검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'보호'통합검색 결과 입니다. (605건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

주민번호 무단 수집하고 개인정보 방치...알뜰폰 8곳 제재

알뜰폰 사업자 8곳이 법적 근거 없이 주민등록번호를 수집하거나 중요 개인정보를 암호화하지 않고 보관하는 등 개인정보 보호 의무를 위반해 제재를 받았다. 선택 동의를 필수 항목으로 지정해 동의하지 않으면 개통할 수 없도록 한 사례도 적발됐다. 개인정보보호위원회는 11일 전체회의에서 알뜰폰 사업자 8곳에 과징금 총 6090만원과 과태료 총 1억 1040만원을 부과하고 시정명령과 공표명령을 내리기로 의결했다. 조사 대상은 KT엠모바일, 미디어로그, 에스원, LG헬로비전, SK텔링크, 유니컴즈, 국민은행, KT스카이라이프다. 개인정보위는 알뜰폰 업계가 가입자 유치와 시장 확대에 집중하면서 개인정보 보호에 소홀하다는 지적에 따라 개인정보 처리 전반을 조사했다. 조사 결과 KT엠모바일과 유니컴즈는 웹사이트에서 유심을 판매하면서 법적 근거 없이 주민등록번호를 수집했다. 미디어로그는 온라인 가입·개통 과정에서 요금 납부자를 회선 명의자가 아닌 제3자로 변경하는 신청을 처리하며 주민등록번호를 수집했다. KT엠모바일, LG헬로비전, SK텔링크, 미디어로그는 주민등록번호, 신용카드번호, 계좌번호 등 암호화 대상 정보를 평문으로 보관했다. KT스카이라이프와 유니컴즈는 개인정보 처리시스템의 접근권한 관리 기록을 최소 3년간 보관하지 않았고, LG헬로비전은 접속기록 보관도 소홀히 했다. 대부분의 사업자는 보유기간이 지났거나 처리 목적을 달성한 개인정보를 파기하지 않았다. 신청자에게만 제공하는 부가서비스의 개인정보 제3자 제공 동의를 필수 항목으로 구성해, 동의하지 않으면 알뜰폰 개통 이용을 막기도 했다. 개인정보 처리 업무를 맡긴 수탁사에 대한 관리 감독이 미흡한 사례도 확인됐다. 개인정보위는 주민등록번호를 적법한 근거 없이 처리한 행위에 대해 KT엠모바일에 1370만원, 미디어로그에 4720만원의 과징금을 부과했다. 유니컴즈는 과징금 산정 결과 면제 대상에 해당해 과징금 대신 해당 위반에 대한 과태료 390만원을 부과받았다. 사업자별 전체 과태료는 KT엠모바일 2340만원, 미디어로그 1440만원, 에스원 1080만원, LG헬로비전 1530만원, SK텔링크 1440만원, 유니컴즈 1290만원, 국민은행 1380만원, KT스카이라이프 540만원이다. 개통이 취소되거나 보류된 신청서의 보관 기준도 정비하도록 했다. 사업자별 보관기간이 짧게는 5일, 길게는 1년으로 달라 필요한 최소 기간만 보관하도록 내부 기준을 마련하라는 취지다. 가입은 웹·앱으로 받으면서 해지는 대리점 방문이나 고객센터 상담사 연결을 통해서만 가능하도록 운영하는 사업자에는 절차 개선을 권고했다. 개인정보위는 알뜰폰 가입 개통 시 고유식별정보와 결제정보 등 중요 개인정보를 처리하는 만큼, 유출에 따른 명의도용 등 2차 피해를 막기 위해 안전조치 의무를 철저히 이행해야 한다고 당부했다.

2026.11.12 10:00박수형 기자

"새벽 3시에 해킹 있다면...AI공격 AI로 막아야"

[텔아비브(이스라엘)=박광하 기자] 싱가포르, 독일, 인도, 키프로스 4개국 대표가 10일(현지시간) 정부와 기업에서 스스로 판단해 일하는 인공지능(AI)인 'AI 에이전트'를 도입하려는 경우 어떤 통제 조건을 사전에 정해야 할지 의견을 제시했다. 이들은 사람이 정한 한계 안에서 움직이게 하고, 활동 기록을 반드시 남겨야 하며, 문제가 생기면 즉시 멈추고 권한을 회수해야 한다는 데 일치된 의견을 보였다. 이날 텔아비브대에서 열린 사이버위크 2026 본회의의 '첨단 AI와 달라지는 사이버 지형' 패널 세션에서 이 같은 의견들이 제시됐다. 사회는 아비람 앗차바 이스라엘 국가사이버국(INCD) 국제전략국장이 맡았다. INCD는 이스라엘 민간 부문의 사이버 방어를 총괄하는 정부 기관이다. 패널에는 마리오스 피에리스 키프로스 통신청장과 바버라 클루게 독일 연방내무부 사이버 및 정보보안 부총국장이 올랐다. 리 스옌 싱가포르 사이버보안청(CSA) 개발 담당 부청장과 산자이 바흘 인도 컴퓨터긴급대응팀(CERT-In) 국장도 함께했다. 앗차바 국장은 정부가 AI 에이전트에 민감한 정보와 행동 권한을 주기 전에 어떤 조건을 요구해야 하느냐고 물었다. 피에리스 청장은 AI 에이전트에 대한 신뢰를 사람처럼 단계적으로 쌓아야 한다고 답했다. 또 에이전트는 정부 조직 안에서 돌려 데이터가 조직 밖으로 나가지 않게 해야 한다고 말했다. 정부 조직이 요구할 조건으로 ▲명확한 한계 ▲완전한 추적성 ▲필요하면 멈출 수 있는 수단을 꼽았다. 추적성은 에이전트가 한 일을 끝까지 따라가 확인할 수 있는 능력을 뜻한다. 피에리스 청장은 사람의 판단을 시민에게 법적 효과가 있는 결정, 되돌릴 수 없는 일, 인간의 가치 판단이 필요한 일에 남겨야 한다고 했다. 반면 사이버 공격 방어는 속도가 중요해 사람이 끼어들지 않고도 인프라를 빠르고 정확하게 지켜야 한다고 짚었다. 그는 금요일 새벽 3시에 사이버 공격이 터지는 상황을 가정해 보라고 했다. AI 공격은 AI로 막아야 하며 방어를 이끌고 경고하고 시스템을 가동하고 격리할 권한을 분명히 가진 국가 주체가 필요하다고 강조했다. 에이전트 중단·신원 관리 수단 확보해야 바흘 국장은 에이전트가 잘못 움직일 때 제어할 수단을 갖춰야 한다고 말했다. 에이전트의 대화 기록, 호출한 도구, API 요청 같은 활동을 로그로 남기라고 했다. API는 프로그램끼리 기능을 주고받는 접속 창구 노릇을 한다. 그는 에이전트가 이상하게 움직이면 종료하거나 활동을 중단시키고 자격 증명(시스템에 접속할 때 쓰는 계정 정보와 권한)을 폐기할 능력이 있어야 한다고 설명했다. 이어 "그렇게 하지 못하면 우리는 심각한 곤경에 빠질 것"이라고 말했다. 클루게 부총국장은 "AI 에이전트는 인간이 아닌 신원이며 그렇게 다뤄야 한다. 거버넌스가 필요하다"고 말했다. 비인간 신원은 사람이 아닌 소프트웨어나 기기에 부여하는 계정과 권한을 뜻한다. 클루게 부총국장은 접근 관리와 신원 관리가 AI를 쓰는 조직의 핵심 역할이라고 짚었다. 리 부청장은 AI에 얼마나 자율성을 줄지는 표준 답이 없다고 말했다. 맡길 일이 임무에 핵심인지, 인명과 안전에 영향을 주는지, 문제가 생기면 복구가 가능하고 비용이 얼마나 드는지를 따져야 한다고 했다. 복구 비용이 크지 않으면 AI에 자율성을 조금 더 줄 수 있지만 비용이 크면 신중해야 한다고 설명했다. 이어 AI에 대한 사람의 개입 방식을 세 가지로 소개했다. '휴먼 인 더 루프'는 AI 작업 흐름의 특정 지점마다 사람이 결정하는 방식, '휴먼 온 더 루프'는 AI가 일하게 두고 사람이 지켜보다 필요할 때 개입하는 방식이다. 최근 들은 개념이라며 꺼낸 '휴먼 오버 더 루프'는 사람이 규칙과 한계를 정하고 AI가 그 안에서 자율적으로 움직이는 방식이다. 그는 에이전트에 부여할 신원, 접근 권한, 접근할 수 있는 자원을 기술적 한계로 분명히 정해 두면 그 안에서는 더 자율적으로 움직이게 할 확신이 생긴다고 말했다. 아울러 사람이 특정 지점마다 결정하는 방식은 규모가 커지면 오히려 역효과를 낸다고 지적했다. AI에 일을 자율적으로 맡기려는 목적이 무너진다는 이유에서다. 그래서 사람이 지점마다 결정하는 방식은 임무에 가장 핵심이거나 인명과 안전에 영향을 주는 일에 남겨야 한다고 했다. 사람이 계속 지켜보는 방식은 감시 피로가 쌓이는 위험이 있다고 말했다. 그는 세 방식 사이에서 균형을 잡아야 하며 어떤 방식을 쓸지는 AI를 업무에 도입하는 쪽이 정해야 한다고 했다. 싱가포르는 국가 단위 보호로 리 부청장은 싱가포르의 사이버 정책이 그동안 규정 준수와 사후 대응에 가까웠다고 말했다. 전력, 수도, 통신처럼 국가 기능을 떠받치는 시설 운영자는 스스로 자산을 지킬 책임을 지는 구조였다고 설명했다. AI 기술 발달로 사이버 공간이 크게 흔들리자 지난달 열린 싱가포르 국제사이버위크에 맞춰 국가 사이버 전략을 더 능동적인 방향으로 새로 정비했다고 밝혔다. 개별 기관에 각자 방어를 요구하는 대신 국가가 대규모로 보호를 제공할 수 있다면 CSA와 정부가 나서야 한다는 구상이다. 싱가포르는 통신사, 인터넷서비스업체와 함께 악성 도메인을 국가 수준에서 막는 'PDNS(Protective DNS)'을 도입할 계획이다. DNS는 웹사이트 주소를 서버 주소로 바꿔 주는 인터넷의 주소록 체계로, 이 단계에서 악성 도메인을 막으면 인터넷에 접속하는 누구든 악성 사이트로부터 보호받는다고 리 부청장은 설명했다. 핵심 기반시설 운영자에게는 위협 탐지 시스템을 보급해 운영자 간 보안 수준의 격차를 줄인다. 핵심 기반시설 운영자는 정부 기관일 수도 민간 기업일 수도 있고 보안 수준이 고르지 않기 때문이다. 리 부청장은 최근 출범한 'AI 사이버보안 실험 샌드박스'도 소개했다. 샌드박스는 새 기술을 제한된 환경에서 시험하게 하는 제도다. 이 사업에서 기업은 AI 보안 도구를 시험하는 시범 사업이나 개념검증(PoC)에 쓸 자금을 받을 수 있다고 했다. 더 많은 실험과 도입을 이끌어 AI로 AI에 맞서겠다는 취지라고 말했다. 독일, AI 인증과 책임 분담에 방점 클루게 부총국장은 AI용 소프트웨어자재명세서(SBOM)를 학습 데이터 출처, 모델 가중치, 컴퓨팅 인프라까지 넓혀야 한다고 말했다. SBOM은 소프트웨어에 어떤 구성요소가 들어갔는지 적은 목록이고, 모델 가중치는 AI가 학습으로 얻은 내부 수치다. 독일 연방정보보안청(BSI)이 이미 AI용 SBOM 작업을 하고 있다고 소개했다. 국가 안보나 핵심 기반시설에 쓰는 AI 모델을 중심으로 인증 표준도 세워야 하며 국제 파트너와 협력해야 한다고 했다. 그는 "모두를 위한 신뢰할 수 있는 규칙이 있어야 한다"고 말했다. 클루게 부총국장은 카라디 INCD 국장이 앞서 보안 침해는 피할 수 없고 AI가 새로운 경로를 찾아낼 것이라고 말했다고 언급했다. 그러면서 사이버 복원력을 우선해야 한다고 했다. 에너지, 금융, 보건, 통신 분야의 핵심 기능이 AI를 이용한 공격이 성공한 상황에서도 계속 작동하게 해야 한다고 말했다. 클루게 부총국장은 책임을 정부, AI 개발사, AI를 쓰는 조직이 나눠 져야 한다고 했다. 정부는 규칙을 정하고 집행하며 표준과 법적 책임 체계를 정해야 하고 이는 국제적 노력이어야 한다고 말했다. 고위험 AI 사고는 국제적으로 정한 임계치에 따라 의무 보고하게 하는 제도를 만들어야 한다고 했다. 보안을 설계 단계부터 넣는 기준 마련은 유럽연합(EU)이 이미 하고 있다고 덧붙였다. 가장 중요한 부문에는 복원력 표준과 대체 수단을 갖추게 하고 네트워크와 물리적으로 분리한 에어갭 복구 시스템도 마련하게 해야 한다고 말했다. 클루게 부총국장은 개발사가 윤리 기준과 설계 단계부터의 보안 원칙을 따라야 한다고 말했다. 배포하기 전에는 공격자 입장에서 모의 공격을 해 보는 레드팀 시험으로 사이버 능력을 점검하고 사이버 위험 평가를 담은 시스템 카드를 공개해야 한다고 했다. 시스템 카드란 모델의 능력과 위험을 정리한 문서다. AI를 쓰는 조직은 위험 평가와 위협 모델링을 하고 AI 서비스와 내부 시스템 사이의 관문인 AI 게이트웨이와 방화벽을 AI의 도움을 받아 정기적으로 갱신해야 한다고 설명했다. 클루게 부총국장은 시민과 이용자도 책임이 있다고 말했다. 개인정보를 AI에 어디까지 넘길지, 그 정보가 어디서 어떻게 처리되는지를 이들이 책임 있게 판단해야 한다고 짚었다. AI의 오류나 이상 행동을 발견하면 신고해야 한다고도 했다. 그래야 개발사가 문제를 고쳐 보안 수준을 높일 수 있다고 설명했다. 인도는 훈련·지침에 집중…6시간 이내 신고 바흘 국장은 인도가 업종별 웨비나와 모의훈련을 병행해 왔다고 소개했다. 조직의 모든 계층이 위협 환경을 알도록 하려는 취지다. 지금까지 16차례 훈련에 2000명이 참여했고 453개 기관이 포함됐다. 참가 기관은 위협이 닥쳤을 때 해야 할 일과 자신의 취약한 부분을 파악하고 준비하게 된다고 했다. 바흘 국장은 인도가 AI를 이용한 취약점(보안 결함) 악용에 노출되는 부분을 줄이고 막기 위한 청사진을 냈다고 소개했다. 청사진은 ▲제로트러스트 구조 ▲분할 ▲회복 서비스 ▲독립 감사 ▲집행 ▲지속 보증을 다룬다. 제로트러스트는 내부 사용자도 믿지 않고 접속할 때마다 검증하는 보안 구조다. 소프트웨어, AI, 암호, 양자, 하드웨어 자재명세서에 관한 기술 지침도 냈다. 보호하려면 먼저 자산이 무엇인지 알아야 하기 때문이라고 설명했다. 바흘 국장은 공격자가 API를 새로운 접점으로 삼아 악용하고 AI 에이전트가 공격 경로로 쓰이며 금융 기관을 노린 AI 기반 공격이 빠르게 늘고 있다고 경고했다. 감사 담당자가 AI 분야에서 무엇을 감사해야 하는지 알도록 감사 지침도 마련했다고 덧붙였다. 장비 제조사, 기술 서비스 업체에는 지금은 보안 책임이 이용 조직에 떠넘겨지고 있다고 지적했다. 중소기업이든 대기업이든 모든 조직이 이를 감당할 인력과 기술을 갖추지는 못했기 때문에 제조사가 책임을 져야 한다고 말했다. 인도는 제조사와 기술 서비스 업체에 ▲투명한 구성 요소 명세서 ▲보안을 반영한 개발 수명주기 ▲신속한 패치 ▲사고 대응을 요구하는 지침을 냈다. 개발 수명주기는 소프트웨어를 기획부터 폐기까지 관리하는 과정이고 패치는 보안 결함을 고치는 업데이트다. 바흘 국장은 사고가 나면 조직이 가장 먼저 알게 되므로 조직이 정보보안 정책에 정한 역할과 책임에 따라 조사하고 확산을 막고 복구해야 한다고 말했다. 인도는 2022년 4월 지침으로 사고를 인지한 지 6시간 안에 신고하고 로그를 180일 동안 보관하도록 했다.

2026.11.11 14:22박광하 기자

보안 거인들 텔아비브 모인다…이스라엘 '사이버위크' 9일 개막

[텔아비브(이스라엘)=박광하 기자] 미국과 이스라엘의 사이버보안 당국 수장이 이스라엘 텔아비브에 모여 AI 시대 사이버 위협 대응 방안을 모색한다. AI 에이전트를 해커로부터 지키는 기술을 앞다퉈 사들였던 체크포인트, 크라우드스트라이크도 함께 참여한다. 이들은 텔아비브대, 이스라엘 국가사이버국(INCD), 이스라엘 외교부가 9일(현지시각)부터 나흘간 텔아비브대에서 공동 주최하는 '사이버위크 2026'에서 각자 의견을 공유한다. 올해로 16회를 맞이하는 이번 행사에서 연사들은 사람 대신 일하는 AI 비서인 AI 에이전트를 악의적인 공격에서 보호하는 방안을 집중적으로 다룬다. 이스라엘을 비롯한 국제 사이버보안 기술, 생태계 동향을 직접 파악할 수 있는 기회로 주목받는다. 아이작 벤 이스라엘 사이버위크 의장은 2015년 국가 사이버 기구 설립 결정으로 이어진 총리실 태스크포스를 이끈 예비역 소장이다. 요시 카라디 INCD 국장과 닉 앤더슨 미국 사이버보안 인프라보안국(CISA) 국장 대행은 10일 본회의 핵심 세션에 함께 나선다. 조나단 장거 체크포인트 최고기술책임자와 다니엘 버나드 크라우드스트라이크 최고사업책임자도 'AI 에이전트의 부상'을 발표한다. 체크포인트는 올해 2월 사이아타와 사이클롭스 시큐리티를 사들이고 로테이트의 인력을 영입했다. 크라우드스트라이크는 2월 SGNL 인수를 마쳤고, 3일(현지시각) AI 에이전트를 살피는 피들러AI와 AI의 허점을 시험하는 드레드노드를 인수하기로 했다. 이어 샬레브 훌리오 드림 공동창업자 겸 최고경영자가 대담에 나선다. 오스트리아 총리를 지낸 제바스티안 쿠르츠가 공동창업한 드림은 6월 2억 6000만 달러(약 3500억원)를 투자받아 기업가치가 30억 달러(약 4조 700억원)로 뛰었다. 정부가 자국 데이터를 밖으로 내보내지 않고 AI를 쓰게 돕는 플랫폼이 주력이다. AI가 소프트웨어의 보안 빈틈을 스스로 찾아 고치게 하는 아일(AISLE)의 자야 발루 최고운영책임자도 연사로 나선다. 캐나다 AI 기업 코히어는 지난달 15일(현지시간) 아일 인수 의향서를 체결했다고 발표했다. 보안 책임자 5명이 평가하는 '파이어 피치'에는 에이전트 제로, 블룸 시큐리티, 스파이커즈 시큐리티가 나선다. 11일에는 AI 공격 시연과 방어법을 다루는 '인공지능과 사이버가 만날 때'가 열린다. AI 시스템을 겨냥한 공격이 이미 벌어지고 있다는 전제에서 폭주하는 AI 에이전트, 백도어 공격, 문맥 오염, 프롬프트 주입 공격, 공급망 위험을 다룬다. 인튜이트의 야엘 마토프 AI 보안 연구원은 문맥 오염 공격 시연을 선보인다. 이스라엘 스타트업 캡슐 시큐리티는 폭주하는 AI 에이전트를 막는 기술을 소개한다. 12일 '퀀텀 데이'에서는 양자컴퓨터 시대의 사이버 위협 대응책을 논의한다. 양자 계산의 진화, 안전한 양자 통신, 양자 센서가 주제다. '양자 시대의 사이버보안' 세션의 위협 대응 패널에는 타미르 고렌 INCD 전략프로그램 국장과 마이클 유 마스터카드 보안 및 신뢰 컨설팅 부사장이 오른다. '양자 시대의 능동 방어' 패널에는 벤 볼코프 QIZ시큐리티 공동창업자 겸 최고경영자가 나선다. QIZ시큐리티는 기업이 쓰는 암호를 찾아내 양자컴퓨터에 뚫릴 위험을 점검하고, 양자컴퓨터에도 안전한 암호로 바꾸는 과정을 관리하는 플랫폼을 만든다.

2026.11.08 09:44박광하 기자

대전 정보보호지원센터 개소...KISA,16개 광역시도 모두 구축

대전에 정보보호지원센터가 생겼다. 6일 한국인터넷진흥원(KISA)은 과학기술정보통신부, 대전광역시, 대전정보문화산업진흥원과 함께 대전정보문화산업진흥원에서 '대전정보보호지원센터' 개소식을 개최했다. 이로써 전국 16개 광역시도 모두에 정보보호지원센터가 만들어졌다. KISA는 지역 중소기업의 정보보호 역량 강화와 정보보호 사각지대 해소를 위해 지역정보보호지원센터를 기존 10개에서 올해 16개로 확대했다. 기존엔 강원, 경기, 광주, 경북, 대구, 부산, 울산, 인천, 충남, 충북에 있었는데 올해 새로 6곳(경남, 대전, 세종, 전남, 전북, 제주)에 생겼다. 이날 마지막 개소식이 열린 대전은 정부출연 연구기관과 첨단기술 기업, 중앙행정기관이 밀집한 과학기술•행정 중심도시다. 인공지능(AI), 국방•우주, 바이오 등 첨단산업이 발달해 정보보호 지원과 협력의 필요성이 높은 지역이다. 대전센터는 이러한 지역적 특성을 고려해 앞으로 ▲지역 중소기업의 사이버 침해사고 예방•대응을 위한 정보보호 컨설팅 ▲보안 솔루션•서비스(SECaas) 도입 지원 ▲정보보호 교육 및 세미나 운영 등을 추진할 예정이다. 또한, 지역 대학•연구 기관, 정보보호 기업 등 전문가들과 함께 발족한 '대전 정보보호 전문가 포럼(D-SAFE)'을 통해 청소년, 고령층 등 정보보호 취약계층을 지원하는 '유성형 정보보호 협력 모델' 등 교육•연구•기술 분야의 '대전형 정보보호 협력 모델'을 발굴해 나갈 방침이다. 한편 이날 개소식에는 현판 제막식과 센터 추진 경과보고에 이어 지역 대학•연구 기관 전문가와 정보보호 기업 관계자 등 100여 명이 참석한 가운데 정보보호협의회 통합회의와 정보보호 세미나도 진행됐다. 이 자리에서 참석자들은 지역 정보보호 협력 방향을 논의하고 소프트웨어 공급망 보안, 인공지능(AI) 시대의 오픈소스 취약점 대응 등 최신 정보보호 현안을 공유했다. 이와 함께 축하 화환 대신 쌀을 기부받아 지역 봉사단체에 전달하는 '상생 나눔' 행사도 열렸다. 한국인터넷진흥원 이용필 디지털위협예방본부장은 "사이버 위협이 지능화되면서 지역 중소기업의 정보보호 역량 강화와 지역 전문가, 기업 간 협력이 더욱 중요해지고 있다“며 "전국 16개 지역정보보호지원센터가 각 지역 특성에 맞는 정보보호 협력 모델을 발굴하고, 기업과 시민 모두가 체감할 수 있는 사이버 안전망 구축의 핵심 거점으로 자리 잡도록 적극 지원하겠다"고 밝혔다.

2026.11.06 18:02방은주 기자

법원, '개인정보 수집' 쿠팡에 2000억원 개보위 과징금 정지

개인정보 유출 건으로 개인정보보호위원회로부터 과징금을 부과받은 쿠팡이 6000억원 중 4200억원은 효력이 유지, 2000억원은 정지됐다. 서울행정법원 행정1부(부장판사 양상윤)는 6일 쿠팡이 개보위를 상대로 제기한 과징금 부과 등 처분 집행 정지 신청에 대해 “판결 선고일로부터 30일이 되는 날까지 효력을 정지한다”고 판단했다. 이번에 효력이 정지된 개보위 처분에는 2011억원의 과징금 처분, 시정명령, 공표명령 등이 해당된다. 재판부는 “처분의 효력으로 인해 쿠팡에 회복하기 어려운 손해가 발생할 우려가 있고 이를 예방하기 위해 각 처분의 효력을 정지할 긴급한 필요가 있음이 소명됐다”고 설명했다. 이어 “각 처분의 효력 정지로 인해 공공복리에 중대한 영향을 미칠 우려가 있는 때에 해당한다거나 쿠팡 측의 본안 청구가 이유 없음이 명백한 경우에 해당한다고 보이지도 않는다”고 부연했다. 반대로 전날 같은 법원 행정4부에서는 쿠팡이 개보위를 상대로 제기한 과징금 부과 처분 집행 정지 신청을 일부 기각했다. 처분 효력을 정지할 긴급한 필요가 있다고 보기에는 부족하다는 것이 골자다. 당시 재판부는 “처분 효력을 정지할 긴급한 필요가 있다고 보기 부족하다. 신청인(쿠팡)이 입게 되는 손해는 금전보상으로 원상회복이 가능한 것으로 보인다”며 집행정지 신청을 받아들이지 않았다. 다만, 나머지 개보위의 시정명령 공표 및 공표명령에 대한 집행정지는 본안 판결 선고일부터 30일이 되는 날까지 효력을 정지했다. 앞서 쿠팡에서는 지난해 11월 3755만명에 달하는 대규모 개인정보 유출이 발생했다. 이에 개보위는 올해 6월 쿠팡에 총 과징금 6246억8100만원과 과태료 1680만원을 부과했다. 이와 함께 시정 명령 및 공표명령 등을 의결했다. 구체적으로 3755만 명의 개인정보를 유출한 부분에 대해서는 과징금 4235억7500만원을, 1000만 명이 넘는 회원의 온라인 활동기록을 무단 수집한 행위 등에 대해서는 과징금 2011억원을 부과했다.

2026.11.06 15:06박서린 기자

토스 "탐지룰, '빠른 제작'서 '검증 운영'으로 변화 중"

서종찬 토스 보안 엔지니어가 6일 "탐지룰을 빠르게 만드는 것에서 검증된 상태로 운영하는 것으로 넘어가려는 준비를 하고 있다"고 밝혔다. 서 엔지니어는 이날 서울 강남구 코엑스에서 열린 보안 콘퍼런스 '가디언즈 26' 트랙 A 첫 세션에서 탐지룰을 코드로 관리하고 인공지능(AI)으로 만드는 '바이브 디텍션' 경험을 공유했다. 바이브 디텍션은 사람이 무엇을 잡을지 의도를 말하면 AI가 탐지룰을 만들어 배포하는 방식이다. 사람은 위험의 본질을 이해하고 탐지 대상과 룰의 의도를 정한다. 탐지 소스 선택, 알럿 구성, 공격 기법 매핑, 배포 전 테스트와 오탐 조정은 AI가 맡는다. 토스는 룰 생성 도구, 룰 원본 저장소, 자동 배포 구성을 나눠 모두 코드로 관리한다. 도입 배경은 수작업의 한계였다. 분석가가 탐지 쿼리를 직접 쓰고 보안 관제 시스템(SIEM) 콘솔에서 바로 고쳐 배포하다 보니 실제 배포된 룰이 무엇인지 아무도 확신할 수 없었다. 작성자마다 필드명이 달라 자동화 도구와 분석가가 룰을 소비하기도 어려웠다. 지금은 룰 변경이 모두 병합 요청(PR) 단위로 남는다. 룰 원본이 병합되면 배포 PR이 자동으로 올라오고, 검증 결과와 변경된 설정이 함께 붙는다. AI 코드 리뷰는 오탐 가능성과 다른 룰과의 일관성을 짚는다. 사람은 확인한 뒤 병합만 하고, 배포가 실패하면 자동으로 이전 상태로 되돌아간다. 서 엔지니어는 "과거에는 새로운 탐지룰을 하나 만드는 것이 큰 결정이었는데, 지금은 새로운 탐지가 아주 싼 실험이 됐다"고 말했다. 적용 사례도 소개했다. 레드팀이 취약점을 제보하면 악용 징후에 집중한 임시 룰이 자동 배포되고, 개발자가 패치하면 알아서 내려간다. 탐지룰이 정형화된 티켓으로 나가면 분류 에이전트와 대응 에이전트가 처리한다. 정탐과 오탐 판정은 다시 룰 튜닝 PR로 돌아가 같은 배포 체계에서 룰이 개선된다. 토스는 마이터 어택, 마이터 아틀라스, 내부자 위협, 로그 모니터링 등 4개 매트릭스에 배포된 룰을 올려 한눈에 본다. 커버리지가 보이자 다음에 만들 룰과 정리할 룰이 드러났다. 콘솔에서 직접 고치던 시절과 달리 변경 방식, 리뷰 이력, 실패 시 복구 절차, 사후 확인이 자동으로 챙겨진다. 서 엔지니어는 덕분에 변경을 더 자주, 더 작게, 안전하게 할 수 있게 됐다고 평가했다. 룰 하나를 배포하는 데 명령어가 8개 넘게 필요했지만, 지금은 한 명령으로 검증부터 PR 생성까지 끝난다. 운영 수치도 공개했다. 지금까지 배포 형상 변경은 1500건이 넘고, 운영 중인 탐지룰은 980여 개다. 룰 작성 규칙은 200개, 룰 생성 도구 버전은 40을 넘었다. 연동한 센서는 46개 이상이며 마이터 어택 기법 49개를 커버한다. 서 엔지니어는 시행착오에서 얻은 교훈 세 가지를 꼽았다. ▲AI 품질은 구조에서 나온다 ▲사람이 볼 지점을 정해야 한다 ▲사람이 관리하는 순간 형상이 틀어진다는 것이다. 의도 결정과 리뷰에 사람이 집중하고, AI 산출물에는 평가 지표를 계속 만들어 룰 품질을 보장해야 한다고 했다. 프롬프트를 다듬기보다 소스 정보, 작성 규칙, 컴파일러를 먼저 갖추는 편이 결과가 안정적이라고 했다. 룰 배포 상태를 사람이 직접 맞추던 지점은 자동화해야 AI가 작업해도 형상이 깨지지 않는다는 설명이다. 마지막으로 앞으로 네 가지를 추진한다고 말했다. ▲훈련과 인시던트 로그를 보관해 재생하는 탐지 검증 자동화 ▲특정 관제 시스템에 묶이지 않는 백엔드 중립 룰 ▲에이전트의 격리, 차단 대응 자동화 ▲커버리지 기반 우선순위 등이다. 백엔드 중립 룰은 하나의 설정 파일을 스플렁크, 클릭하우스, 스노우플레이크에서 모두 쓰게 하는 구조다. 공격 기법 매트릭스의 빈칸은 신규 룰 작업 목록으로 자동 전환한다. 서 엔지니어는 "탐지룰은 이제 코드가 됐고 AI는 그 코드를 함께 쓰는 동료가 됐다"고 말했다.

2026.11.06 14:39박광하 기자

법원, 개인정보 유출 쿠팡에 개보위 4200억원 과징금 유지

지난해 11월 3755만 명에 달하는 대규모 개인정보 유출 사고가 발생한 쿠팡에 대해 법원이 개인정보보호위원회가 부과한 4236억원의 과징금을 유지해야 한다는 판단을 내렸다. 서울행정법원 행정4부(부장판사 김영민)는 5일 쿠팡이 개보위를 상대로 제기한 과징금 부과 처분 집행 정지 신청을 일부 기각했다. 처분 효력을 정지할 긴급한 필요가 있다고 보기 부족하다는 것이다. 다만, 법원은 개보위의 시정명령과 공표 및 공표명령에 대한 집행정지는 본안의 판결 신고일로부터 30일이 되는 날까지 효력을 정지했다. 재판부는 “시정명령과 공표 및 공표명령으로 인한 신청인에게 회복하기 어려운 손해가 발생할 우려가 있고 이를 예방하기 위해 효력을 정지할 긴급한 필요가 있어 보인다”고 말했다. 이어 “달리 위 각 처분의 효력정지로 인해 공공복리에 중대한 영향을 미칠 우려가 있다고 보기 어렵다”고 부연했다. 이와 반대로 과징금 부과 처분을 두고는 효력을 정지할 필요가 인정되지 않는다고 판단했다. 앞서 개보위는 지난 6월 쿠팡에 총 6246억8100만원의 과징금 및 1680만원의 과태료를 부과했다. 이와 함께 시정명령, 공표 및 공표명령 등을 의결했다. 이는 당시 개보위가 부과한 역대 최대 과징금이었다. 3755만 명에 달하는 개인정보를 유출한 부분에 대해서는 과징금 4235억7500만원을, 1000만 명이 넘는 회원의 온라인 활동기록을 무단 수집한 행위 등에 대해서는 과징금 2011억원을 부과했다.

2026.11.05 20:44박서린 기자

외국 자본에 매각되는 티맵, 이용자 데이터 임의 반출 불가능

국내 최대 내비게이션 서비스 티맵의 경영권이 외국계 자본에 넘어가더라도 이용자 개인정보가 해외로 임의 반출은 불가능하다. 회사 지분 인수로 경영권을 확보하는 것과 개인정보 제공과 활용은 별개의 문제이기 때문이다. 즉 해외 투자자라고 하더라고 국내 개인정보 보호 규제가 적용된다. 4일 관련 업계에 따르면 글로벌 투자은행 골드만삭스는 티맵모빌리티 최대주주인 SK스퀘어와 재무적 투자자들의 지분을 인수해 경영권을 확보하는 방안을 추진하고 있다. SK스퀘어 보유 지분은 63.23%이며, 골드만삭스는 지분 60~70%를 확보하는 방안을 협의 중인 것으로 알려졌다. 거래 규모는 7000억~8000억원 수준으로 거론된다. SK스퀘어는 연내 협상 마무리를 목표로 하면서도 지분 일부를 남겨 티맵모빌리티와 AI 분야의 협력을 이어가는 방안을 검토하고 있다. 경영권 매각이 현실화되면 국내 이용자의 이동 정보가 해외 투자자에게 넘어갈 수 있다는 우려가 제기될 수 있다. 티맵은 누적 가입자 2500만 명 규모의 내비게이션 서비스로, 이동 경로와 주행 기록 등 방대한 데이터를 보유하고 있다. 그런 가운데 대주주 변경만으로 해당 데이터에 대한 접근이나 활용 권한이 자동으로 생기지는 않는다. 주식 거래를 통해 경영권을 확보하더라도 이용자 개인정보를 해외에 제공하거나 별도로 처리하려면 관련 법률을 준수해야 한다. 현행 개인정보보호법에 따르면 개인정보를 국외에 제공하거나 해외에서 조회하는 행위, 국외 처리위탁과 보관 등을 국외 이전으로 규정한다. 법에서 정한 요건을 충족하는 경우에만 데이터 이전이 가능하다. 또 정보주체의 별도 동의 외에도 법률상 인정되는 이전 근거가 존재한다. 다시 말해 2500만 명의 티맵 이용자에 모두 동의를 구해야 데이터 해외 이전 절차를 시작이라도 할 수 있다는 설명이다. 해외 투자자가 국내 서버에 원격 접속해 개인정보를 조회하는 경우에도 국외 이전 규정이 적용될 수 있다. 단순히 데이터가 국내 서버에 저장돼 있다는 이유만으로 해외 접근이 자유롭게 허용되는 것은 아니다. 법적 통제 장치도 마련돼 있다. 개인정보보호위원회는 개인정보 국외 이전 요건을 위반하거나 정보주체에게 피해가 발생할 우려가 있는 경우 관련법에 따라 국외 이전 중지를 명령할 수 있다. 티맵이 보유한 이동 데이터도 성격에 따라 관련 법률의 보호를 받는다. 특정 개인을 식별할 수 있는 이동 경로나 위치 기록에는 개인정보보호법과 위치정보 관련 규제가 적용된다. 이에 따라 골드만삭스의 경영권 인수가 성사되더라도 이용자 정보의 해외 이전 여부는 향후 실제 데이터 처리 방식과 계약 구조에 따라 판단해야 한다. 외국계 자본이 최대주주가 된다는 사실만으로 개인정보 유출이나 국외 이전이 발생한다고 볼 근거는 없다는 뜻이다.

2026.11.04 12:18박수형 기자

이스라엘 보안기업 7곳 한국서 '피칭'…AI에이전트 등 소개

이스라엘 사이버보안 기업 7곳이 3일 경기 성남시에서 열린 '이스라엘-한국 사이버보안 포럼 2026'에 참가했다. 이들은 국가 사이버 방어, 인공지능(AI) 에이전트 보안, 양자안전 통신, 클라우드 보안, 아이덴티티 보안, 데이터 유출 방지, 보안 원격접속, 기밀 컴퓨팅 등 저마다의 기술력을 자랑했다. 파트너십을 통해 기술 도입, 공동 사업, 개념검증(PoC), 국내 시장 진출 가능성을 논의할 예정이다. 드림, 소버린 AI 앞세워 국가 사이버 방어 제안 드림은 정부와 핵심 인프라 운영기관을 겨냥한 소버린 AI와 국가 사이버 방어 플랫폼을 소개했다. 민감한 데이터와 AI 인프라의 통제권을 유지한 채 국가 차원의 사이버 회복탄력성을 높이는 데 초점을 맞췄다. 주력 제품은 ▲정부 민감 데이터를 연계해 분석하는 '아틀라스' ▲국가 공격 표면을 통합해 보여 주는 '스피어' ▲취약점을 스스로 찾아 보완하는 에이전트형 보안 도구 '히어로'다. 히어로는 악성코드 역분석과 포렌식 조사, 선별부터 조치까지 이어지는 검증 과정을 자동화한다. 아틀라스는 흩어진 국가 데이터를 구조화된 지식으로 바꾸고, 정부가 통제하는 환경에서 AI 에이전트를 운영한다. 국가 정보, 재정, 보건, 공급망 분야에 사용된다. 온프레미스와 망분리 환경에서 운영해 초대형 클라우드 사업자 의존도를 줄이는 데 초점을 맞췄다. 사용 정보를 외부로 보내지 않고 외국의 통제도 받지 않는다. 국가 사이버보안 당국, 침해사고대응팀, 국방 기관이 주요 활용 분야다. 발표에 나선 알마 샬레브 솔루션 엔지니어는 최근 확인한 'PHP2셸(PHP2shell)' 공격 사례를 소개했다. PHP2셸은 PHP 자체의 원격코드실행 취약점으로, 팔로알토네트웍스 방화벽 운영체제(PAN-OS)의 관리 화면을 노린 공격에 쓰였다. 샬레브 엔지니어는 취약점이 공개되고 사흘 만에 미국, 일본, 대만, 한국을 겨냥한 공격이 시작됐다고 설명했다. 공격자 도구에서는 중국산 거대언어모델(LLM) 두 종과 중국어 흔적이 나왔다고 짚었다. 이 공격 활동을 처음 보고한 곳은 드림그룹 소속 드림 리서치다. 드림은 자체 플랫폼 히어로를 이 연구에 썼다고 한다. 팔로알토네트웍스 유닛42도 공격 도구와 결과를 독립적으로 확인했다. 샬레브 엔지니어는 방화벽이 뚫리면 내부망까지 위험해진다며, 패치만으로는 부족하고 침해 흔적을 능동적으로 찾아야 한다고 강조했다. AI가 공격 준비 시간을 크게 줄인 만큼 AI 기반 방어로 맞서야 한다고 설명했다. 헤카 시큐리티, 광섬유망 위에 양자통신 구현 헤카 시큐리티는 양자키분배(QKD)와 양자내성암호(PQC) 오버레이를 결합한 양자 안전 통신 시스템을 소개했다. 기존 광섬유망으로 통신 구간에 암호키를 공급하는 방식이다. 통신 데이터를 먼저 탈취하고 훗날 양자컴퓨터로 푸는 'HNDL(Harvest Now, Decrypt Later)' 위협에 대비하는 게 목표다. 지점 간 통신과 다중 사이트 네트워크를 지원하는 '셉터' 제품군을 갖췄고, 허브 한 곳에서 여러 거점에 키를 공급하는 구성도 가능하다. 양자키분배 송신기와 수신기, PQC 오버레이, 키 관리 시스템을 1U 장비 하나에 담은 제품도 내놨다. 다크 파이버나 파장분할다중화(DWDM) 광섬유 환경에서도 운용할 수 있다. PQC 오버레이는 미국 국립표준기술연구소(NIST) 기준에 맞췄고, 데이터 전송 경로를 건드리지 않는 대역 외 방식이다. 키 가용성이 99.999%에 달한다고 강조했다. 기존 암호화 장비를 대체하지 않고도 호환되는 시스템에 키를 공급할 수 있다. 통신사, 금융기관, 정부와 국방 기관이 주요 활용 분야다. 데이터센터, 보험사, 핵심 기반시설, 연구기관, 의료기관 등이 타겟이다. 헤카 시큐리티는 2018년 설립됐다. 지난해 6월에는 KT와 QKD 기술 협력을 발표했다. 통신사급 제품을 공급해 KT 인프라에 통합하는 게 주된 내용이다. 국내 파트너로는 한우머티리얼즈와 진인프라가 참여하고 있다. 2024년 2월에는 A 라운드에서 500만 달러(약 67억원)를 유치했고, 4월에는 이스라엘 통신사 베제크와 광섬유망 양자 보안 강화에 합의했다. 현재 국내 파트너와 기술 평가, 시험, 인증 절차 준비를 진행하고 있다. 모델리오, 처리 중인 데이터까지 암호화 유지 모델리오는 데이터를 계산하는 도중에도 암호로 잠근 상태를 유지하는 '기밀 클라우드 플랫폼' 기술을 설명했다. 2024년 설립했고 직원은 약 30명이다. 20건 이상의 특허와 특허 출원을 보유한 것으로 알려졌다. 일반적으로 데이터는 저장하거나 보낼 때만 암호로 잠그고, 계산할 때는 풀어야 한다. 이때 해킹 위험이 생긴다. 모델리오는 이 빈틈을 막는 기술을 내놨다. 플랫폼은 장비 안에 외부에서 들여다볼 수 없는 별도 공간을 만들어 데이터를 처리한다. 여기에 원격 증명이라는 기능을 더해, 승인된 장비와 프로그램만 쓰이는지 수학적 방법으로 확인한다. 데이터를 잠그는 암호키는 고객이 직접 관리한다. 클라우드 운영자는 물론 모델리오도 이 공간을 들여다볼 수 없다. 검증은 60초 간격으로 이어지고, 이상이 감지되면 작업을 자동으로 다른 곳으로 옮긴다. 암호키는 고객이 자체 하드웨어보안모듈(HSM)이나 키 관리 서비스에 두며, 클라우드 사업자와 모델리오는 키를 갖지 않는다. 보호 범위는 프로그램 실행을 관리하는 도구인 쿠버네티스, 데이터베이스, 저장 공간, 네트워크 등이다. 데이터 보호 기능을 갖춘 AI용 특수 칩인 기밀 그래픽처리장치(GPU)가 지원되는 환경에서는 비공개 AI 추론도 할 수 있다. AI를 목적에 맞게 추가로 가르치는 미세 조정도 같은 환경에서 돌릴 수 있다. 기존에 쓰던 클라우드 플랫폼을 바꾸지 않아도 된다. 정부나 기관이 직접 통제하는 소버린 클라우드, 회사가 자기 서버실에서 직접 운영하는 온프레미스 방식에도 설치하도록 설계했다. 같은 환경을 여러 곳에 동시에 배포해 장애에 대비할 수도 있다. 클라우드 회사가 기본으로 주는 기밀 가상머신과 달리, 프로그램이 돌아가는 모든 단계를 통제하는 것을 목표로 한다. 주요 대상은 법과 규정이 엄격한 산업의 기업과 소버린 환경이다. 오카 시큐리티, 에이전트 없이 멀티클라우드 위험 파악 오카 시큐리티는 아마존웹서비스(AWS), 애저, 구글 클라우드의 보안 위험을 한곳에 모아 보여 주는 클라우드 네이티브 애플리케이션 보호 플랫폼(CNAPP)에 관해 발표했다. 사이드스캐닝 기술로 워크로드에 에이전트를 깔지 않고 자산, 설정 오류, 취약점, 계정 권한, 민감 데이터를 살핀다. 연결된 공격 경로를 분석해 악용 가능성이 큰 위험부터 조치하도록 돕는다. AI 자산과 서비스를 식별하는 AI 보안 기능과 활동 정보를 더하는 런타임 센서도 갖췄다. 주요 활용 분야는 멀티클라우드를 운영하는 대기업과 보안관제 조직이다. 미국 연방정부 클라우드 보안 인증(FedRAMP) 중간 등급 인가와 SOC 2 타입 2 인증을 받았다. 길 게론 최고경영자(CEO)와 아비 슈아 최고혁신책임자가 공동 창업했다. 누적 투자 유치액이 6억 3000만 달러(약 8410억원)에 육박하고, 기업가치는 18억 달러(약 2조 4030억원)로 알려졌다. 지난해 11월 오라클 클라우드 마켓플레이스에 입점했다. 올해 3월 AWS와 전략적 협업 계약을 맺었다. 같은 달 위협 조사 에이전트와 런타임 AI 위협 탐지 기능을 공개했다. 5월에는 노터블 캐피털의 '라이징 인 사이버 2026'에 3년 연속 이름을 올렸다. 7월에는 AI로 만든 앱을 찾아내는 보안 기능과 AI 코드 보안 감사 도구를, 9월에는 글로벌 파트너 프로그램과 AI 기반 파트너 성공 플랫폼을 출시하는 등 광폭 행보를 보인다. 스크린스톱, 웹캠으로 화면 촬영·엿보기 실시간 감지 스크린스톱은 컴퓨터 화면으로 새는 정보를 막는 화면 데이터 유출 방지(DLP) 솔루션을 소개했다. 일반 웹캠과 단말 내 AI로 화면을 향한 스마트폰, 어깨너머로 엿보는 사람, 자리를 비운 PC를 감지한다. 위험을 감지하면 화면을 흐리게 하거나 잠그고 이벤트를 기록한다. 등록되지 않은 사람이 자리에 앉거나 카메라를 가리면 감지하고, 보호 프로그램을 끄면 화면을 잠근 뒤 자동으로 다시 켠다. 윈도와 맥OS에서 별도 그래픽처리장치(GPU) 없이 작동하며, 영상은 단말 안에서만 처리한다. 관리 콘솔로는 이벤트 발생 시각과 위협 유형만 보낸다. 증빙 화면은 관리자가 켠 경우에만 저장한다. 스마트폰 감지, 얼굴 인식, 어깨너머 엿보기, 자리 비움 감지를 에이전트 하나로 처리하는 4중 구조다. 기존 데이터 유출 방지 제품을 대체하지 않고 보완하는 게 목적이다. 콜센터와 업무 위탁(BPO), 금융 서비스가 주요 활용 분야다. 정책은 부서별로 감지 감도, 대응 방식(조용한 경보나 즉시 잠금), 주기적 화면 저장 여부를 달리 정할 수 있다. 이벤트는 쉼표로 구분된 값(CSV) 파일로 내보내거나 보안정보 및 이벤트 관리(SIEM) 시스템에 연동한다. 의료, 행정, 국방, 법률, 회계, 외주 개발 분야에서 활용하기 적합하다. 정부와 국방용으로는 망분리 환경에서 클라우드 없이 쓰는 구내 관리 콘솔을 제공한다. ISO 27001, 유럽연합 개인정보보호법(GDPR), 미국 의료정보보호법(HIPAA), 결제카드 데이터 보안 표준(PCI DSS)에 대응한다. 실버포트, 접근 요청 순간 AI 에이전트까지 차단 2016년 설립된 실버포트는 사람, 머신, AI 에이전트가 시스템에 접근하려는 순간 그 계정이 정당한지 확인해 비정상 접근을 막는 '런타임 아이덴티티 보안 플랫폼'을 소개했다. 전 세계 1000개 이상 조직이 이 플랫폼을 쓴다. 회사는 계정 탈취와 권한 상승, 측면 이동을 접근 요청 시점에 차단하는 데 초점을 맞췄다고 설명한다. 특허 기술인 런타임 접근 보호는 기존 인증 경로에서 접근 요청을 확인하고 권한을 부여하는 시점에 정책을 집행한다. 추가 인증, 적시 접근, 조건부 접근, 아이덴티티 방화벽 가운데 방식을 고를 수 있다. 첫 보호 적용까지 24시간이 걸리지 않는다고 설명한다. 관리자 비밀번호를 따로 보관하는 보관소 없이도 막강한 권한을 가진 관리자 계정을 보호할 수 있다. 기업이 쓰는 마이크로소프트 계정 관리 시스템인 액티브 디렉터리를 바꾸지 않아도 된다. 자율형 AI 에이전트와 모델 콘텍스트 프로토콜(MCP) 연계 도구를 도입하는 조직도 활용 대상이다. AI 에이전트 보안 기능은 신원 관리 서비스, 클라우드, 소프트웨어서비스(SaaS)에 읽기 전용으로 연결해 승인받지 않은 에이전트까지 찾아 목록을 만든다. 에이전트마다 담당 직원과 접근 권한 경로를 이어 위험 점수를 매긴다. MCP 클라이언트를 실버포트 게이트웨이로 돌려 세션마다 사람과 묶고, 도구 호출을 하나씩 검사해 막거나 통과시킨다. 구글 클라우드와 마이크로소프트 코파일럿 스튜디오의 에이전트에는 실행 전에 동작을 검사하는 통제를 적용하며, 민감한 작업은 사람의 승인을 받게 할 수 있다. 공동 창업자인 헤드 코베츠가 최고경영자(CEO), 야론 카스너가 최고기술책임자(CTO)를 맡고 있다. 누적 투자 유치액이 2억 2200만 달러(약 2960억원)이고, 하루 100억 건의 인증을 처리한다. 실버포트는 4월 센티넬원과 AI 시대의 아이덴티티 보호를 위한 전략적 제휴를 맺었다. 같은 달 AI 기반 의사결정 엔진을 만드는 텔아비브 스타트업 팹릭스 시큐리티를 인수했다. 6월에는 마이크로소프트 코파일럿 스튜디오로 만든 AI 에이전트에 실시간 신원 통제 기능을 붙였다. 제로포트, IP 연결 없이 하드웨어로 원격접속 격리 제로포트는 내부망과 원격 사용자 사이에 인터넷 프로토콜(IP) 연결을 만들지 않는 하드웨어 기반 원격접속 솔루션을 선보였다. 보통 원격 접속은 인터넷 길을 열어 두는데, 해커도 그 길로 들어올 수 있다. 제로포트는 길 자체를 없애는 쪽을 택했다. 제로포트 하드웨어 기반 원격접속 솔루션을 지나는 정보는 키보드와 마우스 입력, 출력 화면 영상뿐이다. 파일은 오갈 수 없다. 원격 접속자는 장비 너머 컴퓨터를 화면 영상으로만 보면서 조작한다. '팬텀 엔터프라이즈'는 핵심 칩 '팬텀 코어'를 쓴다. 한 대가 접속(세션) 수백 개를 동시에 처리하고, 장비를 쌓는 선반(랙) 하나에는 수천 개까지 담는다. 고장에 대비한 예비 장치(이중화)가 있고, 전원을 끄지 않고 부품을 바꿀 수 있다. 여러 대를 한곳에서 관리하는 기능도 갖췄다. 접속 한 건마다 팬텀 코어 하나가 전용 통로를 맡는다. 통로끼리 이어진 길이 없어서 다른 접속을 엿보거나 옆으로 넘어갈 수 없다. '팬텀 엣지'는 접속 통로가 몇 개뿐이다. 변전소, 시추 설비, 의원, 공장 제어반처럼 멀리 떨어진 곳에 두는 제품이다. 사람의 원격 작업과 인공지능(AI) 에이전트의 시스템 접속에 같은 보호 장치를 쓴다. 접속 녹화와 감사 로그도 제공한다. 지연시간 목표를 50밀리초(0.05초) 미만으로 제시한다. 공동 창업자인 조지프 거츠가 최고경영자(CEO), 라비 프리드먼이 최고기술책임자(CTO)를 맡고 있다. 2024년 중반 이스라엘 헤르츨리야에서 설립됐다. 올해 1월 시드 투자로 1000만 달러(약 133억원)를 유치했다.

2026.11.03 21:49박광하 기자

드림 "AI로 공격 예측해 방어…타사 보안 솔루션과 '찰떡' 연동"

이스라엘 보안 기업 드림그룹의 알마 샬레브 솔루션 엔지니어가 3일 "드림의 솔루션은 공격이 일어나기 전에 공격자를 예측하는 데 바탕을 둔다"고 말했다. 사후 대응과는 결부터 다르다는 이야기다. 드림은 창업한 지 4년이 채 안 된 인공지능(AI) 기업이다. 제바스티안 쿠르츠 전 오스트리아 총리와 이스라엘 사이버보안 업계 인사인 샬레브 훌리오가 함께 세웠다. 국가와 핵심 인프라가 스스로 지킬 수 있도록 돕는 소버린 AI 솔루션이 목표다. 샬레브 엔지니어는 이날 판교 제2테크노밸리에서 열린 '이스라엘-코리아 사이버보안 포럼'에서 지디넷코리아와 만나 드림그룹의 기술, 솔루션, 사업 현황과 계획을 설명했다. 취약점을 스스로 찾아 보완하는 '히어로', 국가 공격 표면을 통합해 보여 주는 '스피어', 정부 민감 데이터를 연계해 분석하는 '아틀라스' 등 3가지 제품군을 갖췄다. 온프레미스와 망분리 환경에서 운영할 수 있어 외부 통제를 받지 않는다는 게 특징이라고 강조했다. 포럼에 참석한 이유에 대해 샬레브 엔지니어는 "아시아태평양과 한국에서 사업 활동을 넓히기 위해서"라며 "행사에서 잠재적인 협력 기회와 고객을 만나게 돼 기쁘다"고 말했다. 드림은 자사 솔루션이 타사 보안 솔루션과 원활하게 연동된다고 강조했다. 그는 "우리 솔루션은 모두 조직이 이미 운영 중인 다른 어떤 것과도 통합되도록 만들었다"면서 "우리의 목표는 보호를 강화하는 것이지 특정 벤더를 대체하는 게 아니다"라고 강조했다. 북한 연계 가상자산 해킹 같은 금융권 위협에 어떤 도움이 되느냐는 질문에는 '사전 예측'을 앞세웠다. 그는 "국가 배후 조직과 자동화된 사이버 행위자 같은 공격 집단을 대상으로 자율 AI 기반 연구를 하는 도구가 있다"며 "네트워크 안팎의 가시성을 제공하고 실시간 탐지로 피해가 생기기 전에 공격자를 가려낸다"고 언급했다. 예측 방어로 공격으로부터 자산을 보호할 수 있다는 이야기다. 그러면서 예로 든 제품이 히어로다. 그는 "히어로는 아직 공개되지도, 발견되지도 않은 제로데이 취약점을 찾도록 만든 전용 플랫폼"이라고 말했다. 드림은 이 플랫폼을 'PHP2셸(PHP2shell)' 연구에 썼다. PHP2셸은 PHP 자체의 원격코드실행 취약점 두 건에 붙은 이름이다. PAN-OS 관리 웹 화면도 일부 PHP 스크립트로 동작한다. 팔로알토네트웍스 유닛42는 이 취약점이 인터넷에 노출된 PAN-OS 관리 인터페이스에서 악용됐다고 밝혔다. 공격자는 리눅스 커널 권한 상승 취약점까지 엮어 루트 권한을 얻었다. 이 공격 활동을 처음 보고한 곳은 드림그룹 소속 드림 리서치다. PHP2셸 취약점에 노출된 국내 기업, 기관에 대해서도 권고를 내놨다. 샬레브 엔지니어는 "PHP에 의존하는 시스템, 서비스가 있다면 노출 여부를 점검하고, 이 취약점이 네트워크의 다른 어디에 연결돼 있는지 파악해야 한다"며 "(피해 사실이 없더라도) 이미 침해됐다고 가정해야 한다"고 말했다. 최근 드림이 역동적인 발전을 하고 있다고 자평했다. 인력 구성에 관해 "연구개발(R&D)은 대부분 이스라엘에서 이뤄진다"면서 "회사 성장 속도가 빨라 구성원이 매우 빠르게 바뀐다"고 말했다. 이스라엘과 아부다비에 사무실을 두고 아시아, 유럽, 중동 조직과 일한다. 드림은 올해 6월18일 2억 6000만 달러(약 3470억원) 투자 유치를 발표했다. 기업가치는 30억 달러(약 4조 50억원)로 알려졌다. 앞으로 국내에 소버린 AI 기반 솔루션을 소개하고, 파트너십을 통해 국내 시장을 공략할 예정이다.

2026.11.03 16:00박광하 기자

한국시장 '노크'한 이스라엘 보안기업들…양국 협력 강조

카르니 싸기 주한이스라엘대사 내정자가 3일 "이스라엘과 한국처럼 첨단 기술 역량을 갖춘 국가 간 협력은 그 어느 때보다 중요하다"며 "전문지식과 기술의 교류, 기업 간 협력 확대를 통해 보다 안전하고 회복탄력적인 디지털 생태계를 구축할 수 있다"고 말했다. 대사 내정자가 소개한 이스라엘 사이버보안 기업 7곳은 국내 진출과 파트너십 형성을 모색했다. 주한이스라엘대사관 무역투자대표부, 이스라엘수출공사, 한국정보보호산업협회(KISIA)는 이날 경기 성남시 판교 제2테크노밸리에서 '이스라엘-코리아 사이버보안 포럼 2026'을 공동 개최했다. 인공지능(AI) 보안, 국가 사이버 회복탄력성, 미래 사이버 방어 전략을 주제로 발표를 진행했다. 드림, 헤카 시큐리티, 모델리오, 오카 시큐리티, 스크린스톱, 실버포트, 제로포트 등 이스라엘 기업 7곳이 발표에 참가했다. 이들은 국가 사이버 방어, AI 에이전트 보안, 양자안전 통신, 클라우드 보안, 아이덴티티 보안, 데이터 유출 방지, 보안 원격접속, 기밀 컴퓨팅 기술을 소개했다. 싸기 내정자는 "AI의 급속한 발전이 새로운 기회를 만드는 동시에 사이버 위협의 속도, 규모, 복잡성을 크게 높이고 있다"며 "사이버보안이 개별 기업을 넘어 국가안보, 핵심 인프라, 경제와 사회 전반의 회복탄력성에 직접 영향을 미치고 있다"고 언급했다. 그러면서 양국의 사이버보안 협력 필요성을 강조했다. 타마르 코셔 마론 주한이스라엘대사관 무역투자대표부 대표는 "한국은 디지털 인프라, 첨단 제조업, 기술 도입에서 세계를 선도하고 있고, 이스라엘은 40년에 걸쳐 쌓은 실전 기반의 사이버보안 혁신 역량과 역동적인 문제 해결 능력을 갖고 있다"면서 "한국의 산업적 강점과 이스라엘의 전문적인 사이버 혁신 역량을 결합하는 것은 단순한 유익함을 넘어 필수적"이라고 평가했다. 김진수 KISIA 회장은 "AI 기술의 발전으로 사이버 위협이 더욱 정교해지는 가운데, 국가 간 기술 교류와 협력의 중요성이 어느 때보다 커지고 있다"며 "국내 보안기업들이 이스라엘의 혁신 기술과 글로벌 시장 진출 노하우를 배우고 공유하는 것은 매우 의미 있는 기회"라고 강조했다. 오후에 열린 '퓨처 오브 사이버(Future of Cyber)' 세미나에는 이스라엘과 해외 전문가의 영상 발표를 진행했다. 단 사도트 벤구리온대학교 교수는 양자컴퓨팅과 포토닉스 기술 발전이 기존 암호체계와 국가 핵심 통신망에 미칠 영향을 설명했다. 이에 대응할 차세대 광통신과 양자안전 보안 기술도 소개했다. 세미나와 함께 이스라엘 참가 기업과 국내 기업, 기관의 기업 간(B2B) 미팅도 활발했다. 참가 기업은 한국 파트너와 기술 도입, 공동 사업, 개념검증(PoC), 현지 파트너십, 국내 시장 진출 가능성을 논의했다. 이스라엘 무역투자대표부는 AI 보안, 클라우드 보안, 핵심 인프라 보호, 양자안전 통신 분야에서 양국 협력을 계속 넓힐 계획이다.

2026.11.03 16:00박광하 기자

LGU+, 서울여대와 정보보호·AI·데이터 공동 연구

LG유플러스가 서울여대와 협력해 AI, 데이터 시대에 대비한 개인정보보호 공동 연구와 미래 보안 인재 육성에 나선다. LG유플러스는 서울여대와 개인정보보호, AI, 데이터 분야 공동 연구와 전문 인재 양성을 위한 업무협약을 체결했다고 3일 밝혔다. 협약식엔 홍관희 LG유플러스 정보보안센터장, 이윤선 서울여대 총장, 김형종 개인정보보호학과장 등이 참석했다. 양측은 서울여대에 구축되는 개인정보보호위원회 이노베이션존을 거점으로 가명정보 결합과 분석 기술을 공동 연구한다. 통신, 공공, 민간 데이터 안전한 결합 방안을 연구하고 재식별 가능성을 분석해 활용성과 안전성을 동시에 확보할 계획이다. 민감정보 자동 탐지, 가명 처리 기술 성능을 검증하고, 서비스 기획 단계부터 개인정보보호 원칙을 반영하는 프라이버시 바이 디자인 적용 방안을 연구해 실제 통신 서비스에 접목한다. 서울여대 석박사 전문인력 양성 사업에 참여해 교과과정 자문, 캡스톤 프로젝트, 공동 세미나, 현장 멘토링 등을 지원하며 미래 보안 인재 양성에도 힘쓸 예정이다. 홍관희 센터장은 “대학의 전문 연구 역량과 LG유플러스 현장 경험을 결합해 정보보호 경쟁력을 높이고 산업 현장에 필요한 보안 인재를 육성하겠다”고 밝혔다.

2026.11.03 09:53홍지후 기자

보안 인증 땄다면 '벤처나라'로…KISA가 추천해준다

과학기술정보통신부와 한국인터넷진흥원(KISA)이 '2026년 11차 정보보호 인증제품 조달청 벤처나라 추천'을 희망하는 창업, 벤처, 청년, 사회적기업을 모집한다고 2일 밝혔다. 사업은 정보보호 제품인증을 취득한 초기 기업의 공공판로를 지원해 성장을 돕기 위해 마련했다. 조달청의 창업, 벤처, 청년, 사회적기업 전용 온라인 상품몰인 벤처나라에 상품을 등록할 수 있도록 KISA가 기관추천을 해 준다. 금전 지원이 아닌 벤처나라 등록 상품 지정을 위한 기관추천 성격이다. 추천은 추천일(공문 접수일)로부터 6개월간 유효하다. 추천 대상은 벤처기업, 창업 후 7년이 지나지 않은 창업기업, 대표자가 39세 이하인 청년기업, 사회적기업이다. 사회적기업에는 사회적협동조합, 자활기업, 마을기업, 장애인표준사업장이 포함된다. 추천 인증은 사물인터넷(IoT) 보안인증, 물리보안 성능시험인증, 정보보호제품 성능평가, 신속확인제, 우수 정보보호 기술 지정 제품 등 5종이다. 인증 유효기간은 지정심사 월의 첫날 기준으로 6개월 이상 남아야 한다. 해외에서 제조하는 주문자상표부착생산(OEM) 제품은 지정신청이 불가능하며, 조달청 고시상 신청 제외 대상도 추천받을 수 없다. 신청은 20일 오후 6시까지 이메일로 서류를 제출하면 된다. 벤처나라 제도 관려 문의는 조달청 첨단융복합제품구매과로 연락하면 된다. 벤처나라는 나라장터 종합쇼핑몰 등록 기준을 채우지 못한 창업, 벤처기업의 초기 공공판로를 열어 주고자 조달청이 2016년 구축한 쇼핑몰이다. 조달청은 5월 12일 '벤처나라 등록 물품·서비스 지정 관리 규정'을 개정 시행했다. 평가위원의 기술, 품질평가를 생략하고, 나라장터 기업정보로 확인되는 서류는 제출을 면제했다. 신청 마감 뒤 결과 발표 기간은 14일에서 7일 이내로 줄였다. 등록 대상은 창업, 벤처기업에서 청년기업과 사회적기업까지 넓어졌다. 동일 세부품명 기준 6년이던 지정기간 제한도 풀려 만료 뒤 재지정이 가능해졌다. 국가기관, 지방정부 등 39개 기관인 추천기관은 민간 협회 등으로 확대하기로 했다. 국회입법조사처가 5월 과기부에서 받은 자료에 따르면 최근 5년간 IoT 보안인증은 연평균 90건에 그쳤고, 가전 분야는 5년간 10건에 불과했다.

2026.11.02 11:34박광하 기자

ICT 3부처, 금주 주요 일정

◇과학기술정보통신부 2일(월) ▲10:30 1차관 특별성과 포상금제 시상식(정부세종청사) 3일(화) ▲10:00 부총리, 본부장 국무회의 4일(수) ▲10:00 1차관, 본부장 예결위 종합정책질의(국회) ▲14:00 부총리 예결위 종합정책질의(국회) ▲14:00 1차관 제3차 과학기술 60년 미래포럼(글래드 여의도) 5일(목) ▲10:00 2차관 국제 OTT 포럼(포시즌스호텔) ▲10:00 부총리, 본부장 예결위 종합정책질의(국회) ▲10:00 1차관 삼성미래기술육성사업 연간 포럼 2026(웨스턴서울 파르나스) ▲18:30 1차관 2026 벨기에 국왕의 날 행사(웨스틴 조선 서울) 6일(금) ▲10:00 부총리, 1차관, 2차관 과방위 전체회의(국회) ▲15:00 부총리 국가AI전략위원회 제3차 전체회의(국가AI전략위원회) ◇방송미디어통신위원회 3일(화) ▲10:00 위원장 국무회의(서울) 4일(수) ▲10:00 위원장 예결위 종합정책질의(국회) 5일(목) ▲10:00 위원장 국제 OTT 포럼(포시즌스호텔) ▲10:00 부위원장 예결위 종합정책질의(국회) 6일(금) ▲10:00 위원장 과방위 전체회의(국회) ◇개인정보보호위원회 4일 ▲10:00 위원장 예결위 전체회의(국회) 5일 ▲10:00 위원장 예결위 전체회의(국회) ▲14:00 위원장 정무위 전체회의(국회) ▲14:00 부위원장 예결위 전체회의(국회)

2026.11.02 08:44박수형 기자

AI 시대 개인정보 미래는?…"수집·제공 체계 '처리'로 묶자"

인공지능(AI) 시대에 개인정보 활용 동의 중심 체계라는 한계를 극복하기 위해서는 법적 근거와 보호조치를 손질해야 한다는 의견이 쏟아졌다. 수집, 제공을 따로 규율하는 체계를 하나로 통합하고, 이용자의 거부권을 바탕으로 '정당한 이익'을 폭넓게 인정하자는 이야기다. 정당한 이익이란 개인정보처리자가 동의 없이 개인정보를 처리할 수 있는 법적 근거다. 처리자의 이익 달성에 필요하고 정보주체의 권리보다 명백히 우선하며 합리적 범위를 넘지 않을 때 인정된다. 행정안전부와 개인정보보호위원회가 1일 서울 서대문구 연세대 백양누리에서 개최한 '제3회 모두의 토론회'의 패널 및 플로어 토론에서 이 같은 의견들이 제시됐다. 좌장을 맡은 김진환 웨일앤썬 대표변호사는 정당한 이익을 근거로 동의 없이 처리하는 방식을 다른 회사의 이익을 위해서도 허용할 수 있는지 의견을 구했다. 김경하 제이엔시큐리티 대표는 "국내 법이 정당한 이익을 엄격하게 보는 만큼 제3자의 이익까지 인정하기는 쉽지 않다"고 답했다. 그러면서 법 개정 방향으로 "수집과 제공을 따로 규율하는 체계를 '처리'라는 하나의 틀로 묶고 공동 처리 개념을 도입하자"고 제안했다. 황다연 소비자와 함께 공동대표는 '동의의 형식화'를 문제로 꼽았다. 사전 설문에서 동의 내용을 다 읽고 결정한다는 응답은 51%에 그쳤고 형식적으로 동의한 적이 있다는 응답은 88%였다는 것이다. 황 대표는 "읽지 않고 뭐가 써 있는지 모르고 동의를 눌렀는데 그걸 가지고 적법한 처리 근거를 쓸 수 있을까"라고 의문을 표했다. 이어 "정당한 이익을 폭넓게 인정하되 이용자가 언제든 멈추고 삭제를 요구할 거부권을 명확히 보장해야 한다"고 강조했다. 윤수영 개인정보보호책임자협의회 사무총장은 "통제권과 편의를 함께 원하는 '프라이버시 패러독스'는 일반적 현상"이라고 설명하면서 "식별성과 이용 맥락이 다른 만큼 규율을 차등화해야 한다"고 주장했다. 보이스피싱에 쓰일 수 있는 휴대전화 번호와 이용 기록 같은 행태정보를 같은 강도로 다룰 수는 없다는 지적이다. 김도승 전북대 법학전문대학원 교수는 한국 제도가 글로벌 기준에서 높은 수준이라고 평가했다. 유럽연합(EU)이 2021년 12월 한국에 적정성 결정을 내려 양측의 데이터 이전을 안정적으로 보장하고 있다는 점을 근거로 들었다. 그러면서 "학습된 개인정보는 데이터베이스에서 지워도 모델에 남을 수 있는데, 이건 EU도 겪어 보지 못한 문제"라고 했다. 그는 "만병통치약인 제도는 아직 없다"며 정부가 세심한 기준과 신속한 피해 회복 장치를 마련하는지 지켜봐 달라고 당부했다. 김병필 KAIST 기술경영학부 교수는 "AI에 대한 현재의 신뢰와 미래에 거는 기대 사이에 간극이 있다"면서 "'알아서 잘 딱 깔끔하고 센스 있게' 일하는 AI를 바라지만 지금 단계에서는 사람이 통제해야 한다"고 주장했다. 한 참석자는 AI 시대 전후로 기업의 고객 데이터 규제가 달라졌는지 물었다. 김도승 교수는 "과거에는 보안팀이 침해만 막으면 됐지만 지금은 영업 단위에서 개인정보를 가져와 판단하는 과정에서 취약점이 커진다"고 답했다. 다른 질문자는 국가가 제공하는 표준 개인정보 동의서가 있는지, 기업이 임의로 정할 수 있는지 물었다. 윤 사무총장은 "수집 항목, 목적, 보유 및 이용 기간, 거부 시 불이익을 고지하도록 법이 정하고 있다"면서 "중요한 사항은 글자 크기를 9포인트 이상으로 하고 색깔과 굵기까지 달리하도록 규정돼 있다"고 설명했다. 이어 "업종마다 목적이 달라 표준화하기는 어려워 업종별 자율규제 단체가 표준 동의서를 마련하고 있다"고 말했다.

2026.11.01 17:08박광하 기자

김병필 교수 "AI비서에 '서비스 예약' 요청, 개인정보 전송 동의 아냐"

김병필 한국과학기술원(KAIST) 기술경영학부 교수가 1일 "인공지능(AI) 비서가 개인정보를 외부에 넘길 때 '예약해줘'라는 요청만으로는 동의한 것으로 볼 수는 없다"고 말했다. 김 교수는 이날 서울 서대문구 연세대 백양누리에서 열린 '제3회 모두의 토론회' 발제에서 이런 의견을 제시했다. 그는 'AI 시대에는 개인정보를 어떻게 쓸까'를 주제로 AI 작동 방식부터 설명했다. AI는 '작업판'이라는 공간에 글을 쓰며 생각하고 행동한다고 했다. 점심 메뉴 추천을 뜻하는 '점메추'를 요청하면 AI가 장기 기억 저장소에서 선호를 찾고, 위치 정보로 날씨를 확인해 메뉴를 고른다고 설명했다. AI 비서 시대에는 AI가 식당 예약까지 대행한다면서 시대의 변화 모습을 언급했다. 김 교수는 "국내 예약 서비스는 아직 AI와 연동되지 않았지만 머지않아 연동될 것"이라면서 "그러면 예약 플랫폼에 이용자의 이름과 전화번호, 방문 인원과 일시가 전달된다"고 말했다. 이런 상황에서는 개인정보의 종류가 늘고 외부로 전달되는 범위도 넓어져 상황이 복잡해진다면서, 개인정보보호법이 발전하던 때는 이런 상황을 생각하지 못했다고 짚었다. 김 교수는 AI 시대 변화로 ▲연결되는 주체가 다양해진 점 ▲정보가 누구에게 갈지 미리 알 수 없게 된 점 ▲영상 통화처럼 정보 형식이 다양해진 점 등을 말하면서 청중에게 세 가지 질문을 던졌다. 첫 질문은 'AI 학습'이다. 그는 "AI가 한국 사람들이 줄여 쓰는 신조어를 아는 것은 대화와 소셜미디어 글이 학습에 쓰였기 때문일 수 있다"면서 "이때 반드시 동의를 받아야 하는지, 서비스 회사의 정당한 이익을 들어 동의 예외를 인정할 수 있는지 고민해야 한다"고 말했다. '외부 서비스로의 정보 전달'에 대해서도 생각해봐야 한다고 짚었다. 김 교수는 예약해 달라는 요청과 개인정보를 누구에게 전달해도 좋다는 동의가 "법적으로는 엄연히 다른 의사표시"라고 설명했다. 전달 전에 미리 동의를 받는 방안과 처리방침에 전달 대상을 알리고 거부 의사를 따르는 방안이 있다고 했다. 편의성과 의사 확인 중 무엇을 중시하느냐의 문제여서 어느 쪽이 낫다고 하기는 어렵다고 말했다. 해외 입법례도 소개했다. 유럽연합(EU)은 계약 이행에 필요하면 별도 동의 없이 처리할 수 있다. 미국 캘리포니아주 또한 합리적으로 필요한 범위에서 별도 동의가 필요 없다. 반면 한국은 개인정보를 제3자에게 제공할 때 동의를 받도록 하고 있다. 김 교수는 "한국 법이 엄격하다는 지적이 아니다"라면서도 "나라마다 법이 다르면 해외 사업자가 한국에는 서비스를 출시하지 않을 수도 있다"고 말했다. '동의 판단 자체를 AI에 맡길 수 있는지'에 대해서도 질문을 던졌다. 그는 "이날 토론 주제에는 없지만 생각해볼 필요가 있다"며 이용자가 AI에게 개인정보와 그에 관한 판단을 어디까지 맡기고 싶은지를 물으면서 발제를 마무리했다.

2026.11.01 15:36박광하 기자

김도승 교수 "개인정보 보호, 정보주체 동의에만 의존 안 돼"

김도승 전북대 법학전문대학원 교수가 1일 "인공지능(AI) 시대 개인정보 보호를 정보주체의 동의에만 맡겨서는 안 된다"라면서 "동의를 잘 받으라고만 하는 건 국가나 사회의 책임 있는 행동이 아니다"라고 밝혔다. 김 교수는 이날 서울 서대문구 연세대 백양누리에서 열린 '제3회 모두의 토론회' 발제에서 이같이 강조했다. 그는 '개인정보는 어떤 방식으로 쓰이고 있을까'를 주제로 발표했다. 이제는 포털 로그인이나 배달 주문처럼 일상 곳곳에서 개인정보가 쓰이고 있지만, 개인정보 보호는 10여 년 전만 해도 일반적인 사항이 아니었다고 짚었다. 개인정보는 2011년 공공과 민간, 온라인과 오프라인을 모두 포괄하는 개인정보보호법이 제정되면서 동의 외에도 개인정보를 적법하게 처리할 길이 열렸다. 그는 이 법이 정한 수집과 이용 근거로 ▲정보주체 동의 ▲법률의 특별한 규정 ▲공공기관의 업무 수행 ▲계약 체결 ▲급박한 생명과 신체 위험 ▲처리자의 정당한 이익 ▲공중위생 등 7가지를 언급했다. 그러면서 "하나의 서비스에도 여러 처리 근거가 필요해 동의만으로 서비스가 온전히 적법해지는 것은 아니다"라며 "동의 외 요건도 정보주체의 이익이 훼손되지 않도록 엄격하게 적용해야 한다"고 덧붙였다. 김 교수는 앞서 공개된 사전 설문에서 개인정보 활용, 동의 내용을 다 읽고 동의 여부를 결정한다는 응답이 51% 수준이라는 데 대해 "저도 (내용을) 거의 읽어본 적이 없는 것 같다"고 말했다. AI 시대의 개인정보 수집, 이용 모습이 달라지고 있다고도 언급했다. 과거에는 사업자가 쓰임새를 알리고 유효한 동의를 받으면 충분했지만, AI가 학습 데이터로 개인정보를 쓸 때는 범위를 미리 정하기 어렵다고 진단했다. 또 데이터베이스에서 가져온 정보를 처리하는 데 그치지 않고 개인정보가 추론되거나 새로 생성되기도 한다고 밝혔다. 김 교수는 "유출 사고가 이어지는 만큼 안전한 보관과 처리로 국민이 신뢰할 기반을 마련하는 게 개인정보 활용의 전제"라고 밝혔다. 규제 수준을 높이면 기업의 글로벌 경쟁력이 떨어진다는 업계 주장에는 선을 긋고, "안전하게 처리하는 역량이 곧 기업의 경쟁력"이라고 강조했다. 정부의 책임있는 자세가 필요하다는 점도 환기시켰다. AI 같은 특수한 기술 환경의 문제까지 정보 주체에게 잘 읽고 동의하라고 하면 국가의 무책임으로 귀결될 수 있다는 이야기다. 김 교수는 "(개인정보 관련) 동의를 받았는지, 그 동의가 실질적으로 보장되는지를 묻는 데서 벗어나야 한다"면서 "동의를 바탕으로 한 정보주체의 이익과 권한을 보호하기 위해 국가는 어떤 역할을 하고 기업은 어떤 책임을 지는지 물어야 한다"고 발제를 마무리했다.

2026.11.01 15:07박광하 기자

이해민 청와대 AI수석 "개인정보 안전·신뢰가 혁신 기반"

이해민 청와대 AI미래기획수석이 1일 "(개인정보 분야) 안전과 신뢰는 혁신의 속도를 늦추는 장벽이 아니라 혁신이 더 멀리 나갈 수 있도록 하는 기반"이라고 말했다. 이 수석은 행정안전부와 개인정보보호위원회가 이날 서울 서대문구 연세대 백양누리에서 개최한 제3회 '모두의 토론회'에서 이같이 강조했다. 행사에서는 국민 200여 명이 참여해 인공지능(AI) 시대 개인정보의 보호와 활용 방안을 논의했다. 이 수석은 "브레이크가 잘 만들어져야 성능 좋은 자동차도 의미가 있다"고 말했다. 그는 "AI가 질문에 답하는 수준을 넘어 에이전트처럼 필요한 일을 대신 수행하는 단계로 발전하고 있다"면서 "개인정보를 어느 정도까지 활용해도 되는지는 인간이 결정할 수 있어야 한다"고 강조했다. 또 "그 기준은 국민의 권리와 사회적 협의에서 출발해야 한다"고 덧붙였다. 송경희 개보위원장은 인사말에서 "(개인정보 유출) 사고가 난 뒤에 대응하는 데 그치지 않고 미리 막는 사전 예방 중심의 보호체계로 바꿔 나가고 있다"면서 "법 위반에는 엄정하게 대응하고 피해자가 신속히 구제받도록 노력하고 있다"고 말했다. 그러면서 "이날 모인 의견이 제도 개선으로 이어지도록 최선을 다하겠다"고 말했다. 송 위원장은 "하루에도 몇 번씩 '동의합니다'를 누르지만 그 내용을 꼼꼼히 읽기는 쉽지 않다"면서 "데이터 처리 방식과 규모가 크게 달라진 만큼 현행 제도가 AI 시대에도 보호와 활용을 함께 해낼 수 있을지 돌아봐야 한다"고 밝혔다. 김민재 행안부 차관은 인사말에서 "책상 위에서의 일방적인 행정만으로는 정부가 직면한 복잡한 현안을 해결하기 어렵다"면서 "정책의 정답은 언제나 국민의 생생한 현장에 있다고 믿는다"고 말했다. 그는 AI 시대 개인정보의 안전한 활용을 두고 "어느 한 명의 전문가가 내놓은 정답이 아니라 우리 모두가 머리를 맞대고 합의해 나가야 할 미래의 모습"이라고 강조했다. 그러면서 "국민의 날카로운 지적과 지혜로운 대안이 정부 정책 방향의 나침반이 될 것"이라며 "찬반을 넘어선 열띤 토론과 숙의가 사회를 한 걸음 더 성숙하게 하기를 기대한다"고 말했다. 행사는 김도승 전북대 법학전문대학원 교수와 김병필 한국과학기술원(KAIST) 기술경영학부 교수 발제 이후 참석 시민들의 분임 토론, 패널 및 플로어 토론, 결과 공유를 진행했다.

2026.11.01 14:32박광하 기자

KISIA, 'FISCON' 정보보호 기업 전시회 개최

한국정보보호산업협회(KISIA)가 11월 12일 서울 영등포구 콘래드 호텔에서 '금융정보보호 컨퍼런스(FISCON 2026)' 부대행사인 기업 전시회를 개최한다고 30일 밝혔다. FISCON은 금융보안원, 금융정보보호협의회, 금융보안포럼이 공동 주최하는 금융 정보보호 컨퍼런스다. 올해는 'Now for Next Finance'라는 주제로 개최된다. KISIA는 컨퍼런스 후원 기관으로 참여함과 동시에 정보보호 제품 및 솔루션을 소개하는 기업 전시회를 주관한다. 변화하는 금융 환경에 대응하는 보안 전략 수립을 지원하고자 기획했다고 설명했다. 전시회에서는 AI 보안, 제로 트러스트, 클라우드 보안, 인증 분야의 제품과 솔루션 소개 및 시연이 진행된다. 참관객은 각 제품 및 솔루션의 주요 기능을 직접 살펴보고, 현장에서 기관별 보안 환경을 고려한 맞춤 상담을 받을 수 있다. 행사장 5층 로비 전시장에 ▲소프트캠프 ▲굿모닝아이텍 ▲YH데이타베이스 ▲스패로우 ▲수산아이앤티 ▲지니언스 ▲모니터랩 ▲엑스큐어넷 ▲웨어밸리 ▲SGA솔루션즈 ▲피앤피시큐어 ▲한컴위드 ▲위드네트웍스 ▲엘세븐시큐리티 등이 참여한다. 전시회는 금융보안에 관심 있는 누구나 무료로 관람할 수 있다. KISIA는 관람객을 대상으로 전시 부스 투어 스탬프 이벤트도 운영할 계획이다. 김진수 KISIA 회장은 "AI의 확산으로 사이버 위협이 고도화되는 상황에서, 금융권의 선제적인 보안 대응은 더욱 중요해지고 있다"며 "전시회가 정보보호 제품과 솔루션을 소개하는 것을 넘어 금융권과 정보보호 기업 간 실질적인 기술 교류의 장이 되기를 기대한다"라고 말했다. 최근 국내 금융권 해킹 사고가 잇달아 벌어지자 금융사들은 정보보호 역량 강화를 모색하고 있다. 9월 말 신한은행 대출모집인용 고객정보 조회 서비스에서 유출이 발생한 이후, 금융위원회는 10월14일 16개 금융사의 침해를 확인했다. 대신증권, 미래에셋생명, 미래에셋자산운용, 빗썸에서도 사고가 일어났다. 이들 사고 대부분은 외부와 연결된 업무시스템이 주요 공격 대상이었다. 금융위는 555개 금융사를 긴급 점검해 130곳에서 미흡 사항을 확인했다. 경찰청은 5일 정식 수사에 착수해 인공지능(AI) 활용 가능성까지 살피고 있다.

2026.10.30 11:47박광하 기자

일본 해킹 유출피해 올해만 2억 6000만명 '인구 2배 돌파'

일본에서 올해 4월 이후 불법 접근(해킹)으로 유출된 개인정보가 연인원 약 2억 6000만명분, 인구의 2배 수준에 이르는 것으로 집계됐다. 보고된 유출 건수는 2094건으로 지난해 연간 1256건을 이미 웃돌았다. 일본 개인정보보호위원회는 29일 이 같은 통계를 공개했다. 유출 규모는 일본 인구(1억 2297만명)의 2배를 넘는다. 올해 4월부터 10월 16일까지 개보위에 보고된 불법 접근 유출 사안이 2094건에 이른다. 유출 인원이 100만명을 넘는 사안은 20건 이상이다. 해당 집계는 개보위에 직접 보고한 기업분만 해당되며, 관할 부처에 먼저 보고하는 은행, 통신사 등은 제외됐다. 월별 보고 건수는 5월 163건 이후 계속 늘다 10월에 급증했다. 4~6월에 매달 100건 안팎이던 보고가 7~8월 200건대로 늘었다. 10월 830건은 9월 303건의 2.7배를 찍었다. 유출 인원 '1000만명 초과' 사건은 8월과 9월 각 1건이었지만, 10월에는 4건으로 늘었다. '100만명 초과~1000만명 이하' 사안은 8월과 9월 각 4건에서 10월 18건으로 크게 늘었다. 10월 접수분 가운데 588건은 유출 규모가 10만명대다. 현지 보안업계에서는 기업이 맡긴 위탁업체가 해킹당하면서 이를 이용하는 여러 원청 기업으로 피해가 연쇄 확산한 게 급증 배경이라고 보고 있다. 개보위 관계자는 아사히신문 인터뷰에서 "대규모 유출이 연달아 발생하고 있어 대단히 심각한 상황으로 인식하고 있다"고 말했다. 개보위는 개인정보 관리와 보안 대책이 미흡했던 기업에 강력한 행정지도를 하겠다는 방침이다. 일본 개인정보보호법상 기업과 기관은 유출을 안 날로부터 3~5일 안에 개보위에 보고해야 한다. 위탁업체를 통한 연쇄 피해의 구체적 사례도 나왔다. NHK에 따르면 오사카에 본사를 둔 시스템 위탁업체 알카디아(アルカディア)가 불법 접속을 당했다. 이 여파로 히로시마현 경찰본부 소속 경찰관과 직원 약 5700명의 성명과 이메일 주소가 유출됐을 가능성이 제기됐다. 소방 관련 시스템까지 합쳐 12만 7000여 건이 유출된 것으로 추정된다. 도쿄 고토구, 세타가야구 등 지자체의 방재, 비상소집 시스템은 운영이 중단됐다. 후지뉴스네트워크(FNN)는 21일 22곳 광역지방자치단체의 경찰관 개인정보가 유출됐을 가능성이 있다고 보도했다. GMO인터넷그룹도 공격을 받았다. 이 회사는 지난 20일 자사 서비스 오나마에닷컴 데스크톱 클라우드의 서버 2만 6000여 대가 사이버 공격의 영향을 받았을 가능성이 있다고 확인했다. 해커 조직은 27일 정오까지 100만달러(약 13억 2000만원)를 내지 않으면 고객 개인정보를 공개하겠다고 요구했고, GMO는 응하지 않았다. 이에 공격 측이 28일 고객 정보를 공개했다. 개별 사고 규모도 컸다. 일본 주차장 운영업체 파크24는 지난달 자회사가 운영하는 차량 공유 서비스 타임즈카의 웹 시스템에 비정상적 접속이 있었다고 발표했다. 이 사건으로 이름, 주소, 전화번호, 이메일 등 662만 8000건이 유출됐다고 밝혔다. 운전면허증과 학생증 이미지 146만건이 외부로 전송된 흔적도 확인됐다. 지난 26일에는 가전 양판점 조신이 최대 623만건, 라쿠텐 트래블이 최대 260만건의 유출 가능성을 공표했다.

2026.10.30 09:18박광하 기자

Prev 1 2 3 4 5 6 7 8 9 10 Next