“보안 누더기 막으려면 설계부터 내재화해야”

조현숙 코드게이트보안포럼 이사장은 문제가 발생할 때마다 사후에 보안을 덧대는 방식은 시스템을 '누더기'로 만들 뿐이라고 지적했다. 새로운 시스템 개발 시 보안을 설계 초기 단계부터 포함해야 하며, 보안을 나중에 처리할 문제로 미루는 관행에 깊은 우려를 표했다.

이는 “보안이니까 다음에 하겠다”는 인식에서 벗어나, 독자 AI 파운데이션 모델(독파모) 또한 설계 초기부터 보안이 들어가야 함을 강조하는 말이다. 시스템의 안정성과 신뢰성을 확보하기 위해서는 개발의 첫 단추부터 보안을 필수 요소로 고려해야 한다는 것이다.

이 결과 AI는 복잡한 문제 해결에서 인간의 직관, 즉 인사이트를 따라가지 못하는 한계를 보였다.

단순 계산 능력에서는 AI가 앞서지만, 복잡한 판단이 필요한 지점에서는 인간의 개입이 필수적임이 드러났다.

팀 단위 협업 시 인간팀이 18등을 기록했지만, 개인 실력 대결에서는 AI팀이 2등을 차지하여 AI의 잠재력을 보였다. AI 해킹의 자동화는 취약점 공격 시간을 2.2년에서 20시간으로 단축시키는 등 파괴적 변화를 예고한다.

이에 따라 AI 자체가 해커이자 방어자 역할을 수행하는 시대가 도래할 것이며, AI 해킹의 일반화에 대한 우려가 커지고 있다.

북한은 특정 타겟을 정해 집중적으로 스터디하는 반면, 한국은 다양한 시스템을 다루는 데 강점이 있다고 조현숙 이사장은 설명했다.

이는 한국이 특정 시스템에 국한되지 않고 광범위한 분야에서 해킹 역량을 발휘할 수 있음을 의미한다. 다만 특정 국가를 일등으로 규정하기는 어렵다고 덧붙였다.

AI 모델에 어떤 데이터를 넣고 어떻게 사용되며, AI 에이전트들 간의 연계가 어떻게 이루어지는지 면밀히 관리해야 한다.

AI 에이전트가 스스로 보안 문제를 중단시킬 수 있는 능력을 갖춰야 하며, 모델의 판단 무결성, 데이터 접근 권한, API 및 오픈소스 공급망까지 포괄하는 관리가 필요하다고 강조했다.

AI 에이전트가 이메일 발송, 문서 열람, 결제 승인 등 다양한 권한을 갖게 되면서 보안 책임이 커지기 때문이다.

AI 에이전트의 광범위한 권한은 잠재적인 보안 위협을 수반하므로, 이에 상응하는 보안 투자가 필수적이라고 강조했다.

AI 에이전트의 광범위한 권한 확대로 인해 인간의 개입이 필수적이라고 조현숙 이사장은 강조했다. AI 에이전트의 권한을 확인하고 통제하는 과정이 반드시 필요하다.

인간과 AI의 협업을 통해 시스템을 지속적으로 모니터링하고, 필요시 AI의 작동을 정지시킬 수 있는 체계를 구축해야 한다.

조현숙 이사장은 현재 우리나라 시스템에 보안을 덧붙이는 방식은 '누더기' 시스템이 될 수밖에 없다고 비판했다. 기업들이 보안을 비용으로만 인식하고 간과해온 관행이 보안 취약의 근본 원인으로 작용한다고 진단했다.

특히 최고 결정권자의 보안에 대한 관심 부족이 이 문제를 더욱 심화시키고 있다고 지적했다. 따라서 새로운 시스템은 반드시 설계 단계부터 보안을 내재화해야 한다고 거듭 강조했다.

이는 사후약방문식 대응으로는 효과적인 보안이 불가능하며, 초기 단계부터 보안을 시스템의 핵심 구성 요소로 통합해야 한다는 의미이다.

조현숙 이사장은 사이버 공간의 공격이 이제는 물리적 시설 타격으로 직접 이어질 수 있다며, 사이버와 피지컬 보안의 융합이 필수적이라고 설명했다. 두 영역을 따로 떼어 생각할 수 없으며, 떼어서도 안 된다는 것이다.

이는 정부 부처 간 정보 보안과 물리 보안의 통합, 즉 융합 보안 체계의 필요성을 의미한다. 사이버와 물리적 안전의 경계가 사라지는 융합 보안 시대에 발맞춘 총체적인 접근이 요구된다.

사이버 공격이 네트워크를 통해 통신망, 전력망과 같은 핵심 기반 시설을 파괴할 수 있기 때문이다.

조현숙 이사장은 사이버 전쟁이 아주 작은 공격에서 시작되어 국가 전체의 물자 및 자원 관리 시스템을 무력화시킬 수 있다고 경고했다.

한국의 보안 문화는 문제 발생 시 보고와 승인 절차로 인해 신속한 대응의 '골든타임'을 놓치는 경향이 있다. “아 그거를 고치면 안 돼. 이거를 보고를 해. 보고를 하면은 이사회까지 통과를 해. 그렇게 하면은 되겠습니까?”라는 지적은 경직된 의사결정 구조의 한계를 보여준다.

사후 약방문식 투자로는 효과적인 보안이 불가능하며, 보안 사고에 대한 강력한 처벌 규정의 부재 역시 개선이 필요하다고 조현숙 이사장은 덧붙였다.

조현숙 이사장은 미국 등 주요국 사례와 비교하며, 현재 한국은 범국가적 위기 상황에 효과적으로 대응할 수 있는 통합 체계가 미흡하다고 설명했다.

컨트롤 타워 부재는 국가적 사이버 위협에 대한 신속하고 일관된 대응을 어렵게 하는 핵심 요인으로 작용한다.

조현숙 이사장은 공공기관 제품 도입 시 국정원 사전 승인 제도와 같은 경직된 보안 규제 개선을 촉구했다. AI 시대의 급변하는 속도에 맞춰 규제 방식 역시 유연하게 변화해야 한다는 것이다.

보안 담당자에게 “거칠 수 있도록” 자율권을 부여하고, 보안을 단순한 규제가 아닌 국가 인프라의 핵심 요소로 인식하는 변화가 필요하다고 강조했다.

이는 사후에 보안 기능을 덧대는 '누더기식' 보안 방식을 비판하는 맥락이다.

기능 설계 단계에서부터 보안 및 인증 기능을 동시에 개발하여 시스템과 보안이 구분되지 않도록 설계해야 한다는 점을 강조했다.

보안 인재 양성 시 공격 기술 인재와 방어 기술 인재를 따로 구분할 필요가 없다고 조현숙 이사장은 말했다. 방어를 위해서는 공격 기술에 대한 깊은 이해가 필수적이기 때문이다.

공격 테크닉 습득이 곧 방어 체계 고도화로 연결되므로, 단순 기능 인력이 아닌 공격과 방어를 아우르는 통합형 인재 양성이 필요하다고 설명했다.

조현숙 이사장은 '10만 양병설'과 같은 구호성 인력 양성 정책은 실효성이 부족하며 '허당'에 가깝다고 비판했다. 현재에도 새로운 이름으로 AI 신만 양성설이 나오지만, 이는 실질적인 도움이 되지 않는다고 지적했다.

보안 기술과 AI 역량을 동시에 갖춘 실무형 인재 배출이 시급하며, 단순하게 숫자를 채우는 식의 인력 양성 정책은 지양해야 한다고 강조했다.

현재 3,500억 원 규모의 AI 관련 예산이 조각조각 분산되어 비효율적으로 사용되고 있다고 조현숙 이사장은 지적했다. 이러한 문제를 해결하기 위해 AI 전략 위원회에서 예산을 총괄하고 전체적인 시스템을 설계해야 한다고 주장했다.

각 기관별 분배보다 전체 시스템 설계를 우선하고, 보안 내재화를 고려한 전략적인 예산 투입이 필요하다고 강조했다.

무분별한 링크 클릭이나 '공짜' 서비스 이용은 경계해야 한다고 말했다.

모든 앱에 동일한 패스워드를 사용하는 위험성을 인지하고, 패스워드를 주기적으로 변경하며 철저한 보안 습관을 유지하는 것이 중요하다고 덧붙였다.