AI ‘차단’보다 ‘안전한 활용’이 답··· 재설계된 현실적 '보안개념'

AI 확산에 기존 보안 체계 한계···'안전한 AI활용' 중심 전환
AI 에이전트 시대 본격화···인증·권한관리 방식도 재설계
"반복 업무는 AI가, 판단은 사람이"···'AI 네이티브 보안팀' 제안

8일 과학기술정보통신부가 서울 중구 신라호텔에서 정보보호의 날을 맞아 개최한 '제15회 정보보호의 날 기념식' 부대행사 '2026 정보보호 컨퍼런스'에서 지정호 비바리퍼블리카(토스) CISO가 발표하고 있다. / 사진=김도영 기자

[시사저널e=김도영 기자] 인공지능(AI)이 기업 업무 전반으로 확산하면서 보안의 역할도 바뀌고 있다. AI를 막는 방식만으로는 변화 속도를 따라가기 어려워진 만큼, 기업 보안도 '차단' 중심에서 '안전한 AI활용' 중심으로 전환해야 한다는 목소리가 나온다. 

8일 과학기술정보통신부가 서울 중구 신라호텔에서 정보보호의 날을 맞아 '제15회 정보보호의 날 기념식' 부대행사 '2026 정보보호 컨퍼런스'를 열고 안전한 AI 시대를 위한 사이버보안 발전 방향을 논의하는 자리를 마련했다. 이번 행사는 과학기술정보통신부와 국가정보원, 행정안전부가 공동 개최하고 한국인터넷진흥원(KISA)과 한국정보보호산업협회(KISIA)가 공동 주관했다.

이날 발표자로 나선 지정호 비바리퍼블리카(토스) 최고정보보호책임자(CISO)는 "AI 전환은 거스를 수 없는 흐름"이라며 "보안 조직도 통제하는 조직이 아니라 AI를 안전하게 활용할 수 있도록 지원하는 조직으로 변화해야 한다"고 밝혔다.

지 CISO는 AI 확산 속도가 기존 정보보호 체계가 대응할 수 있는 수준을 넘어섰다고 진단했다. 기존에는 규정과 점검 주기에 맞춰 보안 체계를 운영했다면 AI 시대에는 새로운 서비스와 도구가 빠르게 등장하고 임직원들이 이를 업무에 즉시 활용하면서 변화 속도를 기존 관리 체계가 따라가기 어려워졌다는 설명이다. 

그는 AI를 무조건 차단하는 접근도 현실적이지 않다고 봤다. 문서 작성과 개발, 데이터 분석, 업무 자동화까지 AI 활용이 기업 업무 전반으로 확산하면서 보안 역시 AI 사용 자체를 막기보다 안전하게 활용할 수 있도록 지원하는 방향으로 전환해야 한다는 것이다.

실제 최근 기업들 사이에선 기존 정보보호 체계만으로 대응하기 어려운 문제가 잇따라 나타나고 있다. 고객 정보와 중요 데이터 유출 위험은 물론 AI 서비스의 안전성, 프롬프트 공격, AI가 수행하는 업무의 권한 관리까지 새로운 위험 요소가 계속 늘어나고 있기 때문이다. 지 CISO는 "AI가 이미 업무 환경을 많이 바꿔나가고 있지만 보안의 속도는 그 변화의 속도를 따라가지 못하고 있다"고 말했다.

이에 따라 토스는 AI 거버넌스와 AI 윤리위원회, AI 협의체를 운영하며 AI 관련 규정을 지속적으로 정비하고 있다. AI 서비스를 도입하기 전 위험도를 평가한 뒤 승인 절차를 거쳐 운영하는 방식이다. 고객 정보와 인증 데이터 등 중요 데이터는 망분리 환경에서 관리하는 등 데이터 중요도에 따라 활용 환경도 구분하고 있다. 외부 AI 활용은 허용된 환경에서만 가능하도록 가드레일과 데이터 유출 방지(DLP) 체계를 적용하고 있다.

AI 활용이 확대되면서 보안 관리 대상도 넓어지고 있다. 특히 사람을 대신해 업무를 수행하는 AI 에이전트가 보안 분야의 새로운 관리 대상으로 떠오르고 있다. 사람이 직접 시스템에 접속해 업무를 처리하던 환경과 달리 AI 에이전트는 여러 사람이 공유하거나 과도한 권한을 갖고 동작할 가능성이 있기 때문이다. 이 경우 실제 작업 수행 주체를 추적하기 어렵고 불필요한 권한이 확대될 위험도 커질 수 있다.

지 CISO는 AI 에이전트 시대에 맞는 별도의 관리 체계를 구축해야 한다고 강조했다. 토스의 경우 현재로선 통제되지 않는 AI 에이전트 사용을 제한하는 데 그치고 있지만 앞으로는 검증된 에이전트만 활용할 수 있도록 API 게이트웨이에서 허용된 API만 사용할 수 있는 화이트리스트 기반 관리 체계를 구축할 계획이다.

보안 조직의 운영 방식도 AI 중심으로 바뀌어야 한다는 제언도 내놨다. 그는 보안 조직 역시 AI를 적극 활용하는 조직으로 변화해야 한다고 강조했다. 취약점 분석과 로그 분석, 위협 헌팅, 보안 정책 질의응답 등 반복 업무는 AI를 활용해 자동화하고 사람은 판단과 의사결정에 집중하는 'AI 네이티브 보안팀'으로 전환해야 한다는 설명이다. 빠르게 늘어나는 보안 업무를 기존 방식만으로 감당하기 어려운 만큼 AI를 업무 파트너로 활용하는 조직으로 변화해야 한다는 의미다.

지 CISO는 "AI 전환 시대에는 보안도 더 이상 변화를 뒤따라가는 것이 아니라 선제적으로 준비해야 한다"며 "서비스를 안전하게 만들고 임직원들이 AI를 안전하게 활용할 수 있도록 지원하는 것은 물론, 보안팀도 AI를 활용해 더 유능하게 일할 수 있는 체계를 준비해야 한다"고 강조했다.