지정호 토스 CISO "보안팀, 막는 조직서 가능케 하는 조직돼야"
지정호 토스 최고정보보호책임자(CISO)가 6일 "토스의 보안팀은 막는 조직에서 가능하게 하는 조직으로 일하려고 노력하고 있다"고 말했다. 이날 서울 코엑스에서 열린 보안 콘퍼런스 '가디언즈 26' 오프닝 발표에서 인공지능(AI) 시대 보안 조직의 역할을 이렇게 정의했다. 지 CISO는 AI로 공격이 더 빠르고 싸고 자동화되고 있다고 진단했다. 영국 AI보안연구소(AISI)의 32단계 기업망 침투 시나리오를 올해 4월 클로드 미토스 프리뷰가 처음으로 끝까지 수행했다고 소개했다. 올해 상반기 한국인터넷진흥원(KISA)에 신고된 국내 침해사고는 1236건으로 1년 전보다 19.5% 늘었다. 금융권 해킹 시도는 4299만건으로 31.8% 증가했다고 덧붙였다. 기업 내부도 달라졌다고 했다. 임직원이 업무에 AI를 쓰면서 섀도 AI, 프롬프트를 통한 내부 데이터 유출 같은 새 위협이 생겼고 AI 에이전트는 시스템을 직접 호출하는 권한 주체가 됐다. 비개발자도 바이브 코딩으로 프로그램을 만들어 관리 대상이 늘고 있다. 그는 AI를 쓰지 못하게 막는 것도, 대책 없이 허용하는 것도 답이 아니라고 강조했다. 이어 "위험을 제로로 만드는 가장 쉬운 방법은 새로운 시도를 막는 것"이라며 그런 방식은 발전을 가로막는다고 말했다. 금지가 능사가 아니라는 보안 지향점은 보안팀의 목표에 반영됐다. 지 CISO는 "토스는 창사 이래 보안사고 0건이나 인증 심사 지적 0건 같은 목표를 세운 적이 없다"며 "(AI 이용을) 막으면 현업이 우회로를 찾아 결국 가시성을 잃게 된다"고 말했다. 토스는 보안 위협을 효과적으로 방어하기 위해 위험 평가부터 보안 활동을 시작한다. 지 CIOS는 "인터넷망에서 쓰는 AI는 표준 인증과 연동되는지, 모니터링이 가능한지, 입력 데이터의 학습 활용을 막을 수 있는지, 회사가 통제할 수 있는 구조인지를 확인한 뒤 허용한다"고 말했다. 내부 시스템은 외부 AI에 직접 연결하지 못하고 AI 게이트웨이를 거쳐야 하고, 게이트웨이는 입출력 데이터에 개인정보나 인증 정보가 있는지 검사하고 감사 로그를 남긴다. AI 에이전트는 연결 전에 검증하고 접근 범위를 정해 권한 경계 안에서만 움직이게 했다. 바이브 코딩 산출물은 전용 인프라에 모아 보안성 심의를 거쳐 배포한다. 보안 조직도 AI 중심으로 바꾸고 있다. 반복 점검은 에이전트가 맡고 최종 판단은 사람이 한다. 취약점 패치는 CVSS 점수에 실제 서비스 도달 가능성을 더해 우선순위를 정한다. 가상 패치로 시간을 번 뒤 1%, 5%, 25% 순으로 배포를 넓히고 이상이 보이면 즉시 복원한다. 토스는 2022년부터 상용 보안 접속 서비스 엣지(SASE) 솔루션으로 제로트러스트를 구현, 운영했다. 결과적으로 이런 상황에서는 장애 때마다 해외 벤더에 의존해야 했다. 문제를 개선하기 위해 자체 개발한 '타이탄(Titan)'을 지난해 말 배포하기 시작해 올해 초 전사 배포를 마쳤다. 기존 상용 SASE 제품 계약은 해지했다. 타이탄은 계열사로 확대할 예정이며 망분리 규제 완화에 대비해 망분리 PC까지 범위를 넓히고 있다. 지 CISO는 서울의 4대문과 4소문에 비유하면서 "AI 서비스, 에이전트, 바이브 코딩 산출물까지 지켜야 할 문이 늘고 있다"고 짚었다. 새로운 위협이 늘어나는 속도가 자동화로 여력을 만드는 속도보다 빠르면 경영진에게 투자를 요구해야 한다고 했다. 이때 자산의 가치, 예상 손실, 필요한 투자를 구분해 경영진의 언어로 설명해야 공감을 얻는다고 짚었다. 토스의 보안 투자는 5년 사이에 2배가량 늘었다. 정보보호 공시 기준 2021년부터 2025년까지 보안 투자액은 90억 4000만원에서 192억 5000만원으로 113% 늘었다. 인력은 26.9명에서 49.5명으로 84% 늘었다. 현재는 70명으로, 채용 TO가 27개나 남았다고 덧붙였다. 지 CISO는 "막는 것도, 대책 없이 허용하는 것도 답이 아니다"며 "리스크를 빠르게 파악해 조직이 변화를 받아들이도록 돕는 게 보안 조직의 일"이라고 정리했다. 청중에게는 ▲지금 자동화할 수 있는 일은 무엇인지 ▲확보한 여력을 어떤 위협에 먼저 쓸지 ▲모자란 부분을 어떻게 설명해 사람과 투자로 채울지를 스스로 물어보라고 당부했다.
