통제 부서에서 기술 전도사로... 토스증권이 짚은 AI 시대 보안 혁신

실무자가 스스로 판단하고 통제하는 사내 문화 조성
다층적 운영 모델로 AI 활용 속도와 안전성 동시 확보
장세인 CISO “보안 부서는 기준 전파하는 기술 전도사”

[보안뉴스 조재호 기자] AI가 도입되면서 문서 초안 작성과 로그 패턴 분석 등 활용 범위가 넓어짐에 따라 보안팀이 감당해야 할 의사결정 업무가 급증하고 있다. 모든 AI 도구 사용 허가 요청이 쏠리면서 업무 병목 현상이 발생했고, 현장의 맥락을 파악하기 위해 끝없는 문답이 되풀이되고 있다.

[출처: gettyimagesbank]

토스증권은 보안팀이 모든 것을 결정하던 기존 방식을 버리고 현업 부서가 직접 리스크를 통제하는 새로운 거버넌스 모델을 제시했다. 데이터가 어떤 업무에 쓰이고 예외 처리가 어떻게 필요한지 가장 잘 아는 주체는 실무자라는 사실에 기반해 이들이 올바른 판단을 내리도록 유도하는 ‘비 스마트’(Be Smart) 문화 정착이 핵심이다.

장세인 토스증권 최고정보보호책임자(CISO)는 “이 요청을 승인할 것인가라는 기존 질문을 어떻게 하면 더 좋은 판단을 만들 것인가로 재설정해야 한다”며 “이는 판단을 떠넘기는 것이 아니라 책임이 더 잘 작동하게 만드는 과정”이라고 말했다.

현업 주도의 판단을 돕기 위해 토스증권은 고속도로 차선에 비유해 절대 넘지 말아야 할 가드레일과 문제를 알아채는 과속 카메라와 비상 정지 조건을 설정하는 다층적 운영 모델을 도입했다. 보도자료 등 공개 데이터 요약은 패스트(FAST) 트랙으로 넘기고 내부 일반 문서를 분석할 때는 체크(CHECK) 트랙을 거치게 하며 고객 계좌 및 거래 정보가 포함될 경우 스톱(STOP) 트랙으로 멈춰 세우는 방식이다.

통제의 잣대도 정밀해졌다. 단순히 어떤 도구를 쓰느냐가 아니라 무엇을 넣고 어디까지 AI에게 맡길 것인가에 집중했다. 답변만 생성하는 조회 기능은 자동화하되 환불 실행이나 계정 권한 부여 등 고객에게 직접 영향을 미치는 영역은 반드시 사람의 승인 통제를 거치도록 실행 권한의 한계선을 그었다.

이 과정에서 보안팀의 역할도 통제자에서 조력자로 전환된다. 보안팀은 현업이 참고할 수 있는 경계와 보호 조건 등 가드레일을 선제적으로 제시하고 실무자는 이 기준 위에서 1차 판단을 내린다. 이후 판단 사례를 수집해 기준을 다듬고 AI 협의체를 통해 전사에 공유하는 선순환 구조를 구축했다.

장 CISO는 “보안팀은 단순히 승인을 내리는 부서를 넘어 기준을 만들고 다듬어 조직 전체로 퍼뜨리는 ‘에반젤리스트’(Evangelist, 기술 전도사) 역할을 수행해야 한다”며 “보안팀만 잘하는 회사가 아니라 현업 실무자 각자가 자기 자리에서 위험을 인지하고 멈출 줄 아는 주체로 성장해야 한다”고 말했다.