[지디넷코리아]"사람은 패치하는데 60~90일 걸리지만 AI는 45분이면 끝납니다."김진휘 네이버클라우드 보안전략 담당 전무는 금융보안원(원장 박상원)이 개최해 12일 여의도 콘래드서울 호텔에서 열린 '피스콘 2026(FISCON 2026)'에서 기조강연자로 나서 "(해커의) 공격 시간이 2년에서 하루로 줄었다"며 이 같이 밝혔다.'피스콘(FISCON, Financial Information Security Conference)은 국내 최대 금융정보보호 컨퍼런스다. 올해는 'Now for Next Finance'를 주제로 열렸다. AI로 재편될 미래 금융의 새로운 보안 전략을 논의했다.기조강연을 한 김진휘 전무는 네이버그룹의 인프라와 오피스망 보안과 네이버클라우드 사내 보안정책, 네이버클라우드 서비스보안 개발 및 운영을 총괄하고 있다. 보안 분야 공공기관에서 근무하다 올 4월 네이버에 합류했다.그는 해커의 공격 시간이 붕괴됐다고 진단했다. 취약점 공개후 하루만에 공격이 이뤄지기 때문이다. 이에, 네이버도 쉐도우IT 때문에 떨고 있다고 토로했다. PHP와 노드.js, eMudhra CA 등 최근 AI가 찾은 취약점 3개를 "10년 잠복 결함까지 한 주에 공개됐다. 가히 버그마게돈"이라고 진단다. AI와 사람간 패치 격차도 전했다. 사람은 패치하는데 60~90일 걸리지만 AI는 45분이면 끝난다는 것이다. 특히 그는 AI에이전트의 군집 공격을 우려했다. 실제, 격리된 에이전트 1200개가 스스로 통신 채널을 만들고 700개가 외부 서버를 침해했는데, "이 단어를 듣고 패닉에 빠졌다"고 전했다.또 해커의 공격 속도와 잠복 결합, 공격 자동화에 따른 금융권 피해도 설명했다. 즉, 공개에서 악용까지 2018년에는 771일 걸렸는데 올해는 1일로 줄었고, 잠복결합도 AI가 10년이나 된 걸 발견했으며, AI에이전트 군집화로 사이버 펜데믹 시대가 도래, 금융권 37곳이 피해를 입었다고 밝혔다.네이버가 시행하고 있는 공격 측면 3대 전략과 방어 측면 4대 전략 등 총 7대 보안 전략도 소개했다. 공격 측면은 ▲AI 공격 표면 최소화 ▲AI로 선제적 점검 ▲AI 신규 취약점 발굴 등이고 방어 측면은 ▲AI공개 취약점 대응 ▲AI침투 탐지 및 확산 차단 ▲개발 단계별 AI보안 ▲보안특화 모델 등이다. 특히 그는 네이버만의 독특한 전략으로 공격과 방어를 믹스해 선순환을 일으키는 '퍼플(PURPLE) 전략'도 마련, 추진하고 있다고 힘줘 말했다.기조 및 특별 강연에 이어 세개의 트랙이 마련,진행됐다.첫번째 트랙은 금융패러다임 변화 및 대응을 주제로 다뤘다. ▲2027년 디지털 금융보안 이슈 전망 ▲망분리 규제 변화에 따른 금융회사의 대응 전략 ▲AI프라이버시의 새로운 흐름 ▲개인정보보호 규제 및 IT환경 변화에 따른 금융권 대응 전략 ▲금융권 AI거버넌스 구축 및 리스크 관리 전략 ▲AI플랫폼 기반의 보이스피싱 대응 전략을 소개했다.정부가 추진하고 있는 망분리 정책에 따른 금융권의 보안 변화에 대해 전상미 PwC컨설팅 파트너는 "대규모 전산사고를 계기로 시작한 금융권 망분리 규제는 복잡한 비즈니스 및 기술 환경 한계에 부딪혀 전면 해체의 길로 가고 있다"면서 "닫아서 안전을 지켜온 13년, 이제는 열어서 미래로 나아가야할 때"라고 짚었다. 앞서 금융위는 지난 7월 하반기 업무보고에서 망분리 해체를 공식화한 바 있다. 전 파트너는 망분리 해체시 보안 기준점은 '망'에서 '데이터'로 전환할 것으로 예상하면서 "망분리 해제는 단순히 단말 연결 방식의 전환이 아니라 운영모델과 보안 책임 구조를 전환하는 사건"이라고 진단했다. 또 그동안 원천봉쇄한 공격 공로가 모두 현실적인 위험으로 전환된다면서 "망분리 전환은 큰 혁신을 불러올 수 있지만 위협도 함께 불러온다. 보안과 책임 체계의 재설계가 필수"라고 강조했다.전 파트너는 외부망은 물론 내부망도 신뢰하지 말라는 개념의 제로트러스트를 언급하며 신원에서 시작해 데이터로 끝나는 다섯 축(필러)의 통제를 기반으로 재섥한 검증 파이프라인을 제시, 시선을 모았다. 특히 그는 보안 운영 방식과 구조, 역할을 근본적으로 재정의한 '지능형 보안 체계' 구축이 필요하다면서 "보안 운영 패러다임 자체를 완전히 새로운 방식의 AI 중심으로 재정의 해야 한다"고 밝혔다. 또 현재 금융권이 하고 있는 연 1~2회 모의해킹으로는 부족하다면서 "AI기반 상시 공격 실증으로 전환해야 한다"고 제안했다.두번째 트랙은 보안혁신 전략이 주제였다. ▲금융분야 AI안전성과 신뢰성 평가 체계 ▲금융투자 도메인에서의 온톨로지 개발 ▲AI에이전트 시대 아이덴티티 권한 통제 등을 논의했다. 금융분야 AI안전성과 신뢰성 평가 체계를 설명한 유영목 금보원 팀장은 AI의 기술 특성으로 데이터 의존성, 예측불가능한 취약점, 복잡한 공급망, 비결정 및 동적 특성 등 네가지를 들고 지난 6월 금융위원회가 발표한 금융 분야 AI 사용 7대 지침을 소개했다. 7대 지침은 거버넌스, 합법성, 보조수단성, 신뢰성, 금융안정성, 신의성실, 보안성 등이다. 유 팀장은 AI 평가의 또다른 필요성으로 규제 변화 대응을 들며 "금융보안원 평가 프레임워크를 금융AI 검·인증 체계로 활용할 것을 추진할 예정"이라고 전했다. 또 금보원의 금융AI 안정성과 신뢰성 평가업무에 대해 올해 평가기준을 배포하고, 내년에는 회원사를 대상으로업무를 개시하고, 2028년 이후에는 회원사(사원사) 전체로 확대를 검토한다고 설명했다.세번째 트랙(사이버위협 및 대응)은 AI시대의 해킹 공격과 방어 변화, 글로벌 금융회사의 보안 운영 사례와 금융권 대응 전략 등을 다뤘다.
Continue to ZDNet Korea →You are being forwarded in 6s — stay on this page