[보안 최전선 ①] 문광석 코리안리 파트장 “보안은 비용 아닌 보험, 멈추면 ‘기술 파산’ 온다” 작성일 02-09 48 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="YTijbfnQI7"> <p contents-hash="e5443c6ef0f5a0ad18b613052301d3a888053e36d2822557a759504568ef4aa6" dmcf-pid="GWLc98oMOu" dmcf-ptype="general"><strong>“보안팀은 평소엔 유령, 사고 터지면 소방수... 선제적 대응이 살길”<br>AI는 조수일 뿐... 보안 전문가는 비즈니스 설계하는 ‘아키텍트’로 남아야<br>기술 부채 쌓지 않는 ‘평생 공부’가 보안인의 숙명</strong></p> <p contents-hash="49d0a7ced6760068deae8a3aea9fcc53d04601aceaeb8ca1d44e46421c5515cd" dmcf-pid="HYok26gREU" dmcf-ptype="general">[보안뉴스 조재호 기자] “보안팀은 평소엔 유령 같은 존재입니다. 아무 문제 없을 땐 투명 인간이다가 사고가 터지면 ‘아, 저 사람이 있었구나’ 하지요.”</p> <p contents-hash="47d0fc2d20453b76e65a6768e013a2828f14c868d588baceaa814bebe9803036" dmcf-pid="XGgEVPaewp" dmcf-ptype="general">서울 종로구 코리안리 재보험 본사에서 만난 문광석 IT보안 파트장은 자신을 ‘유령’이라 소개하며 웃음 지었다. 하지만 그의 평소는 결코 조용하지 않다. 낮에는 금융사의 보안을 책임지는 파트장으로, 퇴근 후에는 ‘삐뽀삐뽀 보안 119’, ‘수제비 보안기사 수험서’ 등을 집필한 작가로 변신한다. 주말에는 차세대 보안 리더(BoB)를 양성하는 멘토이자 한국정보공학기술사회 미래융합기술원장으로 맹활약 중이다.</p> <figure class="figure_frm origin_fig" contents-hash="4264ea04b76d60758172927d9c40969610e36efe4c9fcb7aa7ceee942ba58a78" dmcf-pid="ZHaDfQNdE0" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202602/09/552815-KkymUii/20260209153827861oatx.jpg" data-org-width="750" dmcf-mid="ySmgz9d8Iq" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202602/09/552815-KkymUii/20260209153827861oatx.jpg" width="658"></p> </figure> <div contents-hash="630658bf42575f2663a3936873dc91e491f8adcda65a44142f4c2b1ab729bc7f" dmcf-pid="5XNw4xjJw3" dmcf-ptype="general"> <div> <p>▲문광석 코리안리 IT보안 파트장 [출처: 보안뉴스]</p> </div> <br>주변에서 “몸이 열 개냐”고 묻는다는 그에게, 지금 대한민국 보안 현장의 이슈와 미래에 대해 물었다. 그는 현업의 치열함과 교육자의 시선을 오가며 AI 시대의 보안을 이야기했다. </div> <p contents-hash="ea09e1899b246478122211acd8c2660634785baaf6aa97a6c5abb2b855efe79b" dmcf-pid="1Zjr8MAiwF" dmcf-ptype="general"><strong>법은 기술의 속도를 따라잡지 못한다: 클라우드와 AI의 역설</strong><br>문 파트장이 가장 먼저 꺼낸 화두는 ‘기술과 제도의 속도 차이’였다. 기업들은 앞다퉈 클라우드(Cloud)와 AI를 도입하고 있지만, 이를 규제하고 보호해야 할 법망은 여전히 과거의 물리적 서버 환경을 기준으로 짜여 있다는 지적이다.</p> <p contents-hash="66a8db70eb6390293125a5310ed9bcdcb0de288be8d91d739ec6823738f5734b" dmcf-pid="t5Am6RcnOt" dmcf-ptype="general">“예전 전산실 환경에서는 서버실 문만 잘 잠그면 됐는데, 클라우드는 다릅니다. 관리자 콘솔 아이디(ID)와 패스워드만 있으면, 전 세계 어디서든 기업의 모든 데이터를 삭제하거나 유출할 수 있죠. 일종의 ‘마스터 키’인데, 현재의 법률이나 컴플라이언스는 이 ‘마스터키’를 어떻게 관리해야 할지 구체적으로 명시하지 못하고 있습니다.” 그는 이 간극을 ‘현장의 딜레마’라고 표현했다. 법이 없다고 손 놓고 있을 수는 없기 때문이다. </p> <p contents-hash="81421e8bd02be4c7bd469e078f459fdede8a2fac5cf4b1c79348bd55ec30ff6d" dmcf-pid="F3DCMiwaO1" dmcf-ptype="general">“결국 법이 정비되기 전까지는 현장의 보안 담당자들이 스스로 ‘가이드라인’을 만들고, 클라우드 환경에 맞는 접근 통제(IAM) 정책을 수립해야 한다”며, “법을 지키는 소극적 보안을 넘어, 기술의 특성을 이해하고 선제적으로 방어막을 치는 ‘능동적 보안’이 필요한 시점”이라고 강조했다.</p> <p contents-hash="cbef57348356c3b762498053cc8d1513783c6f975e33a214ce0dfd44237a10c9" dmcf-pid="30whRnrNO5" dmcf-ptype="general">금융권의 뜨거운 감자인 AI 도입에 대해서도 “망분리 규제로 인해 외부 파운데이션 모델을 마음대로 이용하지 못하는 상황”이라면서도 “그렇다고 무조건 기다리지 않고 규제 샌드박스를 통한 ‘혁신 금융서비스 신청’으로 보호대책을 구축하고 평가를 받는다면 생성형 AI 선 도입도 가능하다”고 말했다. 회사의 미래 비즈니스를 위해서라도 보안이 선제적으로 움직여야 한다는 설명이다.</p> <p contents-hash="69a0476c39e3eceb4eb8635aa49f12a63cf7dca06cfa4396a2e90f9c52f4c780" dmcf-pid="0prleLmjDZ" dmcf-ptype="general"><strong>“한국은 해커들의 맛집”... 기술보다 무서운 ‘관리의 빈틈’</strong><br>최근 급증하는 국내외 해킹 사고에 대해 그는 “한국이 해커들에게 ‘맛집’으로 소문이 났다”고 꼬집었다. 세계 최고 수준의 IT 인프라와 네트워크 속도를 갖췄지만, 그에 비해 보안 의식이나 관리는 허술해 해커들이 놀기 좋은 환경이라는 뜻이다.</p> <p contents-hash="69c6e192b4106513a02e2bb35bbd46902a7e84ef5954f42289566b98ffe38ffb" dmcf-pid="pUmSdosAEX" dmcf-ptype="general">“하루에도 수십만 건의 공격 트래픽이 찍힙니다. 예전에는 국가 기관이나 대기업이 타깃이었다면, 지금은 보안이 취약한 중소기업이나 개인 서버를 경유지로 삼는 경우가 허다합니다. 문제는 사고의 원인을 들여다보면, 엄청난 신기술 공격보다는 ‘기본적인 관리 미흡’인 경우가 대부분이라는 점입니다.”</p> <p contents-hash="602e74e59f103b0d8a7787f2acb249d0c8f9949601deca571a17add4f24da28b" dmcf-pid="UusvJgOcmH" dmcf-ptype="general">그는 2017년 금융권 사고 사례 등을 언급하며 “패치를 제때 안 하거나, 원격 접속 포트(SSH 등)를 아무런 통제 없이 열어두는 사소한 실수가 대형 사고로 이어진다”고 지적했다.</p> <figure class="figure_frm origin_fig" contents-hash="b5145a8176f9f88859437766a945fdae6d3be9208bf37285b6aa06adba4e50e6" dmcf-pid="u7OTiaIkDG" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202602/09/552815-KkymUii/20260209153829163syuw.jpg" data-org-width="750" dmcf-mid="WfX0wIZvsz" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202602/09/552815-KkymUii/20260209153829163syuw.jpg" width="658"></p> </figure> <div contents-hash="64bb21f81a0871cd6fc0868103f9850a2ae55aa1e216bf3da43c4a7aa5579eef" dmcf-pid="7zIynNCEsY" dmcf-ptype="general"> <div> <p>▲문광석 IT보안 파트장의 책상 [출처: 보안뉴스]</p> </div> <br>인력 부족 문제도 심각하다. 그는 “현장 TO(정원)에 비해 실제 근무자는 너무 부족하다”며 “보안 담당자 한 명이 네트워크도 보고, PC 내 보안 솔루션도 고치고, 개인정보까지 챙겨야 하는 ‘슈퍼맨’이 되어야 하는 실정”이라고 토로했다. </div> <p contents-hash="abc17a7e3b09411f29cdc6eab3cb50588d5ade04c48a7f18b7c4dc5bf3071bdf" dmcf-pid="zqCWLjhDEW" dmcf-ptype="general">사람이니까 실수가 나올 수밖에 없다. 그래서 이를 보조할 클라우드 보안 형상 관리(CSPM) 같은 자동화 도구 도입도 적극 권장했다. 사람이 놓치는 ‘열린 문’을 막고 AI를 활용한 24시간 감시 체계를 도입해야 한다는 의견이다.</p> <p contents-hash="d13e0593dc6880489c8028b02d13ed92e34c7a80d88fc27b60501fc8fb299afe" dmcf-pid="qBhYoAlwwy" dmcf-ptype="general">그는 “AI 발달로 사람의 일이 줄어들었다고 말하지만, 현장에서는 머나먼 미래 이야기”라며 “설령 자동화가 된 부분이 있더라도 보안은 돌발 상황의 연속이기 때문에 판단과 책임은 오롯이 사람의 몫이고, AI는 분명 한계점이 있다”고 말했다.</p> <p contents-hash="da9168bfb5cdd267a5ad659d03f35e38c0342f1c39e24792f8fcf30787a5ec54" dmcf-pid="Bc9PXF2usT" dmcf-ptype="general"><strong>AI 시대, 인간 보안 전문가의 생존법: ‘코더’가 아닌 ‘아키텍트’</strong><br>AI가 코딩도 하고 취약점도 찾아내는 시대, 신입 보안 인력들은 “우리가 설 자리가 있느냐”고 묻곤 한다. 이에 대해 문 파트장은 “AI와 경쟁하려 하지 말고, AI를 부리는 ‘설계자(Architect)’가 되라”고 조언했다.</p> <p contents-hash="e97f1f8df25ecf7165bdb5f46d3353f6b988c03cb34f0786c256a2906c509540" dmcf-pid="bk2QZ3V7mv" dmcf-ptype="general">“단순히 코드를 짜거나 로그를 분석하는 일은 AI가 훨씬 빠르고 정확합니다. 하지만 AI는 파편화된 정보를 ‘맥락(Context)’에 맞춰 연결하지는 못합니다. 이 공격이 우리 회사의 비즈니스에 어떤 영향을 미치는지, 법적으로는 어떤 문제가 생기는지, 경영진을 어떻게 설득할지 판단하는 건 결국 사람의 몫입니다.”</p> <p contents-hash="52a3418940d33a4f7719401363426d0dd5efddae0526412255d113f4ba09762b" dmcf-pid="KEVx50fzDS" dmcf-ptype="general">그는 보안 후배들에게 ‘기술 부채(Technical Debt)’라는 개념을 강조했다. 소프트웨어 개발에서 미루어 둔 숙제가 나중에 더 큰 비용으로 돌아오듯, 보안 전문가의 지식도 마찬가지라는 것이다.</p> <p contents-hash="c5c74f1f7fcd074ceacda62548a0fbf350af968838b18dda3e26d288df71a926" dmcf-pid="9DfM1p4qrl" dmcf-ptype="general">“보안은 멈춰 있는 학문이 아닙니다. 클라우드가 나오면 클라우드를, AI가 나오면 AI를 공부해야 합니다. ‘오늘은 피곤하니까’라며 공부를 미루면, 그게 다 빚이죠. 나중에는 이자까지 쳐서 감당할 수 없는 수준이 됩니다. ‘기술 파산’을 당하지 않으려면, 끊임없이 내가 무엇을 모르는지 파악하고 공부해서 빚을 갚아나가는 수밖에 없습니다. 잔인하지만 그게 보안 전문가의 숙명입니다.”</p> <p contents-hash="b52f4718c42fa1c8a07dc6a941155333bc799b076ac7ec1fcc591822cfe95cae" dmcf-pid="2w4RtU8BOh" dmcf-ptype="general">앞으로 보안을 비롯한 IT 분야에서 자격증이 더욱 중요해질 것이라고도 내다봤다. 그는 “AI의 영향으로 모든 기업의 충원이 줄었고, 고스펙에 더해 자격증과 직무 기술서(Job Description)까지 꼼꼼히 살피는 추세”라고 현장 분위기를 전했다. 그러면서 “일부에서 자격증이 무슨 의미냐고 말하지만, 자격증 역시 과정이고 하나의 라이선스를 위해서가 아니라 공부를 위한 수단이라 생각한다”고 덧붙였다.</p> <p contents-hash="4e41bfcf1fe0576dc5368d0f1d28c4ebab3b3a91b6dc65660d14128fc483c2c2" dmcf-pid="Vr8eFu6bIC" dmcf-ptype="general"><strong>보안은 ‘브레이크’가 아니라 ‘안전벨트’다</strong><br>인터뷰를 마치며 그는 보안의 ‘대중화’와 ‘문화’를 거듭 강조했다. 보안팀이 단순히 ‘안 된다’고 막는 조직이 아니라, 비즈니스가 안전하게 달릴 수 있도록 돕는 조력자가 되어야 한다는 것이다.</p> <p contents-hash="8002b2cd800b1ee5f8d16441614b82667031b21ae0c813f40a56483936d1b0ac" dmcf-pid="fm6d37PKEI" dmcf-ptype="general">“화재보험에 가입한다고 불이 안 나는 건 아니지만, 불이 났을 때 회사가 망하지 않게 해줍니다. 보안도 마찬가지죠. 경영진에게 보안은 ‘비용’이 아니라 기업 생존을 위한 ‘보험’이자 ‘투자’라는 인식을 심어줘야 합니다.”</p> <p contents-hash="07b3d54a45c573b5ab170f396630fe03583b51d71cdb90ca0eabffcd16dad37b" dmcf-pid="4sPJ0zQ9mO" dmcf-ptype="general">문 파트장이 꿈꾸는 ‘선제적 보안’은 사고가 터진 뒤 쫓아가는 것이 아니라, 남들이 가지 않은 길을 먼저 가서 안전한 길을 닦아놓는 것이다.</p> <p contents-hash="37072326a17da1bb25d0c31bf9c7139dd735c34b8d254185731927a2166def52" dmcf-pid="8OQipqx2ws" dmcf-ptype="general">“보안이 어렵고 무서운 기술이 아니라, 누구나 이해할 수 있는 상식이 될 때까지 계속 글을 쓰고 강연할 계획입니다. 그게 제가 이 업계에 있는 이유이기도 합니다.”</p> </section> </div> <p class="" data-translation="true">Copyright © 보안뉴스. 무단전재 및 재배포 금지.</p> 관련자료 이전 '쇼미12' 결승 문턱…최종 라운드 진출자 확정 02-09 다음 中 LFP 에너지밀도, 미드니켈에 근접하나…가격 경쟁 심화 우려 02-09 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
