 대안이라는 의견이다.

서울의 IT 밀도 극대화...500명 규모의 오픈 컨퍼런스 목표
밀려드는 업무 속에서도 홍 엔지니어가 OWASP 서울 챕터 운영을 하는 이유도 여기에 있다. 그는 “서울은 인프라와 전문가들이 세계 최고 수준으로 밀집된 도시”라며 “이러한 지리적 이점을 극대화하기 위해 실무자이 매달 얼굴을 맞대고 교류할 수 있는 공간을 만들고자 한다”고 밝혔다.

커뮤니티가 지속되려면 구성원 각자의 ‘기여’가 보람으로 느껴질 수 있는 문화를 조성하는 것이 중요하다고 덧붙였다. 나아가 특정 기업의 홍보성 행사가 아닌, 순수하게 실무 지식을 나눌 수 있는 500명 이상 규모의 대형 컨퍼런스를 임기 내 개최하는 것이 그의 목표다.

‘작은 성공’(Small Success)이 빚어내는 거시적 통찰
커뮤니티의 성장과 주니어들에 대한 조언에 홍 엔지니어는 AI가 코딩과 단편적인 점검 업무를 보조하는 시대, 차세대 엔지니어들에게 요구되는 것은 업무의 ‘전주기적 맥락’을 꿰뚫는 능력을 꼽았다. 후배들에게 단순 모의해킹 기술이 아닌, 본인 주도 하의 보안 프로젝트를 기획부터 마무리까지 하는 ‘작은 성공’ 경험을 강조했다.

홍 엔지니어는 “크든 작든 스스로 일을 만들고 결과물을 스케일업(Scale-up) 해본 경험이 쌓여야 한다”며 “아무리 작은 성공이라도 프로젝트의 전 주기를 겪어보고 이러한 경험들이 모일 때 비로소 조직의 더 큰 보안적 통찰을 제시할 수 있는 역량이 길러진다”고 강조했다.

이는 파편화된 기술 수행은 점차 인공지능의 자동화 영역으로 대체됨에 따라, 보안 실무자에게 비즈니스 전체 수명주기 이해도가 요구됨을 말한다. 단순한 취약점 지적을 넘어 제품의 기획, 배포, 사용자 확보 및 운영 등 서비스 전반을 직접 경험할 때 비로소 보안이 매출과 기업 가치에 미치는 영향을 경영진의 언어로 설계하는 거시적 리스크 매니징 능력이 완성된다는 의견이다.

[조재호 기자(zephyr@boannews.com)]

우리나라 정보보호 수준 향상을 위해 이재명 정부에게 가장 바라는 점은 무엇인가요?
	ISMS 등 보안 인증 제도 실효성 개선
	AI 보안, 양자보안 등 보안 기술 연구개발 지원 확대
	중소 기업 보안 지원 확대
	기업 보안 예산 비율 의무화
	국가 정보보호 거버넌스 체계 정비
	기타(댓글로)