[인터뷰] 황수익 시큐리티플랫폼 대표이사 “AI 해킹 시대, 보안의 시작은 네트워크가 아니라 ‘디바이스’다”

생성형 AI 확산 속 디바이스 무결성 확보가 새로운 보안 패러다임으로 부상
TEE 기반 디바이스 보안으로 온디바이스 AI·방산 시장 공략 본격화

[보안뉴스 강초희 기자] AI가 해킹하는 시대가 열렸다. 생성형 AI는 시스템 취약점을 스스로 탐색하고 공격 코드를 생성하며 사이버 공격의 속도와 규모를 완전히 바꿔놓고 있다. 이에 따라 네트워크나 애플리케이션이 아닌 디바이스 자체를 보호해야 한다는 목소리도 커지고 있다.

시큐리티플랫폼은 ARM 기반 신뢰실행환경(TEE) 기술을 앞세워 이러한 변화에 대응하고 있다. 스마트미터와 홈네트워크 시장을 개척해 최근 방산과 온디바이스 AI 분야까지 영역을 넓히며 디바이스 보안의 새로운 가능성을 보여주고 있다.

시큐리티플랫폼 창업 배경과 계기가 궁금합니다
2012년 삼성전자의 스마트TV 해킹 사고가 발생하면서 계열사 소속으로 대응 TF에 투입됐습니다. 처음에는 백신이나 방화벽 같은 임시방편이 논의됐으나, 가전기기 특성상 올바른 답이 아니라는 생각이 들었습니다. 그 과정에서 하드웨어와 운영체제(OS) 단에서 시스템 전체를 보호하는 내재화된 ‘보안 플랫폼’이 필요하다는 결론에 도달했고, 이는 현재 삼성 TV에 탑재된 ‘녹스’(Knox)의 시발점이 됐습니다.

이 경험을 바탕으로 향후 모든 연결 기기에 보안 플랫폼이 보편화될 것이라는 확신이 들어 2015년 창업 전선에 뛰어들었습니다.

대다수 보안 기업이 네트워크에 집중할 때, 디바이스 보안에 집중한 이유는 무엇인가요
CCTV가 생성한 영상이 암호화돼 있다 하더라도, 카메라 자체가 해킹돼 조작된 상태라면 그 데이터를 신뢰할 수 있을까요? 당연히 신뢰할 수 없습니다. 스마트미터나 드론, 로봇도 마찬가지입니다. 문제는 이런 개념이 당시 시장에서 거의 받아들여지지 않았다는 사실입니다. ‘기기에서 생성된 데이터를 어떻게 보호할 것인가’는 논의됐지만, ‘그 기기 자체를 신뢰할 수 있는가’에 대한 관심은 매우 낮았습니다.

저는 운영체제나 소프트웨어 단계보다는 반도체 칩 내부부터 보안을 적용해야 진정한 신뢰 체계를 만들 수 있다고 판단했습니다. 이후 글로벌 팹리스 기업 ARM과 협력해 기기 내부에 독립된 보안 공간인 신뢰실행환경(TEE: Trusted Execution Environment) 기술을 확보했고, 이를 기반으로 다양한 IoT 기기에 적용할 수 있는 보안 플랫폼을 개발했습니다.

당시에는 시장에 너무 이른 개념이라고 했지만, 최근 AI와 로봇, 드론, 자율주행 기술이 발전되면서 오히려 디바이스 자체를 신뢰할 수 있어야 한다는 요구가 커지고 있습니다.

기술 개념이 다소 어렵습니다. 일반인도 이해할 수 있게 설명해 주신다면요
쉽게 말하면 ‘내가 해킹당하지 않았다는 사실을 스스로 증명하는 디바이스’를 만드는 기술입니다. 기존 보안 솔루션은 공격이 들어오면 이를 탐지하고 차단하는 방식입니다. 하지만 저희는 공격자를 쫓기보다 기기 자체를 계속 검증합니다. 이 기기가 원래 제조됐을 때와 동일한 상태인지, 운영체제나 펌웨어가 변조되지 않았는지, 악성코드에 감염되지 않았는지를 스스로 확인하는 것입니다.

예를 들어 드론이 중요한 임무를 수행한다고 가정해 보겠습니다. 드론은 출발하기 전에 내부 소프트웨어와 설정값, 운영 환경을 점검합니다. 그리고 문제가 없다는 사실이 확인돼야만 명령을 수행합니다. 만일 중간에 변조 흔적이 발견되면 스스로 동작을 중단하거나 관리자에게 알릴 수도 있습니다.

사실 비슷한 개념은 이미 우리 일상에도 적용돼 있습니다. 스마트폰으로 금융거래를 할 때 지문이나 얼굴만 확인하는 것 외에도 앱 자체가 변조되지 않았는지도 함께 검증합니다. 저희는 이러한 신뢰 검증 기술을 드론과 CCTV, 스마트미터, 로봇 같은 다양한 디바이스에 적용하고 있다고 이해하시면 됩니다.

국정원 암호모듈 검증과 미국 NIST 알고리즘 검증을 받는 과정에서 3년 6개월이라는 긴 시간이 걸렸습니다
기존 암호모듈 인증은 주로 운영체제가 탑재된 시스템이나 별도 보안 칩을 대상으로 진행됩니다. 하지만 저희는 운영체제가 없는 초소형 IoT 기기 환경에서 ARM의 보안 기술을 활용한 새로운 방식을 적용했습니다.

당시에는 이를 평가할 기준 자체가 없어 인증기관과 함께 검증 기준을 만들어가며 시험을 진행해야 했고, 그 결과 일반 인증보다 두 배 이상 긴 시간이 걸렸습니다. 하지만 그만큼 기술의 안정성과 차별성을 공식적으로 인정받는 계기가 됐습니다.

무기체계의 기술 유출을 방지하는 프로젝트도 진행 중에 있습니다. 현재 어느 단계까지 왔나요
연구기관과 함께 무기체계의 기술 유출과 역공학을 막는 과제를 7년째 수행하고 있습니다. 미사일, 드론, 무인수상정 같은 첨단 무기체계는 적에게 탈취될 경우, 내부 소프트웨어나 핵심 알고리즘이 복제될 수 있다는 점이 가장 큰 위협입니다.

저희는 무기체계 내부에 보안 기술을 적용하고 있습니다. 누군가 장비를 물리적으로 뜯거나 비정상적인 접근을 시도하면 핵심 알고리즘과 전략 정보가 저장된 영역을 즉시 삭제해 무력화하는 방식입니다. 현재 이 기술은 방산기업의 무인체계 등에 시범 적용해 시험 환경에서 검증을 진행하고 있습니다.

방산 분야에서 검증된 기술을 민간 가전이나 산업용 장비에 어떻게 접목하고 있나요
방산 분야에서 검증된 핵심 보안 기술을 민간 영역에 맞게 적용하고 있습니다. 한국전력의 스마트미터, 홈네트워크용 지능형 게이트웨이, IP 카메라 등이 대표적입니다.

기술의 핵심은 같습니다. 기기 내부에 독립된 보안 공간을 만들고, 중요한 정보와 명령이 변조되지 않도록 보호하는 것입니다. 산업군은 다르지만 하나의 보안 플랫폼을 기반으로 하기 때문에 스마트미터, 홈네트워크, 영상보안 장비처럼 다양한 분야에 적용할 수 있습니다. 최근에는 IP 카메라 분야에서 국정원 ‘보안기능 확인서’를 취득하며 영상보안 조달 시장 진출에도 속도를 내고 있습니다.

최근 유럽 사이버복원력법(CRA)을 비롯해 글로벌 시장에서 제품 보안을 의무화하는 규제가 강화되고 있습니다. 시장에 어떤 변화가 예상되나요
2027년 12월 전면 시행되는 유럽 사이버복원력법(CRA)으로 인해 이제는 제품을 개발한 뒤 보안 기능을 추가하는 방식이 아니라 설계 단계부터 보안을 내장하는 보안 내재화가 필수 요건이 되고 있습니다.

특히 카메라와 IoT 기기처럼 네트워크에 연결되는 제품은 더 높은 수준의 보안이 요구됩니다. 보안 취약점 관리와 소프트웨어 업데이트 체계까지 제품 개발 과정에 포함해야 하며, 이를 충족하지 못하면 유럽 시장 진출이 어려워질 수 있습니다.

문제는 유럽의 기준이 곧 글로벌 기준이 된다는 점과 국내 제조사들의 준비가 아직 충분하지 않다는 점입니다. 대만 같은 경우, 이미 정부 차원에서 대응 예산을 편성해 제조사들을 지원하고 있습니다. 그에 비하면 국내 기업들은 상대적으로 대응이 늦은 편이라 할 수 있습니다.

결국 앞으로는 보안을 선택사항이 아닌 제품의 기본 기능으로 바라봐야 합니다. CRA는 글로벌 제조업의 새로운 기준이자 수출 경쟁력을 좌우하는 중요한 변화라고 생각합니다.

자체 보안 역량이 부족한 중소·중견 제조사들에는 현실적 장벽이 높을 것 같습니다. 시큐리티플랫폼의 상생 모델은 무엇인가요
대기업을 제외한 많은 제조사는 기기 내부 구조를 깊이 이해하고 자체적으로 보안 기능을 적용할 인력과 자원이 부족합니다. 그래서 저희는 필요한 보안 기능이 모두 적용된 펌웨어와 시스템 소프트웨어를 완성된 형태로 제공하고 있습니다.

예를 들어 한전 스마트미터나 IP 카메라의 경우, 국정원 요구 조건에 맞춰 커널부터 애플리케이션까지 보안 기능을 반영한 펌웨어를 공급합니다. 이로써 제조사는 복잡한 보안 개발을 직접 하지 않고 온전히 생산에 집중할 수 있습니다.

장기적으로는 제조사들이 직접 보안 기술을 개발하고 적용할 수 있도록 보안 기술 라이선스와 개발도구(SDK)를 제공하는 사업 모델로 확대할 계획입니다. 다만 현재는 시장 생태계를 키우는 것이 먼저라고 봅니다. 제조사는 제품 개발과 생산에 집중하고, 저희는 보안을 담당하는 역할 분담 모델을 통해 보다 많은 기업이 쉽고 빠르게 보안을 적용할 수 있도록 지원하고 있습니다.

최근 양자컴퓨터 시대를 대비한 보안 기술 개발에도 적극 나서고 있습니다. MCU 환경에 맞춘 경량 양자내성암호(PQC) 소스코드를 공개한 이유도 디바이스 보안 시장 생태계를 키우기 위함인가요
양자컴퓨터가 상용화되면 현재 널리 사용되는 암호체계는 무력화될 수 있습니다. 이에 대비하기 위해 양자내성암호(PQC)가 필요하지만, 문제는 연산량이 많아 스마트미터나 IoT 기기에 사용되는 소형 MCU(Microcontroller Unit)에서는 적용이 쉽지 않다는 점입니다.

저희는 소형 MCU에서도 양자내성암호가 동작할 수 있도록 소프트웨어를 최적화하고 메모리 사용량을 줄였습니다. 또 중요한 연산은 기기 내부의 안전한 보안 영역에서 처리하도록 해 성능 부담도 최소화했습니다.

기술을 공개한 이유는 암호 알고리즘 자체를 독점적인 수익 모델로 보기 때문이 아닙니다. 암호는 디바이스 보안 생태계의 기반 인프라라고 생각합니다. 더 많은 제조사와 개발자가 이를 활용해야 그 위에 무결성 검증과 신뢰 체계, 디바이스 보안 플랫폼이 자리 잡을 수 있습니다.

결국 시장 전체가 성장해야 디바이스 보안도 발전할 수 있습니다. 저희는 생태계 확대를 통해 모든 연결 기기의 보안 수준을 함께 끌어올리는 것이 더 큰 가치라고 판단했습니다.

기업공개(IPO)를 준비하고 있습니다. 상장을 통해 이루고자 하는 목표는 무엇인가요
지난해 주관사 계약을 체결했고, 지정감사도 마쳤습니다. 다만 스마트미터와 방산, 영상보안 등 주요 시장에서 저희 보안 플랫폼의 성과를 충분히 검증받는 시간이 필요하다고 판단해 2027년 상장을 목표로 준비하고 있습니다.

IPO는 기업이 더 엄격한 기준과 검증을 받아들이며 한 단계 성장하는 과정이라고 생각합니다. 이를 통해 내부 통제를 더욱 공고히 하고 글로벌 시장에서 신뢰받는 기업으로 자리매김하고자 합니다.

시큐리티플랫폼은 창업 초기부터 ‘모든 연결 기기에 보안을 기본 탑재한다’는 목표를 가지고 달려왔습니다. 스마트미터와 홈네트워크, CCTV, 드론, 방산 장비를 넘어 앞으로는 AI 디바이스와 로봇, 자율주행 분야까지 보안 플랫폼 적용 범위를 확대해 나갈 계획입니다.

AI 시대에는 데이터를 보호하는 것만으로는 충분하지 않습니다. 데이터를 생성하고 활용하는 디바이스 자체를 신뢰할 수 있어야 합니다. 시큐리티플랫폼은 앞으로도 ‘신뢰할 수 있는 디바이스’를 만드는 기술로 글로벌 시장에 도전해 나가겠습니다.

[강초희 기자(choh@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다