“AI는 기회이자 위협” 시큐리티 서밋 2025, 보안 전략을 다시 묻다

CIO Korea와 ITWorld, 한국IDC가 공동 주최한 ‘시큐리티 서밋 2025(Security Summit 2025)’가 25일 서울 잠실 롯데호텔 월드에서 개최됐다. 300여 명이 참석한 이번 행사에서는 ‘AI와 위기 대응형 사이버 방어’를 주제로 기업의 보안 전략 재정립을 위한 논의가 활발히 이뤄졌다.

IDC 보고서에 따르면, 2023년 아시아·태평양 지역의 중소기업 및 미드마켓 보안 지출은 76억 달러에 달했으며, 2027년까지 연평균 10.5% 성장해 120억 달러에 이를 것으로 전망된다. 이 같은 성장세는 AI 통합 가속화, 디지털 인프라의 상호 연결성 확대, 양자컴퓨팅 대비를 위한 데이터 수집 및 보안 수요 증가와 맞물려 기업의 보안 역량 강화를 더 이상 미룰 수 없는 과제로 부각한다.

오프닝 키노트 발표를 맡은 한국IDC 김경민 이사는 AI 확산과 함께 기업 보안이 새로운 전환점을 맞고 있다고 말했다. 김 이사는 “GPT와의 대화가 일상이 된 지금, 기업 내부 정보까지 AI에 노출되는 상황에서 데이터 보안에 대한 우려가 커지고 있다”라며 “AI는 보안의 수단이자 위협이며, 기업은 이에 맞는 복원력과 거버넌스를 갖춰야 한다”라고 강조했다. 복잡해지는 컴플라이언스, 불안정한 공급망, 인플레이션 압력 등 외부 환경이 기업 보안 전략 재정비를 요구하고 있다는 분석이다.

한국IDC는 2025년을 ‘AI 피봇의 해’로 정의한다. 기업이 AI 중심 비즈니스로 본격 전환하는 시점이라는 의미다. 김 이사는 “AI는 단순한 기술 도입을 넘어, 기업 애플리케이션 전반에 삽입돼 자율적 워크플로우와 혁신을 이끄는 핵심 요소가 됐다”라고 설명했다. 특히 AI 기반 사이버 위협이 자동화·개인화·지속성 등에서 더욱 고도화되고 있다며, “보안 인프라와 정책, 데이터·모델·사용 단계에 걸친 거버넌스를 내재화해야 AI 기반 위협에 효과적으로 대응할 수 있다”라고 강조했다.

이어진 세션에서 포티넷 코리아의 박현희 상무는 생성형 AI와 에이전트 AI의 확산이 사이버보안에 새로운 기회이자 위협이 되고 있다고 진단했다. 박 상무는 “에이전트 AI가 인간의 개입 없이 스스로 문제를 정의하고 해결책을 제시하는 수준으로 진화하면서 보안 탐지와 대응 속도가 비약적으로 향상됐다”라면서도, “악의적 행위자 역시 같은 기술을 활용할 수 있기 때문에 제로데이 취약점이나 피싱 공격에 AI가 동원될 경우 대응 시간이 사실상 0에 수렴할 수 있다”라고 경고했다

또한 박 상무는 양자컴퓨팅이 기존 암호화 체계를 무력화할 수 있다는 점에서 보안 위협의 성격이 근본적으로 바뀌고 있다고 강조했다. “현재는 암호화된 데이터를 안전하다고 믿고 인터넷을 통해 주고받지만, ‘지금 수집해 두고 나중에 복호화하는’ 전략을 쓰는 공격자가 양자컴퓨팅의 현실화에 맞춰 기회를 노리고 있다”라는 지적이다. 이에 따라 양자내성암호(PQC), 양자키분배(QKD) 같은 차세대 암호 기술의 표준화가 진행되고 있으며, 글로벌 기업은 이 기술을 실험망과 일부 경로에 적용해 양자 안전성 확보를 위한 전환 로드맵을 준비하고 있다고 덧붙였다.

Foundry

클라우드플레어 아태지역 마케팅 부문 부사장 벤 먼로는 대담 세션에서 “오늘날의 보안은 더 이상 시스템 보호에 그치지 않는다. 디지털 신뢰 자체가 보호 대상이 되고 있다”라고 말했다. 먼로는 AI가 보안 탐지 자동화에 활용되는 한편, 공격자 또한 AI를 기반으로 피싱, 세션 탈취, 인증 우회 수법을 고도화하고 있다고 지적했다. 특히 하이브리드 업무 환경, SaaS 확산, 신원 기반 공격 증가가 맞물리며 기존 보안 체계의 한계를 드러내고 있다. 먼로는 “공격자는 더 이상 침입하지 않는다. 이제는 로그인한다”라는 말과 함께 MFA 피로도 유도, 세션 탈취 등 최신 공격 기법이 정상적인 인증 체계를 우회한다는 점에 주목해야 한다고 언급했다.

이번 대담에서는 AI가 만들어낸 정교한 피싱 메일, 음성·영상 딥페이크, 초대형 DDoS 공격 등 실제 사례도 공유됐다. 먼로는 “AI 기반 피싱은 더 이상 철자 오류가 있는 아마추어 수준이 아니다. 문맥·톤·형식까지 기업 문화에 맞춰 맞춤 제작된다. 이제는 AI가 사람보다 설득력이 있는 콘텐츠를 생산할 수 있다”라고 경고했다. 실제로 클라우드플레어는 2025년 1분기 동안 7.3Tbps 규모의 초대형 DDoS 공격을 차단했다. 먼로는 “대부분 공격이 10분 이내로 끝나기 때문에 사람의 대응만으로는 한계가 있다. 지금 필요한 것은 정적인 인증이나 룰이 아니라, 행동 기반 탐지와 AI 보조 방어체계다. AI 시대 보안의 핵심은 끊임없는 신뢰 검증에 있다”라고 강조했다.

퀄리스(Qualys) 김주형 이사는 AI 시대 보안 전략의 핵심으로 ‘가시성’과 ‘우선순위 조치’를 꼽았다. 김 이사는 “기업이 보유한 전체 사이버 자산 중 약 30%는 여전히 식별되지 않고 있으며, 이 미확인 자산이 실제 공격 사고의 진원지가 되고 있다. 단순히 보유 자산을 나열하는 수준을 넘어서, 내부·외부 자산, OT·IoT, 서드파티까지 포함한 전체 공격 표면에 대한 통합 가시성과 관리 체계가 필요하다”라고 말했다. 특히 대부분 기업이 취약점은 파악해도 이를 효과적으로 우선순위화하지 못하고 있는 현실을 지적하며, 실제 위협 사례와 침해 정보 기반의 위험 분석 체계가 갖춰져야 한다고 말했다.

또한 김 이사는 오픈소스 소프트웨어와 AI 모델이 새로운 보안 사각지대로 떠오르고 있다고 경고했다. 김 이사는 “현재 사용 중인 오픈소스의 약 48%가 심각한 취약점에 노출돼 있으며, LLM은 프롬프트 인젝션 등 고도로 자동화된 위협에 취약하다”라고 설명했다. 특히 보안팀이 사내 AI 모델 존재조차 인지하지 못하는 경우가 많다며, 자산·취약점·보안 이벤트를 통합 관리할 수 있는 체계가 시급하다고 강조했다. 이런 맥락에서 김 이사는 자산 중요도, 공격 노출 여부, 악성 코드 사용 현황 등 다양한 요소를 조합한 실질적 위험 점수 기반 대응 체계를 소개하며 “모든 취약점을 다 막는 것보다 지금 실제로 악용되는 위협에 집중해야 한다”라고 설명했다.

HPE 아루바 네트워킹 이영민 매니저는 “하이브리드 근무가 일상이 된 지금, 더 이상 네트워크 경계를 전제로 한 보안 전략은 유효하지 않다”라며 발표를 시작했다. 누가, 언제, 어디서, 어떤 디바이스로 어떤 데이터를 생성·수정·삭제하는지 명확히 통제할 수 없는 환경에서는 신뢰 기반 접근 통제가 아니라 ‘불신을 전제로 한 설계’가 필요하다. 바로 제로 트러스다. 특히 정규직과 외부 파트너, 원격 근무자 등 사용자 유형의 다양성과 클라우드·온프레미스 인프라의 혼재가 보안 정책의 정교한 분화와 연속적인 검증을 요구한다고 이 매니저는 분석했다.

제로 트러스트 보안 철학을 실현하기 위해서는 보안(SSE)과 네트워크(SD-WAN)를 통합한 SASE(Secure Access Service Edge) 모델이 현실적인 해법이다. 이 매니저는 “SDN의 유연한 오버레이 네트워크와 클라우드 기반 보안 서비스를 결합해, 사용자의 위치와 디바이스 환경에 상관없이 일관된 보안 정책을 적용할 수 있는 구조가 SASE”라고 설명했다. HPE 아루바는 이 구조를 자사 네트워크·보안 기술 전반에 적용해 왔다. 이 매니저는 고객 사례를 통해 공격 위험 노출, 서버 접근 제어, 계정 관리, 인터넷 프래픽 제어 등의 영역에서 SASE 모델의 적용 효과를 관찰했다고 설명했다.

클로징 키노트 세션을 맡은 토스뱅크 이정남 정보보호 본부장은 AI 확산에 따른 사이버보안 위협의 양면성을 짚으며 발표를 시작했다. 이 본부장은 “AI는 보안 강화에 활용되는 동시에, 악의적 공격 도구로도 빠르게 진화하고 있다”라며, 자동화 피싱, 딥페이크 보이스피싱, 적대적 학습 공격 사례를 소개했다. 이어 “AI는 더 이상 단순한 기술이 아니라, 위협과 기회의 복합 변수”라며, GPT 이후 초개인화된 지능형 공격이 증가하는 상황에서 보안 전략 역시 ‘정탐률’ 중심에서 ‘예측과 대응’ 중심으로 전환해야 한다고 분석했다.

이 본부장은 AI 시스템의 보안 내재화, 설명 가능한 AI 도입, 보안 인재 재교육, 법·제도 정비를 주요 대응 과제로 제시했다. 그는 “AI 모델이 환각, 편향, 데이터 오염 등에 취약한 만큼, 보안 설계는 설계 단계부터 전반에 통합돼야 한다”라고 강조했다. 이어 토스뱅크의 내부 대응 사례로는 ▲AI 보안성 검토 기준 마련 ▲화이트리스트 기반 AI 툴 사용 승인 체계 ▲AI 기반 취약점 진단 도구 및 위협 분석 시스템 적용 ▲APT 훈련 시 AI 활용 등을 소개했다. 또한 오픈소스와 LLM 활용 확산에 대응해 MCP, A2A 등 차세대 프로토콜에 대한 보안 검증 체계 수립도 과제로 남아 있다고 덧붙였다.

Foundry

마지막 클로징 키노트 세션에서 LG전자 SW 보안 거버넌스팀 조혜진 리더는 AI 제품 신뢰성을 높이기 위한 보안 설계 전략과 ‘공감 지능(Affectionate Intelligence)’ 기반의 제품 철학을 공유했다. 조 리더는 LG전자가 10년 이상 투자해 온 SDL(Secure Development Lifecycle) 기반 보안 체계를 중심으로, AI·IoT 제품 전반에 ‘LG 쉴드(LG Shield)’라는 통합 보안 브랜드를 적용하고 있다고 밝혔다. “LG전자는 AI가 들어간 제품에서, 보안도 마찬가지로 설계 초반부터 녹아들도록 설계하고 있다. LG 쉴드는 기술이 아닌 철학이자 체계로, 고객과의 신뢰를 유지하는 구조”라는 설명이다.

LG전자의 AI 철학은 단순한 기술 진보를 넘어 ‘공간 기반 고객 경험’을 구현하는 데 초점을 맞추고 있다. 이를 위해 씽큐 온 허브(ThinQ on Hub) 기반의 온디바이스 AI, 가정 내 경험을 이동 환경과 연결하는 MX(Mobility eXperience) 플랫폼, 그리고 AI 클라우드 오케스트레이션 체계를 구축하고 있으며, 보안 측면에서는 ▲AI 트렌드에 특화된 위협 모델링 체계 수립 ▲AI 컴포넌트에 대한 필터링 및 정제(sanitization) 강화 ▲취약점 자동 탐지 및 조치 도구 확보 ▲ML BOM 및 SAI BOM 관리 체계 마련 등 기술적 조치를 병행하고 있다.

또한 LG전자는 AI 관련 거버넌스 조직을 별도로 운영해 보안뿐 아니라 윤리, 품질까지 아우르는 책임 있는 AI 시스템을 구축하고 있다. LG 쉴드 마크는 이런 전사적 보안 체계를 통과한 제품에만 부여되는 신뢰의 상징인 셈이다. 조 리더는 “보안은 공기와 같다. 어떤 활동이든 어떤 기능이든 그 안에 보안을 전제해야 한다”라고 강조했다.
dl-ciokorea@foundryco.com