"미토스급 AI모델 공격자 손에 들어가는 건 시간문제"

"미토스 급의 프론티어 AI 모델이 공격자의 손에 들어가는 것은 시간 문제입니다."

이상준 지란지교시큐리티 최고기술책임자(CTO) 겸 연구소장은 최근 지디넷코리아와 인터뷰에서 공격자들 위협이 기업이나 기관을 노리는 것에서 나아가 보안업체까지도 타깃으로 삼고 있다며 이 같이 밝혔다.

이 CTO는 1966년생으로 삼성전자 컴퓨터 시스템사업부에서 사회생활을 시작했다. 90년대 초반 국산 유닉스 시스템 개발 및 사업을 담당했고, 삼성SDS 설립 당시 삼성SDS로 합류해 조달 EDI 중계 시스템 구축 프로젝트 등을 수행했다.

2000년에는 시큐아이에서 공개 키 기반 구조(PKI) 개발 팀장을 역임했다. 2002년 유넷시스템즈로 합류해 연구소장으로 약 15년 근무했다. 지란지교시큐리티에는 2017년 1월 합류, 현재 9년째 CTO를 맡고 있다

그는 "지란지교시큐리티는 AI발 보안 위협에 대비해 AI 기반 취약점 분석을 개발 단계에 적극 활용해 보안성을 높이고 있다. KISA 등 외부 전문기관과 취약점 진단도 지속적으로 수행하고 있다. 또 예방·탐지·대응으로 이어지는 다층 방어 체계를 강화하고 있다"고 들려줬다.

또 개발 단계서부터 보안에 대비하는 '시프트 레프트'와 침투 자체를 어렵게 하는 구조에 집중하고 있다면서 "운영 단계에서는 다중속성인증(MFA), 이상행위 탐지 기능을 강화하고 긴급 패치와 신속한 대응 체계도 지속적으로 고도화하고 있다. 지란지교시큐리티는 향후 인공지능(AI) 기반 위협 탐지와 사이버 위협 인텔리전스(CTI)를 결합해 보다 선제적인 보안 체계를 구축해 나갈 계획"이라고 밝혔다.

AI발 보안 위협 뿐 아니라 지난해 터져 나온 쿠팡, SK텔레콤 등 대형 해킹 사태와 SGI서울보증 등 기업들을 괴롭힌 랜섬웨어 공격까지 사이버 위협은 날로 고도화되는 현실이다. 특히 랜섬웨어 공격의 경우 이중, 삼중으로 금전을 갈취하는 것은 물론 백업 데이터 공격, AI를 활용한 정교한 피싱으로 초기 침투, 서비스화 등 위협을 다각화하고 있다. 랜섬웨어 대응이 보안의 필수 요소가 된 셈이다.

이와 관련해 이 CTO는 "최근 랜섬웨어는 이메일과 문서 파일로 위장해 사회공학적 기법을 활용해 초기 침투하는 것이 핵심이다. 사용자가 직접 문서 파일을 열람하고 파일 내부에 포함돼 있는 악성 스크립트를 실행함으로써 랜섬웨어 공격이 이뤄지는 형식"이라며 "이에 따라 단순히 악성코드를 탐지하는 방식 만으로는 한계가 분명하다. 지란지교시큐리티는 콘텐츠 무해화(CDR) 기술을 통해 문서 내 실행 가능한 콘텐츠를 사전에 제거하고, 무해한 문서를 중앙화된 보관소에 저장해 문서의 유입부터 반출까지의 전주기를 보호할 수 있는 체계를 제공하고 있다"고 강조했다.

이어 그는 "이같은 지란지교시큐리티의 기술들은 제로트러스트(Zero Trust) 전략과도 맞닿아 있다"며 "제로트러스트는 접근 통제, 인증 등 영역과 더불어 기업 내부에 유입되는 콘텐츠까지 신뢰하지 않는 보안 체계다. 문서 등 콘텐츠의 보안을 위해 악성 여부를 판단하지 않고 전수 삭제한다. 오직 중앙 서버에서만 콘텐츠는 관리되며, 사용자는 무해화된 콘텐츠만 이용할 수 있도록 했다"고 설명했다.

이상준 지란지교시큐리티 CTO가 지란지교시큐리티의 제로트러스트 전략에 대해 설명하고 있다.

실제로 제로트러스트 전략 수립 단계에 들어간 고객사나, 제로트러스트 도입에 관심이 많은 기업이나 기관을 중심으로 최근 CDR 제품에 대한 도입 문의가 크게 늘었다는 것이 이 CTO 설명이다.

그는 "제로트러스트 프레임워크 구현은 장기적인 과제다. 인증서부터 엔드포인트, 내부자 보안, 물리보안 영역까지 모든 체계 전반을 점검해야 하는데, 시간과 비용이 많이 소요된다"며 "지란지교시큐리티 CDR 제품을 도입해 당장 '할 수 있는 것부터' 구현하려는 시도가 필요하다. 지란지교시큐리티 CDR 제품은 구축이 쉽고 단기간에 가능하며, 효과가 즉각적이다"라고 짚었다.

"중소기업 무너지면 대기업도 뚫린다…SaaS 중심 지원"

보안을 완벽하게 구현해 내기란 사실상 불가능에 가깝다. 공격자가 압도적으로 유리한 환경에서 불리한 조건 속에서 한정된 예산으로 수많은 공격들을 방어해야 하기 때문이다. 여기에 AI까지 가세해 공격이 집중된다면 웬만한 보안 체계를 다 갖췄다는 대기업도 속수무책으로 당하기 마련이다.

중소기업은 더 열악하다. 보안 담당자는커녕 해킹을 당해도 모르고 있는 경우가 허다하다. 그러나 이같은 중소기업들이 대기업과 협력관계를 맺고 있는 경우 침해사고를 당했을 때 대기업으로 피해가 번지는 통로가 되기도 한다.

이와 관련해 이 CTO는 "중소기업은 보안 전문인력과 예산이 제한적인 만큼 운영이 간편하면서도 부담이 적은 보안 서비스가 중요하다"며 "지란지교시큐리티는 가능하면 클라우드 기반 문서 보안 등 서비스형 소프트웨어(SaaS) 중심 서비스를 확대하고자 한다. 이를 통해 초기 구축 비용과 운영 부담을 줄이는 데 집중하고 있다"고 말했다.

그는 "또한 한국인터넷진흥원(KISA) 등 기관에서 추진하는 중소기업 보안을 지원하는 정부 사업에도 적극 참여해 중소기업이 보다 쉽게 보안 솔루션을 도입할 수 있도록 지원하고 있다"며 "공급망 보안의 중요성이 커지는 만큼 중소기업의 보안 수준 향상은 개별 기업을 넘어 산업 전반의 보안 경쟁력과도 직결되는 과제"라고 강조했다.

"지란지교시큐리티, 솔루션 연동 가이드북으로 공시 확대 대응"

사이버 위협이 고도화됨에 따라 정부의 대응 시계도 빨라졌다. 보안 관련 컴플라이언스도 급변하고 있다. 이 중에서도 기업들이 주목하는 대목은 내년부터 정보보호 공시 대상이 전체 상장사로 확대되는 것이다. 지란지교시큐리티는 규제 준수 차원에서도 고객사를 지원할 계획을 갖고 있다.

지란지교시큐리티가 지난 5월 내년부터 정보보호 공시 의무 대상 확대에 대응한 가이드북을 발간했다.(사진=지란지교시큐리티)

이 CTO는 "기존에는 매출 3000억원 이상 기업만 정보보호 공시 의무 대상이었는데, 이제는 코스피, 코스닥 전체 상장사가 의무 대상이 됐다. 매출 규모에 상관 없이 전부 공시를 해야 하는 셈"이라며 "이에 지란지교시큐리티는 지난 5월 '2027년 정보보호 공시 전략 가이드북'을 발간해 실무자의 관점에서 어떻게 대응해야 하는지를 제시했다"고 말했다.

이 회사가 만든 '정보보호 공시 가이드북'은 총 26페이지 분량이다. 5대 공시 항목, 공시 실제 제출 절차와 연간 준비 로드맵, 자가진단 체크리스트 등을 담았다. 그는 "지란지교시큐리티 솔루션이 공시 항목에 어떻게 기여할 수 있는지 KISA 분류 기준에 맞춰 구체화했다"면서 "예를 들어 스팸스나이퍼를 도입하면 투자 현황에는 구독료나 감가상각비로 들어가고, 인력 현황에는 운영 담당자를 기재할 수 있고, 활동 현황에는 매월 자동 생성되는 운영 리포트가 증빙이 되는 식"이라고 설명했다.

이 CTO는 "보안 솔루션이 자동 생성하는 월간 운영 리포트(차단 건수, 처리 통계, 위협 추이)는 정기 점검 활동의 직접적인 증빙으로 활용할 수 있다. CISO 결재를 포함한 정기 보고 체계를 운영하면 별도의 준비 없이도 증빙을 지속적으로 축적할 수 있다"며 "정보보호 공시는 단순히 의무 이행이 아니라 기업의 보안 투자와 운영 수준을 객관적으로 입증하는 기술 문서"라고 진단했다.

"올해 하반기 HRM 출시…양자내성암호로 미래 위협도 대응"

AI발 위협은 AI 기반 보안 기술로 대응해야 한다는 것이 보안업계 중론이다. 이에 지란지교시큐리티도 자사 솔루션에 AI 기술을 접목시켜 더욱 고도화할 계획이다.

이 CTO는 "AI는 향후 보안 기술 경쟁력을 좌우하는 핵심 요소가 될 것으로 보고 있다"며 "현재 메일보안에는 AI 기반 스팸 및 악성 메일 탐지 기술을 적용하고 있으며, 문서보안에서는 문서 중요도와 카테고리 자동 분류 기능을 고도화하고 있다"고 밝혔다.

그는 "아울러 CDR 기술에도 AI 기술을 접목시켜 AI를 활용한 악성코드 분석 기술을 지속적으로 연구하고 있다"며 "AI 기술은 성능뿐 아니라 운영 효율성과 비용까지 함께 고려해야 하는 만큼 다양한 AI 모델을 유연하게 적용할 수 있는 구조를 준비하고 있다. 고객 환경에 맞춰 단계적으로 서비스를 확대할 계획"이라고 말했다.

뿐만 아니라 지란지교시큐리티는 앞으로의 보안 기술 방향성을 '휴먼 리스크 매니지먼트(HRM)'로 잡고 제품을 고도화해 나간다는 계획이다. 사용자의 작은 실수 하나가 대규모 보안 사고로 이어질 수 있는 만큼 보안의 범위를 IT 자산을 넘어 구성원의 행동까지 확대하겠다는 복안이다.

지란지교시큐리티는 악성 메일 모의훈련과 보안 인식 교육(SAT) 분야 솔루션을 제공함으로써 다양한 고객사의 보안 의식 향상을 지원해 왔다. 이 과정에서 구성원의 보안 행동이 장기적으로 얼마나 개선됐는지, 어떤 사용자의 위험이 반복되는지, 개인별 위험 수준에 맞는 교육이 이뤄지고 있는지까지 지속적으로 관리하는 데는 한계가 있다는 점도 확인했다. 이 CTO는 "이에 보안 교육을 일회성 이벤트에 그치지 않고 구성원의 행동 변화와 위험 수준을 지속적으로 관리할 수 있는 HRM을 올해 하반기 출시할 계획"이라면서 "보안 모의훈련에서 한 단계 더 나아가 AI 기반으로 사용자 보안 행동 분석, 위험도 평가, 개인별 맞춤형 교육을 유기적으로 연계하는 방향으로 고도화하고 있다"고 밝혔다.

지란지교시큐리티는 양자내성암호(PQC) 전환 사업도 검토하고 있다. 기업이 현재 사용 중인 암호 체계를 진단하는 Crypto Discovery부터 전환 우선순위 수립, 안전한 PQC 적용까지 지원하는 체계를 검토중이다. 이 CTO는 "양자컴퓨팅 시대에 우려되는 ‘현재 수집하고 미래에 복호화하는(Harvest Now, Decrypt Later)’ 위협에 선제적으로 대응할 수 있는 체계를 검토하고 있다"고 말했다.