영림원소프트랩 기반기술연구소 정보보안WG의 리더인 최재희 님은 20년 넘게 IT 인프라와 고객 시스템 기술지원, 정보보안 업무를 맡아 왔습니다. 현재는 최고정보보호책임자(CISO)로서 회사의 정보자산 보호와 안정적인 시스템 운영을 책임지고 있습니다.

생성형 AI와 AI 에이전트의 확산은 기업의 정보보안 환경에도 큰 변화를 가져오고 있습니다. 공격의 속도와 방식이 달라지는 가운데, 방어에도 AI를 적극 활용해야 하는 시대입니다. 최재희 님에게 ERP 기업에서 보안이 갖는 의미와 AI 시대의 위협 변화, 안전한 AI 활용을 위한 과제에 대해 들었습니다.

현재 맡고 있는 업무와 정보보안워크그룹의 역할을 소개해 주세요.

2003년 SE(시스템 엔지니어)팀으로 입사했습니다. 당시에는 고객사 서버 시스템을 구축하고 기술지원하는 업무가 중심이었습니다. 2020년 SE팀이 정보보안워크그룹으로 전환되면서 정보보호 분야의 역할이 한층 커졌고, 지금은 CISO로서 회사의 정보보호 업무를 총괄하고 있습니다.

부서의 업무는 크게 세 분야입니다. 회사의 정보보호관리체계를 유지하고 각종 보안 솔루션 운영과 침해사고 대응을 담당하는 정보보안 업무, 임직원들이 사용하는 사내 IT 인프라의 운영, 그리고 고객사의 ERP 서버 시스템에 대한 기술지원입니다.

고객사 기술지원은 ERP 구축 초기부터 유지보수까지 이어집니다. 업무 중단을 최소화해야 하기 때문에 야간이나 휴일에 작업하는 경우도 적지 않습니다. 보안 사고 역시 시간을 가리지 않습니다. 퇴근한 뒤에도 시스템에 이상 징후가 없는지 살펴보고, 경보가 발생하면 상황을 확인해야 합니다.

“보안은 잘할수록 눈에 드러나지 않는 일입니다. 우리 회사와 고객의 시스템이 오늘도 아무 일 없이 안정적으로 운영되는 것, 그것이 저희가 지키려는 가장 중요한 성과입니다.”

ERP 기업에서 정보보안은 어떤 의미를 갖나요? 영림원 보안 체계의 강점도 궁금합니다.

기업을 사람에 비유한다면 ERP는 심장과 같은 역할을 합니다. 회계와 인사, 구매, 생산 등 기업 경영에 필요한 핵심 데이터가 ERP에 모이고 이를 통해 업무가 처리됩니다. ERP가 멈추거나 중요한 정보가 유출되면 기업의 일상적인 업무와 경영활동에 큰 차질이 생길 수 있습니다.

따라서 ERP 기업에서 보안은 단순히 시스템을 외부 공격으로부터 보호하는 일에 그치지 않습니다. 고객 기업의 업무 연속성을 지키고, 고객이 우리 솔루션을 신뢰하며 사용할 수 있도록 기반을 갖추는 일입니다.

영림원의 강점은 고객의 실제 운영 환경을 잘 아는 조직이라는 점입니다. 저희는 보안 업무만 별도로 수행하는 조직이 아닙니다. 다양한 업종과 규모의 고객사를 대상으로 ERP 구축 단계부터 유지보수까지 서버와 네트워크 등 기반 시스템을 지원해 왔습니다.

최근 정보보안 환경에서 가장 크게 체감하는 변화는 무엇인가요?

AI를 이용한 사이버 공격이 빠르게 늘고 있다는 점입니다. 과거에는 새로운 보안 취약점이 공개되더라도 공격자가 이를 분석하고 실제 공격에 활용하기까지 어느 정도 시간이 있었습니다. 지금은 그 간격이 크게 줄었습니다.

AI를 활용하면 공격 도구를 만들거나 정교한 피싱 메일을 작성하는 작업도 훨씬 빠르게 할 수 있습니다. 공격을 준비하는 데 필요한 시간과 기술적 장벽이 낮아지면서 피해가 확산되는 속도도 빨라지고 있습니다.

이런 환경에서 저희가 가장 중요하게 보는 것은 대응 속도입니다. 새로운 위협을 얼마나 빨리 발견하고, 확인된 위협 정보를 얼마나 신속하게 실제 방어 체계에 반영할 수 있느냐가 관건입니다. AI로 인해 공격과 취약점 발견 속도가 빨라지면서 확인하고 대응해야 할 일이 더 많아졌습니다.

생성형 AI를 넘어 AI 에이전트가 기업 시스템에 연결되면서 보안 문제도 달라질 것 같습니다.

생성형 AI가 주로 사람이 입력한 질문에 답하거나 콘텐츠를 만드는 방식이었다면, AI 에이전트는 실제 시스템에 접속해 업무를 처리합니다. 사람을 대신해 필요한 정보에 접근하고 여러 시스템의 기능을 호출할 수 있습니다.

그만큼 새로운 보안 위험이 생깁니다. 에이전트에 부여된 권한이나 인증 정보가 탈취되면 공격자는 그 권한을 이용해 기업 내부 시스템에 접근할 수 있습니다.

ERP에 AI 에이전트가 연결되는 환경이라면 더욱 세밀한 통제가 필요합니다. 에이전트가 어떤 시스템과 데이터에 접근할 수 있는지, 어디까지 작업을 수행하도록 허용할 것인지 명확하게 정해야 합니다. 사람에게 업무에 필요한 만큼만 권한을 부여하듯 AI 에이전트에도 최소한의 권한을 부여해야 합니다.

지금까지 보안이 주로 사람의 시스템 접근과 행동을 관리하는 일이었다면, 앞으로는 사람과 AI의 행동을 함께 관리해야 합니다.

기업과 임직원이 AI를 안전하게 활용하기 위해서는 어떤 원칙이 필요할까요?

세 가지를 강조하고 싶습니다.

첫째, 개인정보나 회사의 중요한 정보를 보안이 확인되지 않은 AI 서비스에 입력하지 않는 것입니다. 개인 계정으로 AI 서비스를 이용하면서 업무 자료를 그대로 올리는 사례가 새로운 정보 유출 위험으로 떠오르고 있습니다. 이른바 ‘섀도우 AI’ 문제입니다.

둘째, 검증된 AI 도구를 정해진 방식으로 사용해야 합니다. 회사의 중요 자료를 AI로 분석해야 할 경우에는 기업용 보안 환경을 활용해야 합니다.

셋째, AI가 만들어 낸 결과는 반드시 사람이 확인해야 합니다. AI의 분석과 판단이 아무리 정교해져도 최종적인 판단과 책임은 사람이 져야 합니다.

다만 보안 정책이 AI 활용을 가로막는 방향이어서는 곤란합니다. 저희가 지향하는 것도 AI를 쓰지 못하게 하는 규제가 아닙니다.

“저희가 지향하는 것은 임직원들이 AI를 안심하고 충분히 활용할 수 있도록 안전한 환경을 마련하는 것입니다.”

실제 정보보안 업무에서도 AI를 적극 활용하고 계신가요?

이미 여러 업무에서 활용하고 있습니다. 지금은 AI를 활용해 점검 스크립트를 만들고 반복적인 확인 작업을 자동화하고 있습니다.

보안 로그를 분석할 때도 AI의 도움을 받습니다. 많은 데이터 가운데 확인이 필요한 내용을 먼저 추려 내고, 이상 징후가 발견되면 원인을 분석하는 데 활용합니다. 이전에는 며칠씩 걸리던 분석의 핵심 부분을 몇 시간 안에 파악할 수 있는 경우도 있습니다.

물론 AI가 모든 것을 판단하거나 대응하는 것은 아닙니다. 실제 위험인지, 어떤 조치가 적절한지는 담당자가 확인해야 합니다.

정보보안워크그룹의 AI 혁신 과제로 ‘통합 사이버위협 대응체계 구축’도 추진합니다. 여러 환경에서 운영하는 서버의 보안 상태를 한 곳에서 확인하고, 이상 징후가 발견되면 신속하게 대응할 수 있도록 하는 체계입니다.

임직원과 ERP 고객사 담당자에게 특별히 당부하고 싶은 점은 무엇인가요?

임직원들에게는 무엇보다 ‘이상하면 바로 알려 달라’고 말씀드리고 싶습니다. 수상한 메일을 열었거나 의심스러운 링크를 눌렀다면 숨기거나 혼자 해결하려 하지 말고 즉시 알려주셨으면 합니다. 보안 사고는 초기 대응이 중요합니다. 빨리 알려주실수록 피해를 줄일 가능성이 커집니다.

고객사의 ERP 서버 담당자들에게는 보안 패치를 신속히 적용하고 불필요한 외부 접근을 최소화하며 운영체제와 데이터베이스의 관리자 계정을 철저히 관리해 주실 것을 당부드립니다. 특히 백업을 강조하고 싶습니다. 랜섬웨어에 감염되면 서버뿐 아니라 네트워크에 연결된 백업 장치까지 함께 피해를 입을 수 있습니다. 공격이 발생하더라도 백업 데이터를 안전하게 보존하고 복구할 수 있는 체계가 필요합니다.

보안은 특정 부서만의 일이 아닙니다. 시스템에 접근할 권한을 가진 모든 구성원이 함께 책임져야 하는 일입니다.

20년 가까이 암벽등반을 해 오셨다고 들었습니다. 보안 업무와 닮은 점이 있나요?

암벽등반은 제가 오랫동안 즐겨 온 운동입니다. 실제 등반은 철저한 준비와 안전수칙을 바탕으로 이루어집니다. 장비를 확인하고 여러 단계의 안전장치를 마련하며, 무엇보다 생명줄을 잡아 주는 빌레이 파트너와의 신뢰가 중요합니다.

2013년 회사 창립 20주년을 기념해 코타키나발루로 해외 연수를 갔을 때도 직원들과 ‘희망등정대’를 결성해 키나발루산에 올랐습니다. 여섯 명 모두 정상에 올랐습니다. 혼자였다면 쉽지 않았을 여정이지만 충분한 준비와 서로를 격려하는 동료들의 의지가 있었기에 가능했습니다.

돌아보면 보안 업무도 암벽등반과 닮아 있습니다. 겹겹이 안전장치를 마련하고, 함께 일하는 동료를 믿고, 예상하지 못한 상황에서도 침착하게 판단해야 한다는 점에서 그렇습니다.

지금까지 이어 온 일은 어떤 의미이며 앞으로 이루고 싶은 목표는 무엇인가요?

처음에는 서버를 설치하고 고객의 시스템을 지원하는 엔지니어였습니다. 지금은 회사의 정보보호를 책임지는 일을 하고 있습니다. 역할은 달라졌지만 일의 본질은 크게 바뀌지 않았다고 생각합니다.

암벽등반에서는 누군가 벽을 오르는 동안 아래에서 생명줄을 잡아 주는 파트너가 있습니다. 저는 제가 하는 일도 그와 같다고 생각합니다. 회사와 동료들이 목표를 향해 마음 놓고 나아갈 수 있도록 보이지 않는 곳에서 안전하게 지켜 주는 일입니다.

앞으로 AI를 이용한 사이버 위협은 더욱 거세질 것입니다. 그렇다고 새로운 기술을 피할 수는 없습니다. 저와 팀원들도 AI를 최대한 활용하면서 변화하는 보안 환경에 대응해 나갈 생각입니다.

회사의 소중한 정보자산을 지키고, 고객이 영림원의 솔루션을 안정적으로 사용할 수 있도록 하는 것. 이 회사에서 일하는 동안 변함없이 이어 가고 싶은 목표입니다.

인터뷰이최재희 영림원소프트랩 CISO·기반기술연구소 정보보안WG 리더