여행업계 첫 ISO 42001 획득한 여기어때 'AI 쉴드'…"보안 새 기준"
여기어때가 인공지능 경영관리시스템(ISO 42001)을 획득한 'AI 쉴드' 기술력을 바탕으로, 여행업계 AI 서비스의 보안 기준을 제시한다. AI 쉴드는 국내 주요 기업들이 받았던 사이버 공격 로그를 6개월 가량 학습해, 공격 탐지 정확도를 99.9%까지 끌어올렸을 정도다. 서울 강남구에 위치한 여기어때 본사에서 고객의 개인정보 보호와 관련 컴플라이언스 준수를 책임지는 백계만 최고정보보호책임자(CISO)를 만나 인증 획득 배경과 의의, AI 쉴드의 기술력, 향후 청사진에 대한 이야기를 들어봤다. 'AI 전문성'이 인증 획득으로…“기술력·공신력 알릴 것” AI 쉴드는 여기어때가 한국인터넷진흥원(KISA)과 협업해 개발한 능동형 보안 관제 시스템이다. 다양한 보안 사례를 학습한 AI가 외부에서 유입되는 위협을 탐지하고 분석하는 것이 특징이다. AI 쉴드가 획득한 ISO 42001은 AI 시스템 개발·운영 전 과정에서 발생할 수 있는 위험을 관리하는 국제 표준으로 2023년 12월 제정됐다. 백 CISO는 'AI 쉴드'가 업계 최초로 ISO 42001 인증을 획득한 배경으로 평소 보유한 AI 전문성을 꼽았다. AI 인증 심사원 자격을 갖고 있다고 언급한 백 CISO는 “심사원 관점에서 봤을 때 AI 쉴드를 굉장히 잘 만들었다는 생각이 들었다”며 “인증을 취득해 기술력과 공신력을 알리고 싶었다”고 설명했다. 특히, 그는 AI 쉴드가 처음으로 ISO 42001 인증을 얻게 됨에 따라 여행업계 AI 서비스의 안전 표준이 될 수 있을 것으로 봤다. 백 CISO는 “최초가 있어야 다음이 있는 것”이라며 “이제 경쟁사들도 관련 인증을 획득하려는 움직임을 보일 것이지만, 여기어때가 선도적인 보안 체계를 구축하고 있다는 점을 인정받고 싶다”는 포부를 피력했다. AI 쉴드 덕에 공격 탐지 시간 '뚝'…절약된 자원은 다시 분석으로 AI 쉴드 도입으로 여기어때의 보안 능력은 얼마나 향상됐을까. 외부에서 들어오는 모든 공격을 AI가 먼저 확인·판단하고, 위험한 공격으로 간주될 경우 조치를 취하는 과정을 통해 보안에 소요되는 시간과 인적 자원이 대폭 단축됐다. 백 CISO는 “공격이 탐지되고 이를 분석해 차단하는 데까지는 보통 30분 정도는 걸린다. 담당자가 일이 있을 때는 1시간까지 지연될 때도 있다”며 “AI는 그런 게 없다. 길어야 10초로 시간이 단축됐다”고 설명했다. 또 기존에는 사람이 검수하고 막아낸 탓에 발생하는 피로감과 판단력 저하도 AI를 활용해 예방할 수 있게 됐다고 부연했다. 백 CISO는 “여행 플랫폼 기업은 해커들에게 좋은 먹잇감”이라며 “외부 침입도 많이 들어오고, 찔러보기식 공격도 많이 들어온다. 휴먼 에러를 예방하기 위해 AI를 활용한 탐지 체계를 만들어보자는 내부 고민이 있었다”고 허심탄회하게 털어놨다. 이로 인해 이제는 AI가 판단하기 모호한 공격만 사람이 한 번 더 검증하는 단계를 거친다. 그는 “지금은 모호한 공격이 100건도 안 된다”며 “이전 대비 10분의 1로 줄었기 때문에 담당 실무자의 리소스도 절감된다”고 언급했다. 공격 확인·판단, 대응에 소요되는 시간이 단축되면서 줄어든 시간과 인적 자원은 다시 분석력을 키우는데 활용하고 있다. 백 CISO는 “변화하는 IT 트렌드에 맞춰 공격도 바귀었고 이를 분석하는 역할도 변화하고 있다”면서 “남은 리소스를 여기에 활용하다 보니 내부에서도 운영이 용이하게 이뤄지고 있다”고 답했다. “ISO 42001, 여기어때 전체로 넓히고 싶어” 향후 백 CISO는 AI 쉴드가 획득한 ISO 42001 인증을 여기어때 플랫폼 전체로 확대하고 싶다는 바람을 드러냈다. 그는 “예를 들어 리뷰를 AI가 세 줄로 요약해주는 서비스와 같이 작은 기능부터 AI가 리뷰를 정확하게 검토해주는지, 어떤 학습 모델을 쓰는지, 보안상 문제는 없는지 등을 검증받아 관련 인증을 획득하고 싶다”고 밝혔다. 이어 “지금처럼 보안 영역이 아닌 여기어때 서비스에 적용된 AI와 플랫폼 자체가 인증을 받도록 하는 것이 목표”라고 덧붙였다. 그는 플랫폼 전체로 AI 인증을 확대할 경우 AI 쉴드를 처음 구축했던 2년 전보다는 많은 인력이 필요할 것이라고 내다보기도 했다. 끝으로 백 CISO는 2017년 내걸었던 5대 보안 정책을 계속해서 지켜나가고 싶다는 의지를 내비쳤다. 당시 회사가 내건 5대 정책은 회원정보와 숙박 예약정보 분리 및 암호화, 예약 개인정보를 제휴점 전송 시 닉네임과 가상번호로 대체, CISO 영입 및 개인정보 보호팀 강화, 외부 전문기관과 공조를 통해 해킹 예방 모니터링 시스템 구축, 최신 보안위협에 대응 가능한 신규 보안 솔루션 도입이다. 백 CISO는 “전임자에게 배웠던 '기초가 튼튼해야 된다'는 말을 저 역시도 믿고 있다”며 “나머지들이 어느 정도 쌓여가도 기초가 튼튼하지 않으면 무너지는 것이고, 기초가 튼튼하면 (나머지가) 일정 부분 부실해도 무너지지 않는다. 5대 공약만큼은 바뀌지 않도록 하고 싶다”고 강조했다.
