"보안은 여러 조직 협업...CISO에 책임 집중 안돼" 작성일 12-18 24 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">강병탁 AI스페라 대표 "기술 방어 넘어 내부 권한관리 체계 정교함이 보안 수준 좌우"</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="2h7YsyiPkU"> <p contents-hash="64d39363c7441df29b92c08cf4ffa23f67cc9529c14e8691fb52c15fb13e5b36" dmcf-pid="VlzGOWnQgp" dmcf-ptype="general">(지디넷코리아=방은주 기자)사이버 보안 전문기업 AI스페라(AI SPERA) 강병탁 대표가 국내 IT 전문 방송 토크아이티(Talk IT) 웨비나에 참여, 최근 불거진 대형 보안 사고를 통해 기업이 나아가야 할 보안 전략의 방향성을 제시했다.</p> <p contents-hash="0d5c50d6447ab30d65553057a037d594a2675bdf9b79e617aafe74a2bc006e5a" dmcf-pid="fE5Ijs6bo0" dmcf-ptype="general">16일 진행한 이번 웨비나는 최근 IT 업계의 큰 화두가 된 쿠팡 해킹 사태 등 주요 보안 이슈를 다각도로 분석하고, 실질적인 대응 방안을 논의하기 위해 마련됐다. AI스페라 강병탁 대표는 보안 전문가 패널로서 기업 내부의 권한 관리 체계와 조직 구조가 가진 근본적인 문제점을 분석했다.</p> <p contents-hash="b88d5d3fe440b2d50776b530d7ee32ce6ac548b55882b562e9cbabd629bfcbb7" dmcf-pid="4D1CAOPKj3" dmcf-ptype="general">강 대표는 최근 발생한 쿠팡 해킹 사고의 주요 원인으로 ‘퇴사자 권한 및 서명키(Signing Key) 관리 미흡’을 꼽았다. 그는 “외부의 직접적인 침입 시도뿐 아니라, 퇴사자의 계정이나 서명키가 관리 사각지대에 놓일 경우 이를 악용한 로그인 토큰 생성이나 정보 접근 가능성이 발생할 수 있다”며 “이는 단순한 기술적 방어를 넘어, 내부 권한 관리 체계의 정교함이 보안 수준을 좌우하는 핵심 요소임을 시사한다”고 설명했다.</p> <figure class="figure_frm origin_fig" contents-hash="182c03f3f34cf1b00981eea35ff8f6a0a9dc5b4246ad1cbfbccdc5fa63a237d0" dmcf-pid="8wthcIQ9aF" dmcf-ptype="figure"> <p class="link_figure"><img alt="강병탁 AI스페라 대표." class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202512/18/ZDNetKorea/20251218081901815qneg.jpg" data-org-width="639" dmcf-mid="KvRB1zOcA7" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202512/18/ZDNetKorea/20251218081901815qneg.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 강병탁 AI스페라 대표. </figcaption> </figure> <figure class="figure_frm origin_fig" contents-hash="fd583104136a33caf87f209bde05c9053dc0f970a1165b0c3c9cf93a7b63ca6b" dmcf-pid="6rFlkCx2ot" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202512/18/ZDNetKorea/20251218081903065nvwt.png" data-org-width="640" dmcf-mid="9uebtqIkou" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202512/18/ZDNetKorea/20251218081903065nvwt.png" width="658"></p> </figure> <p contents-hash="9a7ecff31f8365a856a595811a2d332b4f929681ce7be6cf8741e22f7092bbb7" dmcf-pid="Pm3SEhMVN1" dmcf-ptype="general">또 강 대표는 보안 사고 발생 시 책임이 특정 조직에 집중되는 국내 기업 환경의 구조적 한계에 대해서도 언급했다. 그는 “보안은 개발·인프라·운영 등 여러 조직의 협업을 통해 실행되는 영역인 만큼, 실제 실행 과정 역시 다양한 조직에 걸쳐 이뤄진다”며 “그럼에도 보안 사고 발생 시 책임이 CISO 및 보안 조직에만 집중되는 경향이 있는데, 이는 보안을 전사적 실행 과제로 정착시키는 데 한계로 작용할 수 있다”고 말했다.</p> <p contents-hash="07dc0047ce3d8c24b08a32046d9ee1f95a3af484d8b2b9f8b973efa7327a419d" dmcf-pid="Qs0vDlRfo5" dmcf-ptype="general">ISMS(정보보호관리체계) 인증에 대한 인식과 관련해서도 균형 잡힌 시각을 제시했다. 강 대표는 “ISMS는 보안 관리 체계를 갖췄다는 점을 확인하는 인증이지, 침해 사고를 원천적으로 차단해 주는 보증 수단은 아니다”며 사고 발생 후 인증 유무만을 따지는 것은 문제의 본질을 흐릴 수 있다고 지적했다.</p> <p contents-hash="478609e5d76c96e0bb2031a0ef4e54423b7f8ef8403e08aba5267e76f046b524" dmcf-pid="xOpTwSe4oZ" dmcf-ptype="general">이어 제로 트러스트(Zero Trust) 보안 모델을 실질적으로 구현하기 위해서는 기업이 현재 보유한 자산과 권한, 노출 영역을 먼저 점검하는 접근이 필요하다고 강조했다. 특히 ▲퇴사자 권한 ▲클라우드 API 키 ▲방치된 디지털 자산(Shadow IT) 등 관리 사각지대에 놓이기 쉬운 영역에 대한 자동화된 관리와 가시성 확보가 중요하다고 짚었다.</p> <p contents-hash="d158be4a39e1fe152bff35e3b83004045a7cce2d1b73d96c5486f740a10276ea" dmcf-pid="y2jQB6GhaX" dmcf-ptype="general">강 대표는 웨비나를 마무리하며 “보안 사고를 하나의 사건이나 특정 조직의 문제로 해석하기보다, 기업이 어떤 자산을 보유하고 있고 그 자산이 어떻게 관리되고 있는지를 돌아보는 계기로 삼아야 한다”며 “보안은 단순한 솔루션 도입이 아니라, 외부로 노출된 공격 지점을 실시간으로 파악하고 관리 사각지대를 지속적으로 제거하는 실질적인 운영 체계를 갖추는 것이 본질”이라고 강조했다.</p> <p contents-hash="eb99d26013b86f5488128d318e38ae1ef65fdc5d2b14b03e5ec6cf7b94f5fbd4" dmcf-pid="WVAxbPHlkH" dmcf-ptype="general">한편, 강 대표는 최근 KBS 긴급진단 생방송 패널 토론에도 참여해 쿠팡 해킹 사태 원인과 대응 방안을 분석했다. AI스페라는 위협 인텔리전스(TI)를 기반으로 한 보안 분석 및 공격 표면 관리(ASM) 관련 기술을 제공하고 있다. 글로벌 보안 기업 팔로알토네트웍스의 ‘코어텍스(Cortex) XSOAR’와 연동하는 위협 인텔리전스 서비스도 운영하고 있다. 또 유럽 유통사 닷포스(Datapos)와의 협업 등 해외 보안 기업과의 기술 협력도 진행 중이다.</p> <p contents-hash="f993ed989d0fe5e729864d0b7cf924a3fb34147fccf15b1aea64cc287c323ebf" dmcf-pid="YfcMKQXSoG" dmcf-ptype="general">방은주 기자(ejbang@zdnet.co.kr)</p> </section> </div> <p class="" data-translation="true">Copyright © 지디넷코리아. 무단전재 및 재배포 금지.</p> 관련자료 이전 보이넥스트도어·82메이저·QWER·이즈나, ‘디 어워즈’ 2차 라인업 12-18 다음 르노코리아, 전기차 세닉 E-Tech 1550만원 깎고 연말 판매 총력전 돌입 12-18 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
