박제호 "해커는 보안 점검표대로 움직이지 않아…AI의 공격 경로부터 봐야죠"
“문제는 공격자가 점검표에 맞춰 움직이지 않는다는 것입니다. 법규를 충족하는 데 그치지 않고 실제 공격이 어디까지 이어질지 파악해야 합니다.”

박제호 GS네오텍 시큐리티 리드(사진)는 9일 인터뷰에서 국내 기업의 보안 관리 방식의 문제점에 대해 이 같이 지적했다. 법과 제도가 요구하는 항목을 점검하는 것만으로는 갈수록 복잡해지는 사이버 공격에 대응하기 어렵다는 설명이다.

SK인포섹에서 취약점 진단과 모의해킹을 담당했던 박제호 리드는 현재 GS네오텍에서 클라우드 보안 솔루션 개발을 이끌고 있다. 그는 기업들이 보안 예산을 투입하고도 침해 사고를 겪는 이유로 개별 취약점과 접근 권한, 시스템 간 연결 관계를 따로 관리하는 문제를 꼽았다. 그는 “외부에 노출된 서버의 취약점 자체는 흔한 점검 항목처럼 보일 수 있다”며 “하지만 그 서버가 넓은 권한을 갖고 있고, 고객 정보 저장소까지 연결된다면 위험의 수준은 달라진다”고 설명했다.

여러 클라우드와 자체 서버를 함께 운영하는 기업에서는 이런 문제가 더 복잡해진다. 개별 시스템 담당자에게는 정상으로 보이는 설정이라도 시스템 간 권한이 연결되면 공격자가 중요 데이터에 접근하는 통로가 될 수 있기 때문이다.

GS네오텍이 개발 중인 클라우드 보안 솔루션 ‘시큐리티 렌즈’도 이 문제에 초점을 맞췄다. 서버와 계정, 접근 권한, 네트워크, 데이터의 연결 관계를 분석해 공격자가 이동할 수 있는 경로를 시각화한다. 취약점의 심각도뿐 아니라 외부 노출 여부와 자산의 중요성 등을 함께 고려해 조치 우선순위를 판단하도록 돕는다.

그는 “관계 분석은 ‘그 서버를 통해 공격이 어디까지 갈 수 있는가’를 보여주는 것”이라고 말했다.

생성형 인공지능(AI)의 확산은 보안 환경을 더욱 복잡하게 만들고 있다. 공격자는 AI로 정보를 수집하고 피싱 메시지와 공격 코드를 빠르게 만들 수 있다. 기업이 도입하는 AI 에이전트도 새로운 위험 요소다. 업무 자동화를 위해 내부 정보와 시스템 접근 권한을 과도하게 부여할 수 있기 때문이다. 박 리드는 “정보를 읽는 권한과 실제 시스템을 변경하는 권한은 구분해야 한다”며 “권한을 늘릴 때마다 위험 평가가 따라야 한다”고 강조했다.

보안 업무에도 AI 자동화가 확대될 전망이다. 다만 그는 AI가 위험 자산을 자동 차단하거나 접근 권한을 변경하도록 하는 데에는 신중해야 한다고 지적했다. 잘못된 조치가 정상 서비스 중단으로 이어질 수 있어서다.

그는 “먼저 AI가 상황을 분석하고 조치를 제안한 뒤 담당자 승인 아래 실행 결과를 확인하는 방식이 적절하다”며 “영향 범위와 복구 방법이 검증된 조치부터 자동화 범위를 넓혀야 한다”고 말했다.

라현진 기자 raraland@hankyung.com