검색 - IT세상을 바꾸는 힘 지디넷코리아

"AI가 행동하는 시대, 시스템 신뢰 다시 설계해야"

한국정보보호학회 제로트러스트연구회(위원장 이석준 가천대 교수)는 15일 서울 양재 aT센터 그랜드홀(5층)에서 '제2회 제로트러스트연구회 워크숍'을 개최했다. 지난해 10월 제1회 워크숍을 열었다. 당시 제로트러스트 개념과 도입 전략을 산·학·연·관이 함께 공유하며 논의의 물꼬를 텄다. 올해 워크숍은 한 걸음 더 나아가 '에이전틱 AI 시대에 제로트러스트를 어떻게 확장하고, 검증하고, 운영할 것인가'를 구체적인 기술과 현장 사례로 논의했다. AI가 질문에 답하는 도구를 넘어 스스로 도구를 호출하고 권한을 위임받아 행동하는 주체로 바뀌면서, 사람 중심으로 설계한 기존 인증·접근통제 체계만으로는 신뢰를 보장하기 어렵다는 문제의식에서다. 연구회는 2년 연속 워크숍을 열어 국내 제로트러스트 논의의 장을 이어 가고, 그 주제를 AI 에이전트 시대의 신뢰 검증으로 넓혔다. 이날 행사는 한국정보보호학회가 주최하고 제로트러스트연구회가 주관했다. 안랩, 옥타코, 엔키화이트햇, KB국민은행, ETRI, 로그프레소, SGA솔루션즈, KISA, LG유플러스, 스마트M2M 등 공공·금융·통신·보안 기업과 연구기관의 전문가들이 4개 세션 발표를 통해 정책과 표준, 기술, 현장 적용 경험을 들려줬다. 옥타코 "정상 로그인한 AI가 잘못된 일을 한다면"… 신원 보증에서 행위 신뢰로 첫 세션에서 이재형 옥타코 대표는 'AI Agent 시대의 Zero Trust Identity: 사람의 인증에서 행위의 신뢰로'를 주제로 발표했다. 이 대표는 정상적으로 로그인한 AI 에이전트가 승인받지 않은 일을 수행한다면 기존 인증 체계가 이를 막을 수 있는지를 되물으며, 신원 보증의 초점을 '누구인가'에서 '무엇을 대신해 어떤 행위를 하는가'로 옮겨야 한다고 강조했다. 발표는 미국 NIST 산하 국가사이버보안우수센터(NCCoE)가 올해 2월 공개한 AI 에이전트 신원 관련 컨셉 페이퍼 논의를 바탕으로, 에이전트가 사람의 권한을 위임받아 행동하는 전 과정을 검증하는 방안을 제시했다. 토큰 교환(RFC 8693)과 세부 권한 요청(RFC 9396, RAR) 등 표준 기술로 위임 범위를 좁히는 방안과 함께, FIDO 인증에 성공했다는 사실만으로는 사람이 승인한 내용이 증명되지 않는 만큼 승인 내용과 에이전트의 실제 실행 요청이 같은지 실행 직전에 비교·검증하는 방안을 소개했다. 위임을 철회했을 때 하위 에이전트 실행이 차단되기까지 걸리는 시간 등을 하나의 테스트베드에서 측정하는 지표도 제안했다. 이 대표는 국내 환경에서는 ▲한국형 디지털 신원 보증 적용 프로파일 ▲에이전트 위임·승인 상호운용 프로파일 ▲공격 상황에서 검증하는 공개 테스트베드가 필요하다고 짚었다. 엔키화이트햇 "공격자 시선으로 제로트러스트를 검증해야" 두 번째 세션의 김주원 엔키화이트햇 팀장은 '변화하는 공격 표면, 확장되는 레드팀'을 주제로 공격자 관점에서 본 제로트러스트를 풀어냈다. 웹·모바일·클라우드·공급망으로 확장된 공격 표면을 정찰·관리(ASM)하는 방법과 레드팀 업무에 AI를 활용하는 방식을 소개하고, AI 시스템 자체를 대상으로 하는 AI 레드팀 접근법도 다뤘다. 발표 중심은 실제 침투 시나리오였다. 웹·앱 취약점 악용, 이메일 악성코드, 업무망·서버망 내부 확산, 클라우드 우회, 임직원 권한 악용, 물리보안 우회, 공급망 공격 등 11가지 시나리오를 제시하고, 마지막 단계로 '제로트러스트 검증'을 들었다. 사용자·단말·권한·서비스 간 접근통제가 문서상 설계가 아니라 실제 공격 상황에서도 작동하는지 확인해야 한다는 것이다. 김 팀장은 AI 기반 레드팀이 제로트러스트의 대응 수준을 지속적으로 점검하는 수단이 될 수 있다고 설명했다. ETRI "오픈랜 RIC에 제로트러스트 적용" 세 번째 세션에서 권혁찬 ETRI 책임연구원은 '제로트러스트 기반 오픈랜(O-RAN) RIC 접근제어 기술'을 소개했다. 개방형 무선망의 핵심 제어 요소인 RIC에는 제3자가 개발한 xApp·rApp이 올라가는데, 이 앱이 악의적이거나 서로 충돌하면 망 전체의 안정성이 위협받을 수 있다. 권 책임은 악성 xApp의 유형을 분류하고, 침입탐지 xApp, 로그 분석 기반 O-RAN SIEM, 제로트러스트 접근제어(ZTAC), 정책결정·집행 지점(PDP/PEP) 사이드카를 결합한 대응 구조를 발표했다. 무선 구간 대응도 다뤘다. 위험도에 따라 네트워크 슬라이스의 우선순위와 자원을 조정해 피해를 격리하고, 서비스를 대체 경로로 옮기는 방안이다. 슬라이싱이 피해 확산을 줄이는 수단이며 물리적 간섭 자체를 없애려면 별도 대응이 필요하다는 한계도 함께 짚었다. 또 O-DU와 O-RU 사이 프론트홀의 C·U·S·M-plane별 보호 방안, 특히 시간 동기화(S-plane)의 타임스탬프 정확성과 저지연 요구를 함께 고려한 설계 관점을 제시했다. 권 책임은 정부의 'Hyper AI 네트워크' 전략에 따라 AI-RAN이 확산될수록 AI 네트워크 전반에 제로트러스트를 적용해야 한다고 전망했다. LG유플러스 "통신사는 신뢰 경계가 가장 복잡한 산업…가시성·거버넌스·실시간 탐지로 AI 에이전트 통제 확장" 마지막 세션에서 이우제 LG유플러스 정보보안센터 PM은 'Agent AI를 고려한 기업의 제로트러스트 전략'을 주제로 통신사의 제로트러스트 추진 경험과 에이전트 시대의 확장 방향을 소개했다. 이 PM은 고객·임직원·협력사·네트워크 장비·클라우드·AI 서비스를 하나의 생태계로 연결하는 통신사는 신뢰 경계가 가장 복잡한 산업 중 하나이며, 경계가 사라진 환경에서는 '믿고 통과'시키는 방식에서 '검증하고 허용'하는 방식으로 전환해야 한다고 설명했다. LG유플러스는 이 원칙을 단말·신원·네트워크·앱·데이터·분석 등 6대 요소로 나눠 IdP 기반 다중인증(MFA)과 조건부 접근, 단말 제로트러스트, SIEM·UEBA 기반 탐지·자동 대응 체계를 운영해 왔다. 다만 KISA 가이드라인 2.0과 CISA 성숙도 모델을 참조한 자체 점검(2025년 기준)에서는 주요 영역이 '초기' 단계라며, 사람 중심 제로트러스트를 고도화하는 동시에 AI 에이전트까지 포함하도록 확장해야 한다고 밝혔다. 이 PM은 AI 에이전트가 시스템 탐색부터 API 호출, 실행까지 스스로 수행하면서 보안의 질문이 '누가 어떤 권한으로 접근했는가'에서 '에이전트가 왜 그렇게 행동했는가'로 바뀌고 있다고 짚었다. 이미 권한을 가진 에이전트에 악의적 명령이 주입되면 기존 시스템은 이를 '정상 업무'로 판단할 수 있기 때문이다. 이에 따라 새 아키텍처를 만드는 대신 6대 요소에 에이전트 통제 계층을 더하는 방향을 제시했다. 최소권한은 스스로 판단·실행하는 범위까지 제한하는 '최소 자율성'으로, 접속 시점 인증은 행동하는 매 순간의 지속 검증으로, 신원 관리는 소유자·위임 관계·생애주기를 아우르는 에이전트 신원 관리로 넓힌다는 것이다. 추진은 ▲AI 자산 인벤토리를 통한 가시성 확보(섀도 AI 포함) ▲에이전트 생성·승인·운영·점검(AI 레드티밍)·폐기의 거버넌스 ▲구성의 안전(AISPM)과 행동의 안전(AIDR) 기반 실시간 탐지·대응의 3단계로 나눠 순차적으로 진행하고 있다. 금융·통신·제조 현장의 도입 전략과 AI 보안 기술 발표 이어져 이 밖에도 현장 중심의 발표가 이어졌다. 백민경 안랩 팀장은 N2SF 등 정책 환경에서 제로트러스트 신뢰체계를 구축하는 전략과 적용 사례를, 김주태 프라이빗에이아이 부사장은 금융권 제로트러스트 허브의 구축·확산 전략을 소개했다. 박종찬 KB국민은행 대리는 AI 레드티밍을 통해 AI 시스템의 신뢰를 검증하고 위협에 대응하는 방안을 발표했다. 세 번째 세션에서는 양봉열 로그프레소 대표가 XDR 기반 제로트러스트 이행 전략을, 백주호 SGA솔루션즈 이사가 마이크로세그멘테이션 기반의 가상 패칭 플랫폼으로 AI 보안위협에 대응하는 전략을 설명했다. 네 번째 세션에서는 이재형 KISA 팀장이 '에이전틱 AI 보안위협 대응 정책연구'를 주제로, 기존 제로트러스트 가이드라인 2.0을 에이전틱 AI 환경으로 확장하는 'AI-ZT 안내서(안)'의 방향을 소개하고 연내 안내서가 발간될 예정임을 언급했다. 마지막으로 김현곤 스마트M2M 이사는 보안특화 LLM과 에이전트 기반의 사이버보안 취약점 탐지 기술을 발표했다. "신뢰는 '매 순간 검증'으로"… 정책·표준·기술·현장이 하나의 원칙으로 이날 발표를 관통한 메시지는 하나였다. AI가 권한을 쥐고 직접 행동하는 환경에서는 로그인 시점의 한 번의 인증이 아니라 행동하는 매 순간의 검증이 신뢰의 기준이 돼야 한다는 것이다. 신원과 위임(옥타코), 공격자 관점의 검증(엔키화이트햇, KB국민은행), 통신망과 인프라 접근제어(ETRI, SGA솔루션즈), 기업의 도입 경험(LG유플러스, 로그프레소, 프라이빗에이아이, 안랩), 그리고 국가 차원의 안내서 마련(KISA)이 각기 다른 층위에서 같은 방향을 가리켰다. 이번 워크숍은 정책 담당자와 연구자, 기업 실무자가 한자리에서 에이전틱 AI 시대의 보안 과제를 두고 서로의 기준과 경험을 맞춰 본 자리였다는 점에서 의미가 크다. 제로트러스트가 개념 논의를 넘어 AI 에이전트까지 포괄하는 국내 실천 체계로 자리 잡으려면 학계의 연구와 산업계의 구현 경험, 정부의 정책이 맞물려야 하며, 연구회는 이를 위해 연구 교류와 정책 제안, 표준화 협력으로 이어지는 가교 역할을 하겠다는 계획이다. 이석준 위원장 "예측할 수 없다면, 모든 접근과 행위를 지속적으로 검증해야" 이나 오후 5시 30분 열린 개회식은 박정수 강남대 교수 사회로 진행됐다. 이석준 제로트러스트연구회 위원장(가천대 스마트보안학과 교수)은 개회사에서, 지난해 첫 워크숍이 "제로트러스트란 무엇인가"를 함께 묻는 자리였다면 올해는 "그 질문이 한층 절박해졌다"고 말했다. 이 위원장은 지난 7월부터 최근까지 글로벌 AI 기업들의 AI 모델이 테스트 도중 환경을 벗어나 실제 외부 시스템에 접근한 사례를 공개했다며, "대부분 시험 환경의 허술함이 겹친 사고였지만, 그만큼 같은 일이 언제든 현실에서 일어날 수 있다는 뜻이기도 하다"고 짚었다. 만든 사람조차 AI가 다음 순간 무엇을 할지 완전히 예측하기 어려운 시대가 왔다는 것이다. 이 위원장은 "예측할 수 없다면, 우리가 할 수 있는 일은 하나"라며 "누구도, 무엇도 기본적으로 신뢰하지 않고, 모든 접근과 행위를 지속적으로 검증하는 것"이라고 강조했다. "신뢰는 한 번 부여하고 끝나는 것이 아니라, 매 순간의 검증을 통해 만들어 가는 것"이라는 설명이다. 그는 이날 AI 레드티밍에서 에이전틱 AI의 신원과 거버넌스, O-RAN, 금융·통신 현장 사례에 이르기까지 오간 논의가 "모두 이 하나의 원칙으로 이어져 있었다"고 평가했다. 또한, "학계 연구와 산업계의 구현 경험, 정부 정책이 서로 맞물려야 한다"며 "제로트러스트연구회는 앞으로도 이 세 주체가 한자리에서 문제를 공유하고, 이를 연구 교류와 정책 제안, 표준화 협력으로 이어 가는 가교 역할을 하겠다"고 밝혔다. 그러면서 "오늘이 그 출발점이 되기를 바란다"고 말했다. 이어 이정현 한국정보보호학회 수석부회장(숭실대 교수)이 환영사를, 이종혁 과학기술정보통신부 정보보호산업과장이 축사를 했으며, 경품 추첨을 끝으로 행사가 마무리됐다.

2026.10.15 18:10방은주 기자

티빙, 제로 트러스트 보안 강화..."접속부터 권한까지 상시 검증"

티빙이 모든 사용자와 기기의 접근을 검증하는 제로 트러스트 기반으로 보안 체계를 재정비했다. 앱과 웹의 인증부터 사내 시스템 접근 권한, 클라우드 이상행위 탐지까지 보안 범위를 넓히고 AI를 활용한 위협 대응 기술도 도입한다. 티빙은 고객 정보 보호를 강화하기 위해 제로 트러스트를 중심으로 서비스와 클라우드 보안 체계를 재구축했다고 23일 밝혔다. 제로 트러스트는 내부와 외부를 구분해 특정 접근을 신뢰하는 기존 방식과 달리 사용자와 기기, 접근 권한 등을 지속적으로 확인하는 보안 원칙이다. 티빙은 철저한 접근 검증, 최소 권한, 침해 가정, 지속 검증 등 4개 원칙을 보안 체계 전반에 적용했다. 우선 앱과 웹 전체 구간에서 인증 토큰을 검증하고 이전 버전 앱 이용자는 최신 버전으로 업데이트하도록 조치했다. 변조된 앱을 탐지해 차단하는 기술 적용도 검토한다. 사내 시스템 접근 권한은 업무에 따라 세분화했다. 필요한 범위에서만 시스템에 접근할 수 있도록 권한과 사용 기간을 관리하고, 실제 침해 사고가 발생할 가능성을 전제로 상황별 대응 절차도 구체화했다. 클라우드에서는 비정상적인 움직임을 실시간으로 확인한다. 이상 접근이 발생하면 이를 탐지해 알림을 보내는 체계를 마련했으며 향후 클라우드 계정과 권한까지 모의해킹·취약점 진단 범위를 확대할 계획이다. 고객 정보와 직접 관련된 보안 장치도 손봤다. 앱 서명키와 디지털저작권관리(DRM) 키를 교체하고 로그인과 세션 검증 구조를 강화했다. 비밀번호 저장 방식도 bcrypt 기반 알고리즘으로 전환했다. 개발·업무 환경에 대한 보안도 강화했다. 소스코드에 포함될 수 있는 비밀정보는 별도 관리 시스템으로 옮기고 저장 단계에서 이를 자동 차단하도록 했다. 이상 접근 탐지 체계를 구축하고 전 임직원 PC에는 엔드포인트 탐지 대응(EDR) 솔루션을 적용했다. 티빙은 추가적인 보안 투자도 이어간다. 자격증명 관리 도구와 소스코드 분석·취약점 관리 솔루션 도입을 검증하고 외부 보안 전문가 등이 취약점을 찾아 신고하면 보상하는 버그바운티 도입도 검토한다. AI 기반 보안 위협 탐지·차단 기술을 활용해 실시간 대응 능력도 높일 계획이다. 티빙 관계자는 “고객 정보 보호를 최우선 과제로 두고 보안 체계를 지속적으로 점검하며 실제 조치로 이어질 수 있도록 보안 수준을 강화하고 있다”며 “제로 트러스트 원칙에 기반한 접근·권한 관리와 침해 대응 체계를 고도화하고 AI 기반 위협 탐지 등 차세대 보안 기술에 대한 투자도 지속하겠다”고 말했다.

2026.09.23 10:39박수형 기자

[단독] 디센트 월렛 자산유출 110건으로 늘어…전문가 "개인키 난수생성 문제"

아이오트러스트 모바일 월렛(지갑)에서 비정상적인 자산 유출이 늘고 있다. 회사는 공격자가 이용자 월렛의 개인키를 유추했을 가능성을 유력하게 들여다보고 있다. 18일 아이오트러스트에 따르면 현재까지 디센트 앱 월렛에서 비정상적인 자산 이동 관련 이용자 신고는 약 110건 접수됐다. 지난 16일 디센트 앱 월렛에서 비정상적으로 자산이 이동했다는 이용자 신고가 접수됐던 시기 알려진 국내외 피해 규모보다 5배 늘어났다. 당시만 하더라도 피해 규모는 국내외 이용자 약 20명, 1억 5000만원 상당 리플(XRP)이 이동했다고 확인됐으나, 신고가 이어지면서 피해 규모도 확대되고 있다. 아이오트러스트는 정확한 유출 규모를 파악 중이다. 유출 자산은 리플이 대부분을 차지하는 가운데 비트코인·테더·트론(TRX) 등도 포함됐다. 해당 자산은 현재 해커 소유로 추정되는 지갑 11개에 분산돼 있으며, 회사는 경찰청 사이버수사대와 국내외 가상자산 거래소 등에 해당 주소 자산 동결을 요청한 상태다. 다만 지난 16일 이후로 접수된 모든 비정상적 자산 이동이 해킹 공격과 연관된 것인지 회사 측이 조사 중에 있다. 해킹 원인, 단순한 방식의 '난수 생성' 유력 회사는 현재 가장 유력한 해킹 원인으로 과거 버전 모바일 앱 월렛의 난수 생성 문제를 들여다보고 있다. 그 중 지난해 11월 5일 이전 버전 앱 지갑에서 문제가 있는 것으로 파악했다. 앱 월렛을 만들면 복구키인 니모닉 코드가 생성되는데, 월렛 앱을 삭제하더라도 이 코드만 있다면 다른 기기에서 같은 월렛을 복구할 수 있다. 니모닉 코드는 복잡한 숫자로 이뤄진 난수를 기반으로 한다. 이때 충분히 예측하기 어려운 난수가 생성돼야 공격자가 개인키를 역산하거나 추측하기 어렵다. 이를 위해선 난수 생성에 사용되는 변수가 충분해야 하는데, 실제 생성 가능한 값의 범위가 좁아지면 공격자가 개인키를 유추할 가능성이 커진다. 즉, 아이오트러스트의 앱 월렛은 난수 생성 변수가 상대적으로 단순했을 가능성이 제기된다. 실제로 최근 인공지능(AI) 활용도가 높아지면서 해커의 난수 예측 가능성도 높아졌다는 것이 회사 측 설명이다. 전문가들도 난수 생성 방식에 문제가 있었을 가능성에 동의했다. 오현옥 한양대 공대 교수는 “가장 의심되는 것은 과거 앱에서 니모닉 코드를 만들거나 거래에 서명할 때 사용한 난수가 충분하지 않았을 가능성이 있다”며 “가상자산 지갑은 처음에 매우 예측하기 어려운 난수를 만들어 복구 문구와 개인키를 생성해야 하는데, 이 난수의 실제 복잡도가 낮았다면 공격자가 가능한 후보를 계산해 개인키를 찾아낼 수 있다”고 분석했다. 황석진 동국대 교수도 “피해 지갑이 특정 구버전에 집중됐다면 난수 생성이나 시드 생성 과정 취약 가능성을 면밀히 검증할 필요가 있다”며 ”다만 아직 원인이 확정되지 않은 만큼 피싱이나 개인키 유출 가능성도 함께 조사해야 한다”고 설명했다. 스미싱으로 인한 니모닉 코드 유출 가능성도 또 다른 해킹 원인 가능성으로 스미싱을 통한 니모닉 코드 유출이 거론된다. 앞서 지난 12일 하드웨어 월렛 펌웨어 업데이트를 사칭한 스미싱에 주의하라는 경고가 텔레그램 등 소셜네트워크서비스(SNS)를 통해 확산됐다. 회사 내부 조사 결과에 따르면, 공격자는 이용자들에게 디센트, 렛저 등 하드웨어 월렛 제조사를 사칭한 문자메시지를 보내 피싱 사이트 접속을 유도한 뒤 니모닉 입력이나 지갑 연결, 트랜잭션 서명 등을 요구해 자산을 탈취했을 가능성이 나온다. 회사가 이용자 제보를 토대로 해당 사이트 접속을 시도했을 당시에는 이미 사이트가 폐쇄된 상태였다. 아이오트러스트 관계자는 “이용자가 스미싱 문자를 통해 관련 정보를 입력했을 가능성도 배제하기 어렵다”며 “다만 현재 스캠을 이번 해킹 1차적인 원인으로 보고 있지는 않다”고 말했다. 회사 “하드웨어 월렛은 영향 없어” 아이오트러스트는 이번 해킹이 디센트 하드웨어 월렛과 무관하다는 점을 강조했다. 앱 월렛과 하드웨어 월렛은 개인키와 난수를 생성·관리하는 보안 구조가 다르기 때문이다. 모바일 앱 등 인터넷에 연결된 핫월렛은 소프트웨어가 제공하는 암호학적 난수 생성 기능 등을 이용해 난수를 만든다. 이때 주 재료로 활용하는 것이 난수 생성 시간이다. 반면 하드웨어 월렛은 전용 보안칩의 하드웨어 난수 생성기 등을 이용해, 소프트웨어 대비 칩 온도나 이물질 유무 등 훨씬 많은 변수를 활용하는 것이 특징이다. 또 개인키를 외부로 노출하지 않은 채 거래 서명을 처리하도록 설계됐다. 프랑스 하드웨어 월렛 기업 렛저의 '렛저 나노 X', '렛저 스택스' 등도 이러한 하드웨어 월렛에 해당한다. 오현옥 교수는 “디센트 하드웨어 월렛은 EAL6+ 인증 보안칩 내부에서 난수 생성과 개인키 보관, 서명 등을 처리하는 구조이기 때문에 앱 월렛과 보안 구조가 다르다”며 “현재까지 공개된 내용만으로는 하드웨어 월렛의 보안칩 자체가 공격당했다고 보기는 어렵다”고 설명했다. 오 교수는 “하드웨어 월렛에서 생성한 복구 문구를 앱 월렛에 직접 입력했다면 그 순간부터 앱 쪽 보안 문제 영향을 받을 가능성이 있다”고 또 다른 가능성을 제시했다. 전문가 “구버전 앱 난수·개인키 처리 과정 살펴봐야” 복구 문구를 생성할 때 사용된 난수뿐만 아니라 거래 서명 과정에서 사용되는 난수와 개인키 처리 과정 전반을 조사해야 한다는 제언도 나온다. 오현옥 교수는 “아이오트러스트가 구버전 월렛 앱에서 실제 송금이나 서명을 한 지갑까지 위험 대상으로 보고 있는 점을 고려하면 복구 문구 생성에 사용된 난수뿐 아니라 거래 서명에 사용된 난수나 서명 과정에서 개인키를 처리하는 방식에 문제가 있었는지도 함께 확인할 필요가 있다”고 말했다. 스미싱 역시 실제 공격 시도일 가능성이 있지만 이번 자산 유출의 직접적인 원인이라고 단정하기는 어렵다고 봤다. 오 교수는 “피해자들의 공통점이 과거 버전 앱 월렛을 사용했다는 점이라면 앱 자체 취약점 가능성을 우선적으로 조사할 필요가 있다”고 강조했다. “자산, 안전한 하드웨어 월렛으로 옮겨야” 아이오트러스트는 디센트 앱 월렛 이용자들에게 보유 자산을 안전한 하드웨어 월렛으로 이전할 것을 권고하고 있다. 아이오트러스트 관계자는 “가장 중요한 것은 이용자들에게 안전조치를 안내하는 것”이라며 “디센트 월렛 앱에 자산을 보유한 이용자들에게 자산을 하드웨어 월렛으로 옮겨달라고 당부하고 있다”고 말했다. 황석진 동국대 교수도 “비수탁형 지갑은 탈취 후 회수가 매우 어렵기 때문에 위험 버전을 신속히 특정하고 이용자에게 새 지갑으로 자산을 이전하도록 안내하는 것이 우선”이라고 강조했다.

2026.09.18 12:20홍하나 기자

"랜섬웨어, 네트워크 분할·ZT로 확산 방지"

"랜섬웨어의 실제 피해 규모는 공격자가 내부 네트워크에서 얼마나 자유롭게 이동하냐느에 따라 결정될 수 있습니다." 박정수 강남대 교수는 16일 개최한 '제5회 랜섬웨어 레질리언스 컨퍼런스'에서 이같이 강조했다. 그는 이날 '랜섬웨어 횡적 이동 방지: 제로트러스트 구현을 위한 네트워크 세그멘테이션(분할)'을 주제로 발표했다. 박 교수는 랜섬웨어 공격에서 공격자가 탈취한 정상적인 크리덴셜을 이용해 내부 시스템으로 이동하는 과정에 주목했다. 공격자는 피싱이나 취약점 악용, 공급망 공격 등을 통해 계정 정보를 확보한 뒤 RDP와 같은 원격 접속 수단이나 정상적인 원격 관리(RMM) 도구를 활용해 내부로 침투할 수 있다. 이후 네트워크 횡적 이동을 통해 피해를 확산한다. 이 때문에 단순히 계정이 정상적으로 인증됐다는 이유만으로 내부 시스템에 대한 접근을 허용해서는 공격 확산을 막기 어렵다는 설명이다. 이같은 문제를 보여주는 사례로 박 교수는 미국의 의료기업 체인지 헬스케어(Change Healthcare) 사고를 언급했다. 공격자는 2024년 2월 12일 크리덴셜을 탈취한 이후 약 9일 만에 랜섬웨어 공격을 수행했다. 당시 내부 네트워크 세그멘테이션과 다중인증(MFA)이 제대로 갖춰지지 않았던 점 등이 공격 확산의 요인으로 거론됐으며, 결과적으로 광범위한 업무 시스템이 마비되는 피해로 이어졌다. 박 교수는 "네트워크 세그멘테이션이 제대로 구축됐다면 공격자가 내부에서 이동할 수 있는 경로를 여러 지점에서 끊을 수 있었을 것"이라며 "특히 핵심 자산과 원격 접속 영역을 분리하지 않고 영역 간 이스트-웨스트(East-West) 트래픽을 충분히 통제하지 않으면 공격자가 내부에서 이동하면서 중요 시스템까지 접근할 수 있다. 데이터가 유출됐을 경우에도 어떤 경로를 통해 빠져나갔는지 추적하기 어려워지는 만큼, 네트워크 내부의 가시성을 확보하는 것도 중요하다"고 강조했다. 다만 박 교수는 "네트워크 세그멘테이션만으로 랜섬웨어 대응이 완성되는 것은 아니다"라며 "네트워크 위치를 기준으로 신뢰하는 방식에서 벗어나 사용자와 기기의 신원, 접근 대상 자원, 접속 상황과 행위 등 다양한 컨텍스트를 기반으로 접근을 지속 검증하는 제로트러스트(Zero Trust) 원칙이 함께 적용돼야 한다"고 설명했다. 업무 수행에 필요한 최소한의 통신과 접근만 정책적으로 허용하고, 그 접근이 실제로 적절한지 지속적으로 검증해야 한다는 것이 박 교수 발표의 핵심이다. 네트워크 세그멘테이션과 제로트러스트 철학이 반영되면 공격자가 도달할 수 있는 공격 표면을 최소화할 수 있고, 침투 이후에도 네트워크 횡적 이동이 가능한 경로도 제한할 수 있기 때문에 랜섬웨어 레질리언스(회복력) 제고에도 기여할 수 있다고 봤다. 그는 "네트워크 세그멘테이션에서 나아가 마이크로세그멘테이션 등을 통해 네트워크를 더욱 세분화하고 내부 트래픽에 대한 가시성을 확보한 뒤, 아이덴티티와 디바이스, 리소스 및 접속 상황을 고려한 지속적인 검증을 적용하면 랜섬웨어의 확산을 억제하는 데 도움이 될 수 있다"며 "세그멘테이션과 제로트러스트는 담당하는 영역과 구현 방식은 다르지만, 결과적으로 공격자가 조직 내부에서 도달할 수 있는 지점을 줄인다는 공통된 효과를 갖는다"고 분석했다. 결국 랜섬웨어 레질리언스의 핵심은 '침투하지 못하게 하는 것'에만 머물지 않는다. 박 교수는 "랜섬웨어가 조직 내부에 들어올 가능성을 전제로 하되, 침투가 곧바로 조직 전체의 침해로 이어지지 않도록 해야 한다"며 "공격자의 이동 경로와 도달 가능한 자산을 줄이고, 이후 복호화 도구와 AI 기반 대응 기술 등을 활용해 피해를 신속하게 회복하는 전주기 대응 체계가 필요하다"고 진단했다.

2026.09.17 21:54김기찬 기자

디센트 지갑 앱 노린 해킹 발생…1억 5천만원 상당 리플 탈취

국내 디지털자산 월렛 기업 아이오트러스트가 자사 모바일 월렛에서 약 1억 5000만원 상당 비정상적인 자산 이동 정황을 확인하고 이용자들에게 자산 이전을 권고했다. 16일 아이오트러스트에 따르면 회사는 이날 오전 10시께 디센트 앱 지갑에서 비정상적인 자산 이동이 발생했다는 이용자 신고 약 20건을 접수하고 긴급 조사에 착수했다. 이 가운데 2건을 제외한 나머지 신고는 해외 이용자로부터 접수됐다. 현재까지 파악된 피해 규모는 약 11만 달러(약 1억 5034만원)로, 피해 자산 대부분은 리플(XRP)인 것으로 확인됐다. 탈취된 자산은 해커가 관리하는 것으로 추정되는 8개 지갑 주소에 분산돼 있다. 아이오트러스트는 국내외 가상자산 거래소에 해당 자산에 대한 동결을 요청하고 한국인터넷진흥원(KISA)에 관련 내용을 신고했다. 아이오트러스트 관계자는 “해커가 탈취한 자산을 거래소로 옮겨야 동결 등 조치를 취할 수 있지만 현재까지 지갑에 계속 보유하고 있어 온체인상에서 직접 회수하기는 사실상 어렵다”며 “이에 대비해 리플 측에도 자산 회수 가능성을 문의한 상태”라고 말했다. 구체적인 해킹 원인은 아직 조사 중이다. 다만 아이오트러스트는 현재까지 파악한 정황을 토대로 지갑 원본 키 역할을 하는 니모닉 시드 문구 생성 과정에서 문제가 발생했을 가능성을 살펴보고 있다. 이런 점에서 범행 수법이 지난달 캐나다 보안기업 코인카이드가 공개한 공격 사례와 유사하다는 관측도 나온다. 당시 공격자는 니모닉 시드를 재현하는 방식으로 세 차례 공격을 벌여 7300개 주소에서 총 1596개 비트코인을 탈취한 것으로 알려졌다. 아이오트러스트는 이번 사고가 디센트 앱 지갑에만 이뤄진 것으로 보고 있으며, 하드웨어 지갑 자체에는 영향이 확인되지 않았다고 밝혔다. 다만 앱 지갑과 하드웨어 지갑에서 동일한 니모닉 문구를 사용한 경우에는 자산 이전을 권고했다. 회사 관계자는 “디센트 앱 지갑에 금액과 관계없이 자산을 보유하고 있거나 하드웨어 지갑에서 동일한 니모닉 구문을 사용하고 있는 경우 가능한 한 빨리 자산을 안전한 하드웨어 지갑이나 다른 신뢰할 수 있는 지갑 주소로 전송할 것을 권고한다”고 말했다.

2026.09.16 17:04홍하나 기자

"자산 식별 없는 제로트러스트는 모래성"

"'자산 식별' 없이 제로트러스트를 도입하겠다는 것은 모래 위에 성을 쌓는 것입니다." "미국은 제로트러스트 도입을 위해 '자산 식별'부터 데이터 등급 분류까지 도입하고 있는 반면, 한국은 솔루션부터 찾습니다." 한국정보보호학회가 지난 11일 개최한 '제5회 금융보안워크숍'에서 보안 전문가들은 제로트러스트 구현을 위해 '자산 식별'부터 완수해야 한다고 입을 모았다. 이날 워크숍 오전 세션에서는 금융권의 제로트러스트 구현을 위한 논의가 이어졌다. 먼저 박정수 강남대 교수는 '제로트러스트 도입을 위한 자산 식별 및 데이터 등급별 안전한 전송 방안'을 주제로 발표했다. 박 교수는 "제로트러스트 도입 선행 조건은 자산 식별이다"라며 "자산이 분류되지 않으면 다음 스텝으로 나아갈 수 없다. 제로트러스트는 식별된 자산을 위험도 기반으로 분리하고, 워크로드를 분리하며, 나아가 세그멘테이션을 적용하는 것이 필요하다. 다음 스텝은 데이터를 등급별로 통제해야 한다. 데이터의 민감도와 보안 등급을 기준으로 분류해야 한다"고 강조했다. 박 교수는 미국의 사례를 바탕으로 미국의 제로트러스트와 한국의 차이점을 지목하며, 제로트러스트 도입에 필요한 방법론을 강연했다. 박 교수는 "미국의 사례를 보면 제로트러스트를 가장 빠르게 적용하고 있는 곳은 미 국방부(DoW)"라며 "왜 DoW가 가장 빠른지를 생각해보면 사실 간단하다. 국방 분야는 데이터 등급과 자산이 잘 식별돼 있는 상태다. 그렇다 보니 제로트러스트를 접목하기에 가장 쉬운 환경이 조성돼 있는 것"이라고 설명했다. 그는 이어 "반면 한국은 거꾸로 제로트러스트 실증사업부터 진행하고 있다. 제로트러스트 구현을 위한 솔루션부터 도입하고자 한다"며 "제로트러스트는 하나의 솔루션으로 대응하는 것은 손바닥으로 하늘을 가리는 꼴이다. 그런데 실증사업 과정에서 솔루션부터 찾고 있으니 솔루션 제공 업체들은 솔루션 하나만 도입하면 제로트러스트가 구현된다는 식으로 홍보한다"고 지적했다. 제로트러스트는 한 번에 달성할 수 없기 때문에 장기간에 걸쳐 달성해야 하는 목표이고, 목표 달성을 위해서는 '자산 식별'이라는 첫 단추부터 잘 꿰야 한다는 것이다. 박 교수는 "미국 사이버보안·인프라보안국(CISA)에서는 제로트러스트 달성 과정을 등산하는 사람으로 표현해 놓았다. 이는 적절한 비유"라며 "등산로는 하나가 아니다. 체력이 부족한 사람은 차를 끌고 올라가 중턱부터 등반을 시작할 수도 있으며, 꼭 정상에 오르지 않아도 힘들면 내려오면 된다. 제로트러스트도 마찬가지로 5가지의 기준이 있고, 각 기준별로 도달하는 지점도 다르다. 또한 제로트러스트를 도입하는 기업이나 기관마다 보안 수준도 다르다"고 말했다. "금융사들, '제로트러스트 범위 넓다' 불만…'선택과 집중' 필요" 김형욱 글로웰시스템 부대표도 '금융권 제로트러스트: 자산인식부터 AI활용까지'를 주제로 발표하며, 제로트러스트 달성을 위해 자산 식별의 중요성을 재차 강조했다. 김 부대표는 "제로트러스트 컨설팅을 진행하면 많은 금융사들이 '범위가 너무 넓다'는 고민들 꺼내 놓는다. 또 '제로트러스트에서 요구하는 보안 조치를 해 놓으면 인공지능(AI)을 쓸 수 없다'고 고민한다"면서도 "이는 제로트러스트를 잘못 생각하고 있는 것이다. 제로트러스트는 한 번에 달성하는 것이 불가능한 여정이다. 인증부터 취약점, 자산식별 등 각 요소별로 성숙도 레벨에 따라 결과물이 다르게 다 나온다"고 밝혔다. 그는 "따라서 제로트러스트를 도입하고자 한다면 구현 요소 중 1~2개에 우선적으로 집중할 필요가 있다"며 "이를 위한 실질적인 구현 방법론이 나와야 한다. 이에 맞춰 단기적인 모듈화 에시를 마련하거나 규제에 관한 대응이나 특성화 내용 등을 마련할 필요가 있다. 또한 이를 각 회사별 성숙도 수준에 맞춰 단계적으로 진행하게 된다면 금융 회사들이 가진 고민을 덜어낼 수 있을 거라 생각한다"고 강조했다. 김 부대표의 발표가 마무리되고 이날 현장에서는 '금융회사의 보안 아키텍처는 80~90년대 레거시 장치가 많아 제로트러스트 철학 반영이 어렵다. 기존 환경에서 제로트러스트 철학을 반영할 수 있는 좋은 방안은 없는지' 등의 질문이 나왔다. 이와 관련해 김 부대표는 "레거시 장치가 많은 현 금융권의 보안 체계에서 제로트러스트로 발전하기 위해서는 자산 식별을 가장 우선적으로 추진해야 한다"며 "구조적인 변화를 이끌어내기에는 많은 시간이 걸리기 때문에, 자산 관리와 인식 수준이 향상되지 않은 상황에서 제로트러스트를 도입하는 것은 모래 위에 성을 쌓는 것과 마찬가지다. 따라서 현 시점에서 금융권들이 가장 먼저 해야 할 일은 자산 식별이다"라고 역설했다.

2026.09.13 09:10김기찬 기자

아이오트러스트, 케이웨더와 맞손…날씨 데이터에 지갑·보안 기술 연계

디지털자산 지갑 기업 아이오트러스트가 날씨 데이터에 디지털자산 지갑·보안 기술을 연계한 신사업을 추진한다. 아이오트러스트는 날씨 빅데이터플랫폼 기업 케이웨더와 가상자산 보상형 날씨 관측망 구축을 위한 기술 협력 업무협약(MOU)을 체결했다고 2일 밝혔다. 코스닥 상장사 케이웨더는 1997년 설립된 민간 기상사업자로 인공지능(AI) 날씨예보, 공기질 데이터 분석, AI환기청정솔루션, 기후리스크 관리솔루션을 제공한다. 두 회사는 케이웨더의 날씨데이터 사업과 아이오트러스트의 디지털자산 지갑 디센트의 자체수탁형 하드웨어 월렛, 보안 기술을 연계한 협력 모델을 만든다. 케이웨더의 블록체인, XRP 생태계 관련 사업 협력 방안을 검토한다. 주요 협력 검토 분야는 날씨데이터 탈중앙 물리 인프라 네트워크(DePIN) 프로젝트의 장비 등록과 데이터 수집, 보상 모델과 지갑 활용을 포함한 사용자 흐름 설계다. 한편 아이오트러스트는 자체수탁형 하드웨어 월렛 디센트를 개발·운영하고 있다.

2026.09.02 11:47홍하나 기자

"PQC와 제로트러스트 결합"…SGA솔루션즈·키페어 '맞손'

통합 IT 보안 전문기업 SGA솔루션즈(대표 최영철)가 제로트러스트와 양자내성암호(PQC) 기술을 결합해 보안 모델을 고도화하기 위해 PQC 전문 기업 키페어(대표 이창근·이정엽)와 힘을 합치기로 했다. SGA솔루션즈는 키페어와 'PQC 제로트러스트 사업 협력'을 위한 양해각서(MOU)를 체결했다고 19일 밝혔다. 이번 협약을 통해 양사는 공동 사업 발굴, 영업·마케팅 협력 및 판매 채널 연계 등을 추진한다. 아울러 제품·기술 정보를 교류하고 SGA솔루션즈의 제로트러스트 플랫폼과 키페어의 PQC 기술을 연동·결합해 공공·금융·국방 분야에 적용할 수 있는 보안 모델을 구체화한다. 양자컴퓨팅 기술 발전으로 현재 암호화 데이터를 수집한 뒤 향후 양자컴퓨터로 해독하는 '선수집·후해독(HNDL)' 위협이 부각되면서 공공·민간 부문에서 기존 암호체계를 PQC로 전환하려는 움직임이 빨라지고 있다. 국내에서도 산업별 시범 적용과 제도 정비 논의가 진행되며 제로트러스트 아키텍처와 양자내성 보안을 통합 설계하려는 수요가 확대되고 있다. 정부도 대응에 분주하다. 과학기술정보통신부는 '미래성장동력 7대 SEED' 프로젝트를 통해 2029년까지 오류정정이 가능한 100큐비트급 국산 양자프로세서(QPU)를 확보하고, 풀스택 양자컴퓨터 개발과 'K-퀀텀 파운드리' 구축, 양자암호통신·양자내성암호를 결합한 양자보안 체계 구축을 추진할 계획이다. 이에 따라 공공·금융·국방 등 보안 민감도가 높은 분야를 중심으로 기존 암호체계의 PQC 전환과 제로트러스트 기반 양자보안 수요가 더욱 확대될 전망이다. SGA솔루션즈는 풀스택 제로트러스트 플랫폼 'SGA ZTA'를 국내 제로트러스트 시장에 공급하고 있다. 또한 제로트러스트 실증·시범사업을 3년 연속 주관하며 공공·금융 분야의 사업 수행 역량과 레퍼런스를 입증했다. 올해는 '글로벌 표준 준용 AI 기반 한국형 제로트러스트 오픈 플랫폼 기술개발' 국책과제 주관기관으로 선정돼 개방형 응용프로그램 인터페이스(API)와 인공지능(AI) 기반 위협 분석 기술 개발을 주도하고 있다. 이를 바탕으로 공공·금융·국방 시장과 서비스형 제로트러스트(ZTaaS) 사업을 확대하며 중장기 성장동력을 강화할 계획이다. 키페어는 2011년 설립된 양자내성암호(PQC) 전문기업으로, PQC 키관리시스템(KMS) 'QORA KMS'와 하드웨어 보안 모듈(HSM), 보안칩 설계부터 암호 알고리즘·라이브러리까지 아우르는 수직 통합형 기술 역량을 보유하고 있다. 국가정보원 암호모듈 검증(KCMVP)과 지능형전력계량 인프라(AMI) 공급·운영으로 상용화 역량을 입증했으며, 최근 국방·방산 및 금융 분야로 사업을 확대하고 나스닥 상장사 BTQ Technologies의 전략적 투자를 유치해 PQC 사업 기반을 강화했다. 이창근 키페어 대표는 “제로트러스트 환경에서는 접근통제 뿐만 아니라 암호키의 생성·보관·사용 전 과정에 걸친 안전성 확보가 중요하다”며 “양사가 축적한 기술과 레퍼런스를 바탕으로 공동 실증과 사업화를 추진해 국내 제로트러스트 시장에 양자내성 보안의 새로운 기준을 제시하겠다”고 말했다. 최영철 SGA솔루션즈 대표는 “이번 MOU는 양자컴퓨팅 시대에 대응하는 차세대 보안체계를 공동 설계하는 출발점”이라며 “키페어의 PQC 기술과 SGA솔루션즈의 제로트러스트 역량을 결합해 공공·금융·국방 현장에 적용할 수 있는 PQC 제로트러스트 모델을 구현하고 사업 기회를 확대해 나가겠다”고 말했다.

2026.08.19 18:14김기찬 기자

SGA솔루션즈, 올 상반기 매출 300% '껑충'…흑자 전환도 달성

통합 IT 보안 전문 기업 SGA솔루션즈(대표 최영철)가 올해 상반기 흑자 전환 및 300%가 넘는 매출 성장세를 달성했다. SGA솔루션즈는 최근 공시를 통해 2026년 상반기 연결 기준 매출액 751억원, 영업이익 21억3000만원을 기록했다고 18일 밝혔다. 이는 전년 동기 대비 매출액은 309.4% 폭증했으며, 영업이익은 흑자로 전환한 수치다. SGA솔루션즈는 사업 포트폴리오 확장과 통합보안 사업 재편 효과가 실적에 본격적으로 반영되면서 성장과 수익성을 동시에 확보한 영향이라고 평가했다. 특히 지난해 잇단 해킹 사고가 발생했던 만큼 본업인 보안솔루션 부문에서의 성장 기반이 강화됐다. 핵심 시스템을 보호하는 서버보안 제품에 대한 수요가 확대된 것이다. 또한 클라우드 전환과 서버 인프라 증설, AIDC 구축 확대 등으로 보호 대상과 접근 경로가 늘어난 점도 서버 인프라 보안 수요를 높이는 요인으로 작용했다. 공공 부문에서는 국가 망보안 체계(N2SF) 전환에 따른 신규 보안 수요까지 빠르게 확대됐다. 사용자와단말, 접근 권한을 지속적으로 검증하고 최소 권한을 부여하는 제로트러스트 기반의 접근통제·계정인증 수요가 본격화될 것으로 회사는 전망하고 있다. SGA솔루션즈는 이러한 시장 변화에 선제 대응해 서버보안을 중심으로 엔드포인트·클라우드·접근통제·계정인증 솔루션을 연계해 N²SF와 제로트러스트 전환 수요에 총력을 다한다는 계획이다. 보안업계 특성상 하반기에 매출이 집중되는 만큼 SGA솔루션즈는 하반기 공공·금융권의 서버보안 및 제로트러스트 프로젝트 수주와 매출 전환 속도를 끌어올려 솔루션 부문의 수익성 개선을 본격화할 방침이다. 최영철 SGA솔루션즈 대표는 "AI발 사이버 공격 고도화와 N2SF 전환으로 서버보안·제로트러스트 수요가 가파르게 늘고 있다"며 "통합보안 사업을 하반기 수주·매출로 빠르게 전환해 실적 성장과 수익성 개선을 동시에 달성하겠다"고 말했다.

2026.08.18 14:44김기찬 기자

삼성생명 뚫은 아카마이, 금융권 제로트러스트 시장 정조준

아카마이가 삼성생명에 마이크로세그멘테이션 기반 보안 솔루션을 구축하며 국내 금융권 제로트러스트 시장 공략에 속도를 내고 있다. 대형 보험사 실명 레퍼런스를 확보한 만큼 은행·카드·증권 등 금융권 보안 수요 확대에 탄력이 붙을 것으로 보인다. 아카마이 테크놀로지스는 최근 삼성생명에 '아카마이 가디코어 세그멘테이션' 구축을 완료했다고 9일 밝혔다. 이번 사업은 삼성생명의 제로트러스트 보안 체계 고도화를 위한 것으로, 핵심 업무 시스템을 세분화해 보호하고 내부 통신 흐름에 대한 가시성을 높이는 데 초점이 맞춰졌다. 최근 금융권은 클라우드 활용, 인공지능(AI) 도입, 디지털 서비스 확대가 맞물리며 기존 경계 보안 중심 체계만으로 내부 위협을 통제하기 어려워지고 있다. 외부 침입을 막는 방식만으로는 계정 탈취, 권한 오남용, 랜섬웨어 확산, 내부 네트워크 횡적이동에 대응하는 데 한계가 있기 때문이다. 마이크로세그멘테이션은 이런 보안 공백을 줄이는 기술로 꼽힌다. 네트워크와 시스템을 업무·애플리케이션·사용자 그룹 단위로 나눠 필요한 통신만 허용하고, 공격자가 한 시스템에 침투하더라도 다른 시스템으로 이동하는 경로를 제한한다. 삼성생명은 아카마이 가디코어 세그멘테이션을 액티브 디렉터리(AD)와 연동해 사용자 그룹 프로필에 따른 보안 정책을 적용했다. 윈도우와 리눅스 환경에서 실제 통신 주체인 프로세스 단위까지 통제할 수 있어 기존 IP 기반 보안 정책보다 세밀한 내부망 관리가 가능하다. 이번 구축으로 삼성생명은 인프라 전반의 통신 흐름과 자산 간 의존성, 기존에 파악하기 어려웠던 레거시 애플리케이션과 트래픽을 식별했다. 1단계 정책 적용을 마친 뒤 내부적으로 적용 범위 확대도 검토하고 있다. 이번 일을 기점으로 아카마이는 국내 금융권 영업을 확대하는 데 속도를 낼 수 있을 것으로 보인다. 금융사는 보안 솔루션 도입 때 장애 리스크와 규제 준수, 감사 대응을 중요하게 보기 때문에 동종 업계 레퍼런스가 구매 판단에 큰 영향을 미친다는 점에서다. 이에 아카마이는 삼성생명을 앞세워 국내 금융사를 대상으로 제로트러스트 보안 수요를 공략하는데 더 적극 나설 것으로 관측된다. 또 아카마이는 국내에서 콘텐츠전송네트워크(CDN), 디도스(DDoS) 방어, 웹 보안 기업 이미지가 강했으나, 이번 일로 엔터프라이즈 보안 사업자로 입지를 넓힐 수 있을 것으로 전망된다. 이경준 아카마이코리아 대표는 "금융 기관들은 혁신과 운영 민첩성, 사이버 보안 회복탄력성 사이에서 균형을 잡아야 하는 중요한 전환기를 지나고 있다"며 "삼성생명의 제로트러스트 보안 모델 도입은 기업이 비즈니스 및 기술 현대화를 추진하는 동시에 어떻게 보안을 강화할 수 있는지 보여주는 모범 사례"라고 밝혔다. 삼성생명 IT보안 담당자는 "디지털 환경이 지속적으로 진화함에 따라 내부 보안 통제를 강화하는 것이 그 어느 때보다 중요해졌다"며 "아카마이 가디코어 세그멘테이션 도입을 통해 운영 효율성을 유지하면서도 인프라 전반의 가시성을 개선하고 한층 더 세밀한 보안 통제를 구현할 수 있게 됐다"고 말했다.

2026.07.09 19:43장유미 기자

업의 본질 집중하는 KT...'제로트러스트' 기반 네트워크 초격차 천명

KT가 총 18조원의 투자 계획을 밝히면서 절반이 넘는 12조원은 '네트워크'와 '정보보안'에 할애했다. 박윤영 KT 대표가 취임 약 100일을 맞아 내놓은 경영 전략의 일환이다. AI 시대가 본격화 되면서 모델 개발과 모델 학습을 위한 대규모 컴퓨팅 인프라 등에 시선이 쏠리는 가운데 KT는 'AX 플랫폼 컴퍼니'라는 새 비전을 제시했다. 동시에 현재와 미래를 위한 투자는 기본기인 '통신'에 집중하기로 했다. 박 대표가 그간 강조해 온 '단단한 본질'이 우선이란 뜻이다. 지난해 벌어진 사이버 침해사고와 같은 상황을 되풀이할 수 없다는 강한 의지도 엿보인다. 아울러 AX 비즈니스도 결국 기본적으로 통신사의 기본인 '연결' 기반에서 이뤄지는 사업인 만큼, 성장을 위해서라도 본질에 투자하겠다는 전략적 판단으로 읽힌다. 박 대표는 6일 기자 간담회 자리에서 “AX 플랫폼 컴퍼니를 열 명에 물어보면 모두 다른 생각을 하고 있고 다 틀린 말도 아니다”며 “우리가 생각하는 AX 플랫폼 컴퍼니는 어떤 작은 고객도 AI로 성장하고 발전할 수 있게, KT는 연기를 하는 배우가 아니라 고객이란 배우가 설 수 있는 무대와 조명을 만드는 일종의 인에이블러(Enabler)를 하겠다는 것”이라고 운을 뗐다. 그러면서 “(거듭 강조해 온) 단단한 본질이라는 것의 첫 번째는 안전하다는 것”이라며 “외부 공격이나 내부 장애가 없어야 그 위에 AI 데이터센터를 올리고 (피지컬AI 등을 겨냥한) AI 엣지를 만들 수 있고, B2C든 B2B든 고객에 더 나은 모습을 제시할 수 있다”고 강조했다. 이에 따라, KT는 단단한 본질을 위해 안전한 보안 기반의 네트워크 투자에 적극 나선다는 방침이다. 12조원 투자 계획 가운데 정보보안이 4조원, 네트워크 분야가 8조원이다. 박 대표는 “새로운 서비스도 물리적인 네트워크 위에 올라오고, 고객이 늘어나면서 IT 시스템이 새롭게 붙게 되는데 여기 고객 정보가 담겨있었다”며 “출발점이 다르다 보니 정보보안과 네트워크 사이의 교류가 부족했고 통합적인 관점에서도 관리가 부실했다”고 토로했다. 이어 “기본적으로 회사를 제로트러스트 체계로 바꿔나가고 있다”면서 “정보보안을 위해 향후 3년간 4조원 투자를 시작했다”고 밝혔다. 네트워크에 대해서는 당장의 고객 서비스 품질과 함께 미래에 필요한 수준을 찾아가겠다는 점을 분명히 했다. 박 대표는 “음영 지역이나 신호가 약한 곳에 당연히 투자해야 하는데 이보다 더 중요한 것은 미래에 어떤 네트워크의 모습을 준비해야 하느냐는 것”이라며 “6G, 양자암호 그리고 화두가 되는 위성 네트워크도 준비하겠다”고 말했다. 그러면서 “모든 네트워크를 안전하게 운영하려면 어떤 자산이 어떻게 구성됐는지 빈틈없이 관리하는 게 중요하다고 여기고 있다”면서 “이를 위해 3년간 네트워크 분야에 8조원을 투자하겠다”고 설명했다. 6G에 대해서는 “B2B 영역에서 고효율 커뮤니케이션이나 스마트팩토리 현장에 적용되는 점을 바라보고 있고 6G의 다른 축으로는 위성통신과 지상 게이트웨이 연결에서 활용하는 방안을 살피고 있다”고 했다. 아울러 위성과 관련해 “위성통신은 위성체 개발, 궤도로 올리는 발사체, 위성을 제어하고 관리하는 토탈 운영 등 세 가지 영역으로 나뉘는데 계열사 KT SAT가 위성 운영에 특화된 회사”라면서 “최소한 위성통신에서 연결의 주체는 한국이 가져야 하고, KT SAT는 그런 측면에서 최선을 다하고 있다”고 덧붙였다.

2026.07.06 18:04박수형 기자

라온시큐어 "보안 3대 화두 ZT·에이전틱 AI·PQC 적극 대응"

라온시큐어(대표 이순형, 이정아)가 제로트러스트, 에이전틱 AI 보안, 양자내성암호(PQC) 등 중요성이 부각되고 있는 보안업계 이슈에 적극적으로 대응하고 있다. 라온시큐어는 2일 자사 회의실에서 '라온시큐어 미디어 스터디 세션'을 개최하고, 취재진에 제로트러스트, 에이전틱 AI 보인, PQC 등을 중심으로 강연을 진행했다. 이번 행사는 보안 분야에 출입하는 기자들을 대상으로 부각되고 있는 보안 이슈에 대해 설명하고, 라온시큐어의 대응 방향을 소개하기 위해 2024년에 이어 올해 다시 개최됐다. 먼저 김형관 라온시큐어 이사가 제로트러스트 관련 라온의 대응 방향에 대해 설명했다. 김 이사는 "제로트러스트의 가장 큰 핵심은 인증 체계에 대한 보안이고, 다음이 마이크로세그멘테이션, 네트워크 보안 등이다"라며 "이에 라온도 PC나 모바일 환경에서의 다양한 보안 기능과 사용자 인증, 권한 통제 보안 체계를 갖췄지만, 이제는 네트워크나 인프라시스템, 보안 장비 영역까지도 함께 연계하거나 통합해서 지원해야 하는 상황이다"라고 밝혔다. 구체적으로 보안 정보 및 이벤트 관리(SIEM), 보안 오케스트레이션 자동화 및 대응(SOAR), 위협 인텔리전스(TI) 솔루션과의 연계가 필요하다는 것이 김 이사의 주장이다. 그는 "또한 에이전틱 AI 시대가 되면서 AI가 자율적으로 판단을 하는 부분에 있어 얼마나 안정적으로 운영하고, 규정이나 정책, 워크플로우를 자동화하는 과정에서 제로트러스트 기준으로 대응할 수 있는 체계를 반영해야 한다"고 말했다. 이어 김태진 라온시큐어 최고기술책임자(CTO)는 에이전틱 AI 환경에서 라온시큐어가 수행하는 AI 에이전트의 권한 승인, 신원 관리 체계를 언론사의 업무구조에 빗대 설명했다. 김 CTO는 "언론사의 업무 체계가 어떻게 구성되는지를 정확하게 알지는 못하지만, 기사를 작성하고, 송고하고 승인하는 과정에서 각각의 에이전트가 동작한다고 가정하면 해당 에이전트에 신분증을 부여하고, 이를 인간이 승인하는 체계를 라온시큐어가 마련하고자 한다"면서 "AI 에이전트를 식별하고, 승인·통제할 수 있게 되면, 책임 추적이 가능해진다. 또한 권한이 없는 에이전트가 권한 밖의 행위를 수행하려고 할 때 보안 정책에 기반한 차단 조치가 이뤄진다"고 말했다. 그는 이런 체계를 구성해나가는 것이 라온시큐어가 지향하는 에이전틱 AI 시대의 보안이라고 밝혔다. 라온시큐어는 에이전틱 AI 관리(AAM) 플랫폼을 오늘 9월 공개하고, 에이전틱 AI가 권한 내에서만 안전하게 판단·실행할 수 있는 체계를 마련하겠다는 계획이다. 박정환 라온시큐어 프로는 PQC의 기본 개념과 라온시큐어가 의료 분야 PQC 실증 사업에서 거둔 성과에 대해 소개했다. 라온시큐어는 병원시스템과 통신 구간을 양자내성암호로 구현해 강력한 보안 체계를 마련하고, 전자서명과 연계하는 등 성과를 냈다. 또한 가상 키패드 역시 PQC 기반 암호화 적용해 병원 내 민감 데이터가 외부로 유출되는 것을 원천 차단하겠다는 복안이다.

2026.07.02 23:56김기찬 기자

'디지털 신뢰 회복' 칼 빼든 정부…실효성 위해 '디테일' 보완해야

지능화된 인공지능(AI)이 일상의 모든 영역을 파고드는 대전환의 시대, 기술의 화려한 도약만큼이나 시급한 과제는 바로 그 이면에 자리한 '디지털 신뢰'를 단단히 구축하는 일입니다. 지디넷코리아는 "AI 기술이 서 말이라도 보안으로 꿰어야 보배"라는 슬로건 아래, 약 두 달간 '2026 디지털 트러스트' 연중 기획 연재 및 캠페인을 진행합니다. 해킹·딥페이크·가짜뉴스·랜섬웨어 등 진화하는 보안 위협 속에서 단순한 기술 편익을 넘어 '안전한 AI 생태계'를 조성하기 위한 공론의 장을 마련하고, 기술과 보안이 공존하는 지속 가능한 디지털 미래의 이정표를 제시하고자 합니다. [편집자주] 무너진 '디지털 트러스트'를 회복하기 위해 정부가 부단히 노력하고 있다. 인공지능(AI)을 활용한 공격자들의 고도화된 공격에서부터 사이버 환경을 안전하게 지키기 위한 대책들을 연달아 내놓고 있다. 이런 가운데 제로트러스트, 국가 망보안 체계(N2SF) 등 보안 신기술 활용 및 가용성을 제고하겠다는 복안이다. 그러나 정부가 제시한 사이버 보안 정책 곳곳에는 여전히 미흡한 부분이 포착된다. 올해의 절반이 지나가고 있는 시점에서 기업들의 침해 사고도 계속되고 있다. 최근 사이버 보안 관련 주무부처가 제시한 정보보호 대책을 큰 틀에서 살펴보면, 화이트해커의 권한 확대를 통해 선제적으로 보안 취약점을 찾아내고 AI발 취약점 폭증에 대비해 국가 주도로 AI 기반 취약점 대응에 나서는 것으로 요약된다. 또한 이같은 조치에도 불구하고 반복적으로 침해사고가 발생하거나 보안상 부주의가 발견될 경우 매출액의 10% 과장금을 통해 엄벌하겠다는 것으로 보인다. '합법적 취약점 탐지' 길 열렸지만…쥐꼬리 포상금·기업 기피는 숙제 올해 초 과학기술정보통신부(이하 과기정통부)가 '제2차 정보보호 종합대책'을 통해 화이트해커를 활용한 취약점 수집 기반을 조성하겠다고 밝힌 가운데, 관련 제도의 구체적인 윤곽이 드러났다. 정부는 올해 안으로 기업과 기관이 일정 조건 하에 자사 정보통신자산의 취약점 발굴을 허용하는 '취약점 공시 및 조정/취약점 제보 제도(CVD/VDP)'를 도입할 예정이다. 화이트해커들이 법적 테두리 안에서 활동할 수 있도록 신고 절차와 면책 조건 등 명확한 기준을 마련하는 것이 핵심이다. 대책 마련에 착수한 이후 지난달 말께 국가인공지능전략위원회(위원장 이재명 대통령)와 과학기술정보통신부, 국가정보원, 한국인터넷진흥원(KISA)은 공동으로 CVD/VDP 시범사업에 착수했다. 화이트해커가 회사 취약점을 합법적으로 찾고 신고할 수 있게끔 기반을 마련했다. 미국, 유럽연합(EU) 등 선진국은 공공기관을 중심으로 이 같은 상시 취약점 탐지 제도가 이미 정착해 있다. 반면 국내에서는 그간 정보통신망법상 허가 없는 내부망 접근 시도가 '침해행위'로 간주돼, 화이트해커들이 선의 목적으로 취약점을 탐지하는 것조차 불가능했다. 정부는 5개월간 시범 운영한 후 내년에 본격 제도를 시행할 예정이다. 이번 시범사업에는 민간기업 7곳과 공공기관 8곳 등 총 15곳이 참여한다. 기존 모의해킹이나 분기별 신고 포상제는 가상 망이나 특정 제품을 대상으로 한 일시적 이벤트 형태였으나, 이번 제도는 실제 운영 망을 대상으로 연중 상시 운영된다는 점이 다르다. 시범사업은 이달부터 11월까지 약 5개월간 취약점 탐색·신고·조치 활동이 이어진다. 이에 대한 결과는 연말께 공개되며, 향후 시범사업을 통해 레퍼런스를 쌓고 완전한 제도화는 내년부터 본격화될 방침이다. 정부는 제도 확산을 위해 공공은 기관 평가 연계, 민간은 보안인증 가점·공공조달 우대, 화이트 해커는 신고 포상제 활성화로 초기 참여 유도한다는 방침이다. 특히 침해사고 발생 시 개인정보보호법에 따라 부과되는 과징금도 CVD/VDP 운영 노력을 감경 요소로 반영키로 했다. 또한 화이트 해커와 제도 참여 기업·기관, 정부간 협력 네트워크 구축 및 홍보 캠페인, 정부표창 수여 등 인식 개선을 추진할 계획이다. 선제적인 취약점 발굴을 위해 화이트해커의 취약점 발굴을 법적으로 허용하기 위한 제도는 마련 중이지만, 일부 한계점이 포착된다. 여전히 일부 공공기관 및 기업에만 한시적으로 운영되고 있으며, 화이트해커에게 유의미한 동기부여를 하지 못하고 있다는 점이다. 취약점을 공개해야 한다는 리스크를 최소화하기 위해 기업·기관·화이트해커 실명은 본인 의사를 고려해 익명 공개 허용했지만, 여전히 기업들은 보안 취약점을 공개해야 한다는 점을 껄끄러워한다. 익명을 요구한 금융권 보안 담당자는 "취약점을 빠르게 조치하기 위해 버그바운티(취약점 포상제)나 현행 CVD/VDP 확산의 필요성에 대해서는 공감하지만, 많은 기업들이 취약점을 공개해야 한다는 것을 껄끄러워 한다"며 "버그바운티 프로그램은 어디까지나 기업이 자발적으로 참여해야 의미가 있는데, 익명이라고 하더라도 '굳이 안하고 말지'하는 조직들이 적지 않을 것"이라고 짚었다. 취약점을 찾아내는 화이트해커에게도 신고 포상제 활성화가 크게 와닿지 않는 모양새다. 정부에 따르면 우수 취약점을 발굴한 화이트해커에게는 총 16점의 상점과 2000만원 규모의 상금이 수여된다. 글로벌 기업의 경우 취약점 제보에 대한 포상금을 '억 단위'로 지급한다. 구글의 경우 2023년 보상금 총액이 약 1200만 달러로 집계됐으며, 메타는 2024년 400만달러 이상을 지급하기도 했다. 오픈AI도 챗GPT 서비스 결함에 최대 2만달러까지 포상금을 지급한다. 또한 찾아낸 취약점을 다크웹 마켓에서 유통되는 금액보다 낮다. 브리치포럼스, 다크포럼스 등 다크웹 불법 해킹 포럼에서는 유명 기업의 취약점이나 최고 관리자 권한을 수만 달러, 1비트코인 이상의 금액에 거래한다. 2024년 브리치포럼스에는 국내 대기업 방화벽 서버의 최상위 관리자 권한을 1만달러에 판매한다는 게시글이 올라오기도 했다. 박기웅 세종대 정보보호학과 교수는 "화이트해커 활동 범위 자체를 늘리는 이번 정책으로 새내기 및 초심자 화이트해커에게는 충분한 동기부여로 작동할 것"이라면서도 "글로벌 기업 대비 버그바운티에 대한 포상금이 낮은 수준이고 확대해야 할 필요성은 있다. 하지만 기업들의 입장에서도 소프트웨어 개발 비용보다 더 많은 금액은 포상금으로 지급할 수는 없다는 어려움이 있다"고 말했다. AI 보안 추진계획 가동…패치 자동화 로드맵 필요 앤트로픽의 AI 모델 미토스(Mythos) 등 AI로 취약점을 빠르게 찾아내는 시대가 현실로 다가오면서 AI 기반 사이버 위협에 대응하기 위한 방안도 정부가 추진하고 있다. 과기정통부는 지난달 말 과학기술관계장관회의를 통해 'AI 기반 사이버 위협에 대응하기 위한 민간 정보보호 추진계획'을 발표했다. 계획안에 따르면 정부는 민간분야에서 AI 보안 위협에 대응할 단기과제와 우리 사회전반의 정보보호 체계를 AI 기반으로 전환하기 위한 중장기 방향성을 제시했다. 단기 과제로는 AI로 취약점을 탐지하면서 취약점 개수가 급증함에 따라 이에 대응하기 위한 체계를 마련하겠다는 것이 첫 번째다. 과기정통부 내에 총괄상황반을 구성하고, 취약점 관리센터 중심 취약점·패치 관리 일원화 및 긴급대응 준비하는 것이 골자다. 또한 피해 파급력이 큰 주요 기업을 대상으로 보안 점검 등을 추진한다. 이 외에도 보안 여건이 부족한 중소기업 대상으로 지원하는 방안과 국제협력을 통한 글로벌 수준의 AI 보안생태계 구축, AI 기반 사이버 위협 선제 대응 체계 확립 등 방안을 제시했다. 중장기적으로는 AI 보안 위협은 AI 기반 보안 역량 강화로 대응해야 한다는 목표 아래 ▲독자적 AI 보안 생태계 조성 ▲AI 시대 정보보호 체질 개선을 위한 기초체력 확보 ▲AI 자율형 침해대응 및 지원체계 확립 ▲주요 정보보호 제도 AI 중심 개편 등 방안을 내놨다. 정부는 취약점을 신속하게 수집해 일원화된 체계로 전파하겠다고 하지만, 한국은 망분리 인프라와 온프레미스 환경이 보편화돼 있기 때문에 국내 특유의 망 환경과 기업별로 제각각인 소프트웨어 특성을 고려해 쏟아지는 취약점에 대한 대량·신속 패치를 적용할 것인지에 대한 논의는 부족해 보인다. 또한 글로벌 보안 기업들이 취약점 발굴뿐 아니라 취약점에 대한 패치까지도 길면 수개월의 시간이 소요되는 만큼 패치 과정을 자동화하는 있는 가운데, 패치 자동화 부분에 대해서는 정부 차원의 로드맵이 부재한 상태다. AI발 위협이 고도화됨에 따라 신속한 패치 전파 체계 구축, 기술지원, 보안 점검 등 조치에 나섰지만 보완해야 할 필요성도 엿보이는 대목이다. 9월 '매출액 10%' 과징금 시대…피해 국민 구제는 뒷전 지난 11일 개인정보보호위원회(개인정보위)는 유출사고가 발생한 쿠팡에 6247억원의 과징금을 부과했다. 역대 최대 과징금 액수다. 쿠팡이 오는 9월 개인정보위로부터 과징금을 받았다면 수조원에 달하는 금액이 부과될 가능성도 있었다. 오는 9월11일부터 개인정보보호법 개정안이 시행되기 때문이다. 개정되는 개인정보보호법은 중대하거나 반복적으로 개인정보 유출 사고를 낸 기업에 전체 매출액의 최대 10%까지 '징벌적 과징금'을 부과할 수 있도록 규정했다. 현행 개인정보보호법은 유출사고와 직결되는 매출액의 최대 3%까지 과징금을 부과할 수 있도록 규정하고 있지만, 상한 액수가 3배 이상 뛰는 셈이다. 반복되는 유출 사고를 막고, 징벌적 과징금을 통해 기업들이 자발적으로 보안에 투자할 수 있도록 유도하는 것이 개정안의 취지다. 그러나 당장 3개월 앞으로 개인정보보호법 개정안이 시행될 예정이지만, 징벌적 과징금에 대한 아쉬운 점도 있다. 부과한 과징금을 어떻게 사용할지에 대한 논의가 부족하기 때문이다. 개인정보보호법에 따르면 개인정보위가 부과하는 과징금은 정부의 여타 행정 과징금과 마찬가지로 전액 국고로 귀속된다. 현행 개인정보보호법에는 과징금의 용도를 별도로 제한하거나 규정한 법조항이 존재하지 않다. 이에 징수된 과징금은 국가의 일반 재원으로 들어가며 개인정보 보호 사업이나 피해자 구제에 우선적으로 쓰이지 않는다. 과징금 상한선을 크게 높이는 취지가 반복적인 개인정보 유출사고를 막고 보안 투자를 활성화하기 위함이라면, 확보한 재원이 피해를 본 국민의 권리 구제나 보안 인프라 투자에 사용돼야 하지만 취지와 용도가 불일치한다. 이에 개인정보 유출로 피해를 입은 국민은 유출사고가 발생한 기업의 자체 보상안 외에는 금전적 보상을 받기 어렵다. 피해보상을 받으려면 피해를 입은 국민이 법적 절차를 밟아야 한다. 이에 정부는 정부는 침해사고로 인한 개인정보 유출 이외의 소비자 피해에 대해서도 분쟁 조정 제도 도입을 올해 논의할 예정이다. 또한 손해배상 판결 효력이 소송 참여자 외에 당사자들에게도 적용되는 미국식 집단소송 제도는 아직 도입 이전이고 논의 중이지만, 개정된 개인정보보호법은 당장 3개월 뒤 시행을 앞두고 있다. 이 외에도 피해자 보호를 위한 피해회복 기금 도입 등도 여전히 논의 단계에 머물러 있다. 최경진 가천대 법학과 교수는 "유출사고로 확보한 과징금 재원은 크게 두 가지로 활용될 필요가 있다. 첫 번째는 피해를 입은 정보주체에 대한 구제다. 꼭 현금으로 돌려줘야 하는 것이 아니라 정보주체의 개인정보 보호를 위한 솔루션 구비, 서비스 구축 등에 필요한 비용으로 쓰일 수 있도록 하는 것"이라며 "두 번째는 개인정보 보호는 하나의 인프라 구축이라는 일념 아래 개인정보 보호 의지는 있지만, 여력이 되지 않는 중소기업에 대한 지원에 사용될 필요가 있다. 꼭 필요한 서비스나 솔루션을 보급하거나 개인정보 보호 바우처 형식으로 지원하는 방법이 필요하다"고 강조했다. 공병철 국제사이버보안인증협회장도 "명확한 재원 활용 방안이 마련되지 않으면 과징금 부과 기준의 상향도 정책적 명분을 얻을 수 없다"며 "정보보호 및 개인정보보호 관리체계 인증(ISMS-P) 지원 등 활용 방안이 필요하다"고 밝혔다.

2026.06.15 13:26김기찬 기자

KT, 전사 시스템에 제로트러스트 보안 추진

KT는 외부 차단 위주의 경계형 보안 모델을 넘어, '아무도 신뢰하지 않는다'는 제로트러스트 보안 전략을 고도화해 전사 시스템에 적용한다고 7일 밝혔다. AX와 공격 영역 다양화로 지능형 위협이 증가함에 따라, KT는 선제적으로 제로트러스트 네트워크 접근(ZTNA) 솔루션을 도입해 사용자와 단말의 신뢰 수준을 기반으로 업무 시스템 접근을 검증해 왔다. KT는 제로트러스트 서비스 운영 경험을 바탕으로, 위협 사전 탐지 체계를 구축하고 침해 피해의 전이와 확산 예방 전략을 강화할 예정이다. 선제 대응 중심의 보안 체계로의 전환을 위해 행위 기반 탐지 시스템을 도입했다. 엔드포인트 위협 탐지와 대응 시스템으론 PC와 서버 등 개별 기기에서 발생하는 이상 행위를 분석하고, 네트워크 위협 탐지 대응 시스템론 네트워크 전반의 비정상 트래픽과 공격 징후를 분석한다. 사전탐지 시스템으로 단말, 네트워크에서 발생하는 이상 행위를 다중 탐지하는 체계를 구축하며, 침해 사고 발생 시 피해 확산을 조기에 차단할 수 있도록 '마이크로세그멘테이션' 아키텍처도 고도화한다. KT는 주요 시스템과 일부 업무 환경을 대상으로 마이크로세그멘테이션 시범 적용을 마쳤다. 연내 운영 안정성과 정책 검증을 하고 전체 업무 환경을 대상으로 시스템별 접근 등을 세분화해 이를 적용할 계획이다. 김창오 KT 정보보안실 상무는 “KT는 ZTNA 운영 경험을 토대로 상시 예방과 선제 대응 중심 제로 트러스트 보안 체계를 고도화하고 있다”며 “앞으로도 마이크로세그멘테이션, 행위기반 탐지 등 선진 보안 기술을 선도적으로 적용해 주요 업무 시스템과 서비스 전반의 보안을 최고 수준으로 유지해 나가겠다”고 말했다.

2026.06.07 09:00홍지후 기자

해킹 공포 딛고 진화…'하드웨어 방패' 입는 가전

지능화된 인공지능(AI)이 일상의 모든 영역을 파고드는 대전환의 시대, 기술의 화려한 도약만큼이나 시급한 과제는 바로 그 이면에 자리한 '디지털 신뢰'를 단단히 구축하는 일입니다. 지디넷코리아는 "AI 기술이 서 말이라도 보안으로 꿰어야 보배"라는 슬로건 아래, 약 두 달간 '2026 디지털 트러스트' 연중 기획 연재 및 캠페인을 진행합니다. 해킹·딥페이크·가짜뉴스·랜섬웨어 등 진화하는 보안 위협 속에서 단순한 기술 편익을 넘어 '안전한 AI 생태계'를 조성하기 위한 공론의 장을 마련하고, 기술과 보안이 공존하는 지속 가능한 디지털 미래의 이정표를 제시하고자 합니다. [편집자주] 인공지능(AI) 기반 스마트 가전이 단순한 가사 도우미를 넘어 집안 구석구석을 살피는 '눈과 귀'로 진화하고 있다. 카메라와 음성 인식 기능을 탑재하고 실내 맵 데이터까지 실시간으로 다루는 연결형 디바이스로 발전하면서 편의성은 극대화됐지만, 이면에는 사생활 유출이라는 그림자가 함께 드리워졌다. 이에 따라 소비자 관심 역시 제품의 기본 성능을 넘어, 개인정보를 얼마나 안전하게 보호할 수 있는지에 집중되는 추세다. 실제 불과 얼마 전까지 가전 업계는 로봇청소기를 중심으로 불거진 해킹 우려로 거센 홍역을 치러야 했다. 집안 내부를 훤히 들여다보는 기기 특성상 소비자 불안감은 극에 달했다. 하지만 역설적이게도 이 위기는 업계 전반에 강력한 예방주사로 작용했다. 기존처럼 소프트웨어 업데이트에만 의존하던 사후 대응에서 벗어나, 이제는 설계 단계부터 칩셋 내부에 데이터를 물리적으로 격리하는 '하드웨어 보안' 체계를 전격 도입하고 나섰다. 위기를 기회 삼아 안방 사생활을 수호하는 철벽 방패를 세우기 시작한 것이다. 글로벌 인증·온디바이스 정면돌파…'디지털 신뢰' 앞장서는 로청 3사 보안 논란 중심에 섰던 글로벌 로봇청소기 3사(로보락·에코백스·드리미)는 회피 대신 정면 돌파를 택했다. 하드웨어 칩셋 레벨의 암호화 기술과 까다로운 글로벌 인증을 무기로 소비자 신뢰 회복에 사활을 걸고 있다. 로보락은 올해 상반기 2026년형 플래그십 'S10 MaxV 시리즈' 출시에 발맞춰 공식 홈페이지에 '트러스트 센터'를 열었다. 스마트 가전에 대한 보안 우려가 커지는 상황에서 제품의 데이터 보호 체계를 소비자에게 투명하게 공개하기 위한 선제 조치다. 로보락은 주행 판단이나 사물 인식에 필요한 주요 AI 연산을 외부 클라우드가 아닌 기기 내부에서만 처리하는 온디바이스 방식을 유지하고 있다. 민감한 데이터가 외부로 전송되거나 제3자와 공유되는 것을 원천 차단하기 위함이다. 철저한 관리 덕에 해당 시리즈는 글로벌 인증기관 UL 솔루션즈로부터 사물인터넷(IoT) 보안 최고 등급인 '다이아몬드'를 획득하며 악성 소프트웨어 변조 탐지 및 불법 접근 방지 능력을 입증했다. 에코백스는 제품 설계 단계부터 보안 리스크를 면밀히 통제하는 '프로덕트 시큐리티 프로세스'를 가동하며 이를 기업의 핵심 경쟁력으로 삼고 있다. 단순한 사후 대응에 그치지 않고 개발 과정부터 깐깐한 보안 검증 절차를 거친다. 전담 보안 조직을 신설해 별도의 취약점 제보 채널을 상시 운영하며, 외부 보안 연구자와 적극적 협업 기반 구조도 구축했다. 공식 '시큐리티 어드바이저리' 페이지를 통해서는 서버 보안 업데이트, 앱 인증 검증, 통신 보안 개선 사항 등을 투명하게 공개하고 있다. 제품 출시 이후에도 OTA 방식의 무선 업데이트를 통해 촘촘한 보안 패치를 지속 제공한다. 2025년형 플래그십 라인업인 디봇 X11, X8 및 T80 시리즈는 UL 솔루션즈의 다이아몬드 인증을 따냈다. 악성 소프트웨어 변조 탐지부터 불법 접근 방지, 사용자 데이터 보호까지 엄격한 글로벌 기준을 모두 통과한 것이다. 나아가 애플 홈, 구글 홈 등 주요 플랫폼과 연동되는 스마트홈 표준 프로토콜 매터 지원을 넓혀, 로컬 네트워크 기반의 한층 직관적이고 튼튼한 인증 체계까지 확립했다. 드리미 또한 독일 TUV 라인란드의 개인정보 보호 인증을 거치며 국제 보안 표준을 충족하는 데이터 암호화 시스템을 구축했다. AI 칩셋 내부에서 이미지와 영상을 처리한 뒤 외부 서버로 넘기지 않고 즉각 파기하는 구조를 적용해 정보 유출 경로를 차단했다. 더욱이 한국 사용자의 데이터는 전량 국내 서버에 분리 보관함으로써, 국내 소비자들이 느끼는 심리적 불안감까지 씻어냈다. 자체 칩셋 기반 독자 보안 솔루션…스마트홈 장벽 높이는 삼성·LG 국내 가전 업계를 이끄는 삼성전자와 LG전자는 자체 개발한 칩셋을 바탕으로 독자 보안 솔루션 고도화에 힘을 주며 스마트홈 생태계 방어막을 굳건히 다지고 있다. 삼성전자는 보안 솔루션인 '녹스 볼트(Knox Vault)'를 전면에 내세운다. 녹스 볼트는 비밀번호, 생체 인식 데이터, 기기 간 인증 키 등 민감한 개인정보를 별도의 전용 하드웨어 보안 칩셋에 안전하게 격리 저장한다. 운영체제(OS)를 겨냥한 소프트웨어 해킹은 물론, 기기를 물리적으로 분해해 데이터를 빼내려는 하드웨어 공격까지 차단한다. 삼성전자는 이 자체 보안 칩셋 기술을 바탕으로 '비스포크 AI 콤보', '비스포크 AI 스팀' 등 주요 라인업에서 UL 솔루션즈 최고 등급인 다이아몬드 인증을 연이어 획득하며 초격차 보안을 구현하고 있다. LG전자는 보안 체계인 'LG실드(LG Shield)'로 안방 사생활을 수호한다. LG실드는 데이터 암호화부터 이상 탐지까지 제품 기획 단계부터 출시 이후까지 보안을 책임지는 통합 솔루션이다. LG전자는 자체 설계한 온디바이스 칩셋과 결합해 LG실드 완성도를 높이고 있다. 외부 클라우드 서버를 거치지 않고 가전 기기 내부 독자 칩셋에서 직접 방대한 AI 연산과 데이터 암호화를 수행한다. 이를 통해 거실을 비추는 카메라 영상이나 사용자의 민감한 생활 패턴 데이터가 외부로 새어나갈 틈새를 구조적으로 틀어막았다. 업계에서는 보안 안정성이 담보되지 않은 가전은 생존 가능성이 낮다고 보고 있다. 기기 성능과 함께 보안 정도가 소비자들이 지갑을 여는 새로운 기준이 됐다는 의견이다. 가전 업계 관계자는 "고도화된 기술을 바탕으로 제품 성능 혁신을 이루는 것도 중요하지만, 이제는 지속적 보안체계 강화를 통해 소비자가 진정으로 안심하고 사용할 수 있는 스마트홈 환경을 만드는 것이 최우선과제"라며 "자체 칩셋 등 설계 단계부터 하드웨어 보안을 대폭 강화하고 투명한 관리 프로세스를 운영해 소비자 신뢰를 다져야 한다"고 말했다.

2026.05.31 09:35전화평 기자

'복구 불가능' 의료정보…보안 투자 이제는 필수

지능화된 인공지능(AI)이 일상의 모든 영역을 파고드는 대전환의 시대, 기술의 화려한 도약만큼이나 시급한 과제는 바로 그 이면에 자리한 '디지털 신뢰'를 단단히 구축하는 일입니다. 지디넷코리아는 "AI 기술이 서 말이라도 보안으로 꿰어야 보배"라는 슬로건 아래, 약 두 달간 '2026 디지털 트러스트' 연중 기획 연재 및 캠페인을 진행합니다. 해킹·딥페이크·가짜뉴스·랜섬웨어 등 진화하는 보안 위협 속에서 단순한 기술 편익을 넘어 '안전한 AI 생태계'를 조성하기 위한 공론의 장을 마련하고, 기술과 보안이 공존하는 지속 가능한 디지털 미래의 이정표를 제시하고자 합니다. [편집자주] 헬스케어와 AI 기술의 접목으로 의료정보(의료데이터) 활용 논쟁도 새로운 국면을 맞이하고 있다. 의학 발전과 미래 성장 동력 확보를 위해 규제를 완화해야 한다는 목소리가 높지만, 현장의 보안 실태는 기술의 속도를 따라가지 못하고 있기 때문이다. 전문가들은 의료정보가 유출될 경우 사후 수습이 불가능한 '치명적 민감 정보'인 만큼, 공격을 버텨낼 수 있는 강력한 보안 인프라 구축이 선행돼야 한다고 입을 모은다. 침해 시도는 대형병원, 피해는 중소병원에 집중 의료데이터의 가치가 높아지면서 이를 노리는 사이버 공격은 급증하고 있다. 한국사회보장정보원이 지난달 발간한 이슈&트렌드 '의료기관 진료정보 보호를 위한 제언'(박홍석 고려대의료원 의학지능정보본부장)에 따르면 국내 의료기관 침해사고 인지 건수는 2020년 18건에서 2024년 71건으로 약 4배 증가했다. 대표적으로 ▲서울상급종합병원 웹셸 공격으로 약 83만명 개인정보 탈취(2021년, 북한 소행 추정) ▲지방상급종합병원 권역심뇌혈관질환센터 관리자 페이지 해킹 및 텔레그램 공개(2024년 11월) ▲대한결핵협회 백업 개발 서버 해킹 15만여명 정보 해외 유출(2024년 9월) 등이 있으며, 특히 2026년 2월 국내 상급종합병원의 전산망이 잇따라 랜섬웨어에 감염된 사건은 국내 의료기관 사이버 위협이 현실화되고 있는 사례로 지적되고 있다. 특히 최근에는 단순히 데이터를 탈취해 다크웹에 판매하는 수준을 넘어, 병원 전산망 전체를 마비시켜 인명 인질극을 벌이는 랜섬웨어 공격이 현실화되고 있다. 문제는 의료기관 간의 극심한 '보안 양극화'다. 보안 인력과 예산이 비교적 풍부한 상급종합병원의 경우 제로 트러스트(Zero Trust) 접근 통제나 실시간 이중화 백업 시스템을 도입하며 방어벽을 높이고 있다. 반면 보안 예산이 연간 2천만~5천만원 선에 불과한 중소병원과 의원급 의료기관은 해킹 공격에 더욱 취약하다. 2024년 의료기관 보안관제(ISAC) 탐지 기준 상급종합병원에 대한 침해 시도가 5만7623건(76%)으로 집중되어 있으나, 실제 침해사고 발생은 의원급(49.5%)에서 가장 높았다. 또 2024년 진행된 한 실태조사(표본 135개 기관)에서는 예산 부족(53.5%)과 전문인력 부족이 보안체계 도입・운영의 주된 장애요인으로 나타나기도 했다. '인적 오류'와 '원격 접속'…뚫리는 경로도 다변화 의료 보안의 위협은 단순한 외부 해킹에만 그치지 않는다. 내부 직원의 관리 부실이나 오작동으로 인한 '인적 오류'가 대규모 유출로 이어지는 사례가 적지 않다. 지난 3월 소위 빅5 병원 중 하나인 서울대학교병원에서는 병원 직원 간 메일을 발송하던 중 오입력으로 1명의 수신자에게 잘못 발송돼 논란이 된 바 있다. 당시 메일에는 산모와 신생아의 식별정보(이름·환자번호·산모 생년월일 등), 임신 관련 정보, 출산이력, 태아 이상 및 선천성 질환 정보, 신생아 질환 및 합병증 정보, 산모(보호자) 배경 및 생활정보(직업·소득수준 등) 등 민감정보가 대거 담긴 것으로 알려졌다. 병원 측은 메일 수신자 및 메일 운영자에게 삭제를 요청했고, 개인정보보호위원회와 교육부에도 신고했다고 밝혔지만, 정보가 유출된 당사자의 불안감을 해소할 방안은 사실상 없는 것이 현실이다. 또 코로나19 이후 의료진의 원격 진료나 재택근무, 유지보수 업체의 원격 접속이 늘어나며 다크웹 등에서 유출된 관리자 계정 정보를 통해 침투하는 방식도 늘고 있으며, 진료실 내 IP카메라, 환자 모니터링 장비 등을 해킹하는 시도도 늘고 있다. 일례로 서울의 한 성형외과는 진료실 및 탈의실에 설치된 IP카메라가 해킹당해 환자들이 시술을 받는 모습이 담긴 영상 파일이 해외 성인 사이트 등에 유출되기도 했다. 뿐만 아니라 클라우드를 도입하는 병원이 증가하며 데이터 저장소의 접근 권한을 잘못 설정해 노출되거나, 퇴사한 의료진 또는 계약이 종료된 외주 업체의 삭제되지 않은 계정을 이용해 유출되기도 한다. 개인 의료정보의 활용 논쟁은 '진행형' 현재 데이터 3법(개인정보 보호법, 정보통신망법, 신용정보법, 2020년 8월5일 시행)의 개정으로 주민등록번호나 이름 등 개인식별 가능 정보를 삭제한 의료데이터는 개인의 동의 없이도 연구나 상업적 목적으로 활용할 수 있다. 의료정보는 활용 범위와 주체를 놓고 오랫동안 논쟁이 이어지고 있다. 개인 건강관리나 공적 연구분야에서의 활용은 어느 정도 공감대가 형성되는 분위기지만, 산업분야에서 활용에 대한 거부감은 큰 상황이다. 특히 의료정보 활용에는 유출과 오남용의 위험성이 큰 벽으로 작용하고 있는데, 식별정보를 넘어서는 질병이력, 유전체 정보 등의 민감정보이기 때문이다. 개인 의료정보 활용에 반대하는 측은 병력 등이 담긴 의료정보는 타인이 알 경우 회복 불가능한 정신적·사회적 피해를 볼 수 있으며, 특히 특정 질환의 경우 소비자의 보험 가입을 거부하거나 직장에서 불이익을 받을 수 있다는 우려를 제기하고 있다. 반면 의학계에서는 개인 맞춤치료나 희귀난치성 질환의 원인 규명 등 의학 발전을 위해서는 현재보다 더 많은 정보가 담긴 의료데이터의 활용을 요구하고 있으며, 산업계에서는 헬스케어산업을 국가 미래성장동력으로 성장시키기 위해서는 인공지능과 의료정보를 결합한 의료 솔루션 개발에 적극 나서야 하는데 현재의 과도한 규제로 인해 글로벌 시장 경쟁에서 뒤처질 수 있다고 주장하고 있다. 하지만 논쟁의 핵심은 데이터를 안전하게 다룰 수 있다는 '디지털 신뢰'(Digital Trust)의 확보에 있다. 기업들은 가상 공간에서 조회만 가능하고 저장은 불가능한 폐쇄형 데이터센터를 운영하는 등 기술적 대안을 모색하고 있으며, 정부는 한국사회보장정보원 등을 통해 의료분야 사이버 위협 대응 체계를 민간 부문까지 확대 지원하고 있다. 개인의 의료정보는 한번 유출되면 최근의 통신사 사태처럼 '유심 교체'나 '비밀번호 변경'으로 해결할 수 없다. 우선은 보안 강화를 위한 적극적인 투자와 시스템 구축을 서둘어야 한다는 목소리에 귀 기울여야 한다. 그 뒤에 혁신과 공익을 위한 데이터 활용, 개인정보 보호와 윤리적 기준을 철저히 지키는 균형을 찾아가는 사회적 논의를 진행하는 것이 필요해 보인다.

2026.05.27 15:08조민규 기자

"검색 결과 상단도 잘 봐야"…네카오, 피싱 사기 '주의보'

“000님, 네이버플러스 멤버십이 결제 완료됐습니다.” 최근 네이버와 카카오를 사칭해 계정 비밀번호를 탈취하거나 공식 사이트로 속여 악성코드를 유포하는 사례가 기승을 부리고 있다. 이를 막기 위해 두 회사는 메일 제목과 주소 확인을 안내하는 동시에, 회사 차원 모니터링 시스템을 가동해 불법 사이트 단속을 이어간다. 27일 한국인터넷진흥원(KISA)에 따르면 올해 2월 10일부터 지난달 14일까지 두 달간 '카카오톡 PC버전' 공식 다운로드 페이지를 위장한 피싱 사이트에서 약 560건의 악성코드 다운로드가 발생한 것으로 추정된다. “공식 사이트 위장 악성코드, 두 달간 560건”…멤버십 결제 사칭 사례도 공격자는 구글 등 주요 검색엔진에서 '카카오톡 PC버전'을 검색하면 결과 상단에 피싱 사이트가 노출되도록 조작했다. 위장된 설치 파일을 실행하면 사용자 PC에 정보 유출이 가능한 악성코드가 깔려 PC에 저장된 민감 정보가 외부로 빠져나갈 위험이 존재한다. 최근 네이버에서도 유사 사례가 발생했다. 네이버플러스 멤버십 결제 안내 메일로 위장해 이용자의 계정 비밀번호를 탈취하려는 피싱 메일이 유포된 것이다. 피싱 메일은 '[MemeberShip] 멤버십 결제 완료' 또는 '[Membership] 결제 완료'라는 제목으로 실제 네이버플러스 멤버십 결제 안내 메일과 유사하게 제작됐으며, 본문에 포함된 '마이 멤버십으로 이동' 버튼을 클릭하면 피싱 사이트로 이동해 비밀번호를 입력하도록 설계됐다. 메일 제목·이메일 주소 확인 필수…반드시 공식사이트 이용해야 이번 사례를 두고 네이버 측은 메일 제목과 발신자 이메일 주소를 확인하고, 포함된 URL을 확인할 것을 권고했다. 'Membership' 태그를 제목 앞에 붙이고 있는 피싱 메일과 달리 네이버 공식 안내 메일은 '[네이버플러스 멤버십] 결제 내역 안내'라는 제목으로 발송되기 때문이다. 발신자 이메일 주소 역시 회사 공식 안내용 이메일 주소 '@navercorp.com'이 아닌 다른 도메인을 사용하고 있다면 피싱을 의심해봐야 한다. 마이 멤버십으로 이동 버튼 또한 공식 메일은 연두색을 채택하고 있어, 빨간색 버튼이 포함됐을 경우 피싱을 의심해야 한다. 해당 버튼 클릭 시 이동하는 URL도 공식 네이버 서비스는 'nid.naver.com' 도메인에서만 계정 정보를 요구한다. 카톡 PC버전 다운로드 피싱 사이트를 통한 악성코드 감염을 방지하기 위해 KISA는 공식 사이트에서 카톡을 포함한 주요 소프트웨어(SW)를 다운로드 받을 것과 검색 결과 중 상단 노출 링크 URL이 정상 사이트와 일치하는지 확인 후 접속할 것을 권장했다. “피싱 사이트 꼼짝마”…네카오, 자체 모니터링 시스템 운영 이외에도 네이버는 회사 차원에서 피싱으로 유출 의심되는 계정으로 판단되는 경우 선제적으로 보호조치를 적용해 이용자를 보호하고 있다. 2단계 인증 등으로 사전 예방책을 제공하는 중이며, 계정 정보를 피싱사이트에 입력했다면 비밀번호 변경 안내 등 해결 방안을 이용자에게 안내한다. 2024년 1월부터 지난해 9월까지 네이버를 대상으로 한 피싱 공격을 분석한 결과 공공기관·계정보안 위협 사칭 등 스팸 유포방식의 피싱과 검색·간편 로그인 등의 형태로 진화한 것으로 나타났다. 이에 회사는 자체 개발한 피싱 감지·모니터링 시스템을 통해 피싱 사이트를 사전 탐지해 약 566개의 검색 피싱 유포 사이트를 차단했다. 카카오는 이용자가 안전하게 서비스를 이용할 수 있도록 공식 홈페이지가 우선 노출될 수 있도록 지속 관리하는 것은 물론 사칭·피싱 등 불법 사이트에 대한 상시 모니터링을 진행한다. 카카오 관계자는 “특이사항 확인 시 사이트 운영자 대상 시정 요구, 방송통신심의위원회 접속 차단 요청, 호스팅 업체 신고 등 필요한 조치를 실시하고 있다”며 “이용자 피해를 최소화하기 위해 관련 기관과의 협력과 대응 노력을 지속할 방침”이라고 밝혔다.

2026.05.27 08:33박서린 기자

AI가 AI를 검증한다…금융권 새 인프라 된 '신뢰성 평가'

지능화된 인공지능(AI)이 일상의 모든 영역을 파고드는 대전환의 시대, 기술의 화려한 도약만큼이나 시급한 과제는 바로 그 이면에 자리한 '디지털 신뢰'를 단단히 구축하는 일입니다. 지디넷코리아는 "AI 기술이 서 말이라도 보안으로 꿰어야 보배"라는 슬로건 아래, 약 두 달간 '2026 디지털 트러스트' 연중 기획 연재 및 캠페인을 진행합니다. 해킹·딥페이크·가짜뉴스·랜섬웨어 등 진화하는 보안 위협 속에서 단순한 기술 편익을 넘어 '안전한 AI 생태계'를 조성하기 위한 공론의 장을 마련하고, 기술과 보안이 공존하는 지속 가능한 디지털 미래의 이정표를 제시하고자 합니다. [편집자주] 금융당국의 망분리 규제 완화 이후 금융권의 생성형 AI 도입이 빠르게 확산되면서 AI 신뢰 검증이 새로운 보안 과제로 급부상하고 있다. 단순히 AI를 도입하는 데서 나아가 그 AI가 제대로 작동하는지 검증하는 체계를 갖추느냐가 금융권 AI 경쟁력의 새 기준이 되고 있다는 분석이다. 이런 흐름을 더 가속하는 건 AI 기반 위협의 등장이다. 앤트로픽 최신 AI '미토스(Mythos)'가 대표적이다. 이 모델은 AI가 스스로 시스템 취약점을 탐색하고 공격 시나리오까지 생성할 수 있다는 점에서 기존 보안 체계만으로는 대응이 어렵다는 위기감이 금융권 전반에 확산되고 있다. 이런 가운데 AI 신뢰성 검증 체계를 실제 금융 현장에 상용화한 사례가 나왔다. 18일 업계에 따르면 셀렉트스타의 생성형 AI 신뢰성 검증 자동화 솔루션 '다투모 이밸(DATUMO eval)'이 신한은행·우리은행·NH농협은행 등 주요 시중은행에 정식 도입됐다. 이는 국내 생성형 AI 신뢰성 검증 자동화 솔루션이 기술검증(PoC) 단계를 넘어 금융권 실제 운영 단계에 적용된 첫 사례로 평가된다. AI가 실제 업무를 수행하는 'AI 에이전트' 단계로 진화하면서 검증 필요성은 더 커지고 있다. 최근 금융권에서는 대출 심사 보조, 이상거래 탐지, 고객 응대 자동화 등 핵심 업무에 생성형 AI 적용이 확대되고 있다. AI 활용 범위가 넓어질수록 잘못된 판단이나 비정상 응답이 실제 금융 사고나 고객 피해로 이어질 수 있다는 우려도 나온다. 그러나 생성형 AI 서비스 확산과 함께 기존 수작업 중심 검증 체계는 한계를 드러내고 있다. 그동안은 사람이 직접 평가 질문을 설계하고 AI 응답을 검수하는 방식이 일반적이었지만, 서비스 수와 활용 시나리오가 빠르게 늘어나면서 속도와 규모 측면에서 대응이 어려워졌기 때문이다. 업계에서 지금을 'AI 신뢰 검증의 골든타임'으로 보는 이유도 여기에 있다. AI 신뢰성 평가 자동화 시장도 발 빠르게 성장하고 있다. 해외에서는 랭체인, 어라이즈AI, 스케일AI 등이 관련 솔루션을 선보이고 있지만 금융 특화 규제 환경과 한국어 도메인을 반영한 서비스는 제한적이었다. 특히 금융권은 높은 정확성과 안정성이 요구되는 만큼 실제 업무 환경을 반영한 평가 체계 수요가 빠르게 커지고 있다는 분석이다. 셀렉트스타는 이런 시장 공백을 겨냥해 국내 최초 생성형 AI 신뢰성 검증 자동화 솔루션 '다투모 이밸'을 출시했다. 다투모 이밸은 100만 개 이상의 평가 질문을 자동 생성하고 AI 서비스 응답을 자동 평가·분석하는 기능을 핵심으로 한다. AI 에이전트 기술 기반으로 생성된 질문은 실제 고객 발화 패턴과 난이도, 금융 도메인 특성을 반영하도록 설계됐으며 프롬프트 인젝션과 환각 등 AI 취약점을 사전에 탐지하는 레드티밍 기능도 포함됐다. 신한은행의 경우 금융 문서 이해 AI 모델 개발을 위한 데이터 구조화, 학습·평가용 데이터셋 설계, 평가 지표 관리 및 자동 평가 환경 구축까지 다투모 이밸이 포괄적으로 적용됐다. 이 같은 실적은 신한금융·KB금융·삼성금융 등 국내 주요 금융그룹 스타트업 프로그램 연속 수상으로도 이어졌다. 셀렉트스타는 금융권에서 축적한 검증 경험을 제조·공공·엔터프라이즈 등 전 산업으로 확대 적용할 계획이다. 이미 세계이동통신사업자연합회(GSMA)와 글로벌 AI 레드팀 챌린지를 공동 주관하고 '오픈 텔코 AI' 파트너십을 체결하는 등 해외 시장에서도 기술력을 인정받고 있다. 회사 측은 아직 글로벌 표준이 확립되지 않은 AI 신뢰성 분야에서 금융권 레퍼런스를 바탕으로 관련 기준을 제시하는 플랫폼으로 자리잡겠다는 목표다. 셀렉트스타 관계자는 "AI 신뢰성 평가는 이제 특정 산업의 선택이 아니라 AI를 도입하는 모든 기업의 필수 과제가 되고 있다"며 "AI 에이전트 시대로 접어들면서 신뢰성 평가의 중요성은 더 커지고 있다"고 말했다.

2026.05.18 14:43이나연 기자

[기자수첩] 제로트러스트 창시자의 따끔한 일침

"아직도 너무 많은 보안 실무자들이 사이버 보안에 관해 20세기 사고방식에 머물러 있습니다." '제로트러스트(ZeroTrust)의 아버지'로 불리는 보안 거목의 따끔한 일침이다. 존 킨더바그(John Kindervag) 일루미오 수석 에반젤리스트는 기자의 "많은 보안 담당자들이 어떤 솔루션을 구축해야 제로트러스트를 구현할 수 있는지 헷갈려 한다"는 질문에 이 같이 답했다. 킨더바그는 '아무 것도 믿지 말고 끊임없이 검증하라'는 제로트러스트 개념을 창시한 인물이다. 미국 국립표준기술연구소(NIST)가 발표한 제로트러스트 관련 보안 지침 중 하나인 'NIST 1800-35'를 보면 제로트러스트 구현을 위해 어떤 솔루션을 구비해야 하는지 매핑해놓았다. 이에 기자는 한국 역시 구체적인 가이드라인을 통해 제로트러스트 구현을 앞당길 필요가 있어 제도적 뒷받침이 필요하지 않겠냐는 차원에서 질문을 던졌다. 그러나 킨더바그는 이 질문 자체가 20세기 사고방식이라고 지적했다. 그는 "중요한 것은 본질이다. 보안의 본질은 무엇입니까?"라고 반문했다. 그는 "무엇을 보호해야 하는지 정확히 아는 것. 그것이 보안의 시작"이라면서 "조직이 방어해야 할 자산, 즉 '방어 표면'을 식별하면 어떤 기술이 가장 유용한지 자연스럽게 알게 될 것"이라고 말했다. 이어 "전략은 변하지 않는다. 하지만 전술과 도구, 기술은 시간이 지남에 따라 변한다"며 "도구와 기술에 집중하면 조직을 막다른 길로 이끌 것이 분명하다. 그러나 많은 사람들이 기술에 매몰되고 있다"고 꼬집었다. 그의 말에 따르면 기자는 '우문'을 한 것이였고, 그는 '현답'을 했다. 또 기자의 '우문'처럼 많은 한국 기업들이 제로트러스트에 대해 잘못 알고 접근하고 있기도 하다. 즉, 제로트러스트 구현을 위한 핵심 요소에 집중하면서 '본질'을 놓치고 있는 것이다. 무엇을 지켜야 하는지도 모른채 온갖 보안 솔루션을 갖다 붙이기만 한다고 제로트러스트가 덩달아 구현되는 것은 아닌 것이다. 킨더바그는 "미국 정부의 제로트러스트 관련 지침을 보면 6가지 필라(Pillar, 기둥)을 제시하고 있다"며 "단단히 잘못됐다. 보안 담당자로 하여금 순차적으로 생각하게 만들기 때문이다. 첫 번째 필라를 구현하고, 다음 기둥을 해야 한다는 말인데, 실제로는 한 번에 하나의 보안 대상 영역을 지키는 것이 필요하다"고 지적했다. 제로트러스트 첫 번째 필라는 아이덴티티(identity, 신원 검증)다. 모든 조직이 제로트러스트 구현의 첫 단계라고 해서 신원 검증에만 몰두하고 있다면 그 조직의 신뢰도는 0에 수렴한다는 것이 킨더바그의 견해다. 또한 순차적인 접근에서 나아가 한국 조직들이 방어 표면을 식별하고, 각 방어 표면별로 필요한 보안 조치를 하는 것이 제로트러스트 구현의 지름길이라고 부연했다. 제로트러스트는 미국이 선도하고 있다. 그런데 미국인인 킨더바그가 'K-제로트러스트'를 만들라고 한다. 킨더바그는 "미국의 제로트러스트 관련 지침은 미국 기업, 조직을 위한 것이다. 한국은 한국만의 것을 만들어야 한다"고 역설했다. '뱁새가 황새 따라가다 가랑이 찢어진다'는 말이 있다. 무리한 모방은 도리어 화를 부른다. 그런데 뱁새의 둥지는 비바람에도 무너지지 않을 만큼 튼튼하다. 한국이 어떤 공격에도 무너지지 않는 '뱁새의 둥지'를 틀었으면 한다.

2026.05.17 18:09김기찬 기자

[현장] "보안없는 AI혁신 없어"...아톤, 26년만에 단독 컨퍼런스

아톤이 창립 26년 만에 첫 단독 주관 컨퍼런스를 개최했다. 국가 망보안 체계(N2SF), 인공지능(AI) 보안, 양자내성암호(PQC), 제로트러스트(ZeroTrust) 등 사이버 환경을 둘러싼 다양한 이슈를 살피고 인사이트를 전파함과 동시에 아톤의 보안 전략에 대해 심도 깊게 논의했다. 아톤은 13일 여의도 FKI타워 그랜드볼룸에서 '아톤 시큐리티 서밋 2026'을 개최했다. 이날 행사는 '시큐어 바이 액션(Secure by Action)'이라는 실행하는 보안 실현 전략을 주제로 N2SF, AI 보안 등 보안업계 화두와 더불어 제로트러스트, 클라우드 보안 등 아톤이 제시하는 보안 전략을 공유했다. 우길수 아톤 대표는 행사에 앞선 환영사에서 "지난 한 해 우리 보안업계는 전례없는 도전에 직면했다. 주요 산업 전반에 걸쳐 연이은 해킹 피해를 입었고, AI를 활용한 공격은 그 속도와 정밀도에서 사람의 대응 능력을 넘어섰다"며 "기존 망 분리 중심 보안 체계를 데이터 기준 관리 원칙 기반으로 전환하는 N2SF가 반영되고, PQC 체계 전환 등 보안 규제 환경 또한 빠르게 재편되고 있다"고 진단했다. 우 대표는 "그러나 현장에서 자주 듣는 질문은 '이렇게 많은 보안 솔루션을 도입했는데 왜 사고는 반복되는가?'였다"며 "아톤은 지난 26년간 보안과 핀테크 보안의 최전선에서 노력해왔다. 수많은 은행과 증권사 등 기업의 인증 체계를 설계하고 운영하면서 얻은 결론은 '보안은 결국 실행의 문제'라는 것이다. 이번에 아톤이 창립 26년 만에 처음으로 단독으로 주관하는 대규모 보안 행사를 개최해 매우 뜻깊게 생각한다"고 말했다. 박상원 금융보안원장은 축사를 통해 "최근 사이버 위협은 다양한 기술로 끊임없이 모양새를 바꿔가며 이어지는 전쟁과도 같다"면서 "금융보안원은 금융회사가 자율적인 보안 체계를 구축할 수 있도록 금융 보안 패러다임 전환에 적극 노력하고 있으며, 이 자리가 보안업계의 지혜를 모아 산업 전반을 관통하고 실효성 있는 인사이트를 나누는 소통의 장이 되기를 희망한다"고 말했다. "국내 기업, '보안 기초체력' 부족…N2SF 어려운 이유" 이날 컨퍼런스 키노트세션에서는 김승주 고려대 정보보호대학원 교수, 김홍선 김앤장 법률사무소 고문, 정현석 아톤 시큐리티센터장이 발제에 나섰다. 먼저 김승주 교수는 '국내 기업에 N2SF가 어려운 이유'를 주제로 발표했다. 김 교수는 "국내 기업들이 N2SF가 어렵다고 하는 배경에는 기초 체력이 부족하다는 문제가 있다"면서 "정부가 제시하는 N2SF 가이드라인은 결코 부실하지 않다. 외국 표준도 비슷한 수준인데 왜 이같은 격차가 벌어졌는지 생각해볼 때다"라고 밝혔다. 김 교수는 "보안 내재화가 중요한데, 보안 내재화 역시 본질적인 보안 철학이 무엇인지 모른 채 형식적으로 운영되고 있으며, 국내 평가·인증 역시 형식적으로 운영된다. 이런 부분이 보안 기초체력 부실을 야기했다"면서 "이에 N2SF라는 선진국형 망분리 개선안이 나왔을 때 따라가기 어렵다는 문제가 발생한다"고 지적했다. 김홍선 고문은 이날 '보안 없는 AI 혁신은 없다'를 주제로 발표했다. 김 고문은 "미국 사이버보안 및 인프라 보안국(CISA)에 따르면 최근 취약점 발견부터 익스플로잇(취약점 공격)까지 걸리는 시간이 급격하게 줄어들었다"면서 "올해 기준 1~2일이면 공격이 이뤄진다고 보고 있으며, 현장에서는 10시간이 무너졌다고 보고 있다"고 진단했다. 김 고문은 "이런 가운데 미토스까지 등장했다. 프론티어 AI를 활용한 공격이 우리의 기존 보안 체제를 무너뜨릴 수 있다는 얘기"라며 "지금은 기술의 시대다. 디펜시브 AI 등을 비롯한 많은 본질적인 차이를 가진 기술을 보유해야 한다. 아울러 이를 내재화하고, 리스크 관리, 사이버 레질리언스(복원력), 하네스 엔지니어링 등으로 패러다임을 전환해야 한다"고 강조했다. 정현석 센터장은 AI 시대의 보안 우선순위 4가지를 제시했다. 정 센터장이 제시한 우선순위 4가지는 ▲제로트러스트 기반 신원 강화 ▲능동적인 공격 표면 관리(ASM) ▲공급망 관리 ▲외부 협력체계 등이다. 정 센터장은 "해킹을 당하면 비즈니스 금전적 피해, 과태료, 브랜드 추락, 핵심 인력 이탈, 핵심 역량 노출 등 다양한 패널티를 안게 된다"며 "반면 보안은 통합의 필요성과 중요도는 높아지고, 이에 따른 복잡도 역시 부상했다. 대응을 위해 집단지성이 필요하지만 보안 전문가는 계속해서 부족한 현실"이라고 지적했다.

2026.05.13 16:22김기찬 기자

ZDNet 검색 페이지

'트러스트'통합검색 결과 입니다. (90건)