배일권 행정안전부 국장 “정부 인프라 잔혹사 끝낸다”... 제153차 CISO포럼

행안부, 국가 핵심 시스템 ‘Active-Active DR’로 1시간 내 복구 체계화 예고
골프존, 에이전틱 AI 위협 맞서 클라우드 취약점 선제 식별하고 자동 조치

[보안뉴스 조재호 기자] ”행정전산망 장애와 국가정보자원관리원 화재는 우리에게 뼈아픈 교훈을 남겼습니다. 이제 더 이상의 사후약방문은 없습니다. 국민 생활에 직결된 A1 등급 국가 핵심 시스템은 어떤 재난 속에서도 1시간 내 복구되도록 ‘Active-Active DR’(상시 재해복구) 체계를 구축하고, 실전 대응 훈련을 의무화하겠습니다.“

▲배일권 행정안전부 인공지능정부기반국장이 주제발표를 하고 있다. [출처: 보안뉴스]

배일권 행정안전부 인공지능정부기반국장은 최근 고도화된 AI 해킹 위협이 국가 핵심 인프라와 기업의 자산을 위협하는 상황에서 열린 CISO 포럼에서 ‘인공지능정부 주요 정책추진방향’을 공유하며 이같이 말했다.

한국CISO협의회는 19일 서울 소공동 롯데호텔에서 제153차 CISO 포럼을 개최하고, 정부의 클라우드 기반 인공지능 정부 인프라 혁신 방향과 민간 기업의 실전 생성형 AI 활용 보안 관리 사례를 공유했다.

이날 포럼을 연 이기주 한국CISO협의회장은 인사말을 통해 ”최근 연이어 벌어진 해킹 사고를 비롯해 정부의 AI 보안 종합 대책 발표, 정보통신망법 개정에 따른 시행령 작업 그리고 과징금 상향 정책 등으로 인해 실무를 담당하는 CISO와 정보보호 부서의 부담과 피로도가 우려되는 상황“이라며 ”정부의 주요 부처인 행정안전부와 정책 방향을 공유하고 민간의 생성형 AI 실무를 벤치마킹하면서 당면한 위기를 민관이 함께 타개해야 한다“고 말했다.

▲ AI 정부 인프라 혁신 중 재해복구체계(DR) 구축 방향 [자료: 행정안전부]

첫 강연은 배일권 행정안전부 인공지능정보기반국장이 공공 AX 혁신 가속화와 국가 인프라 전면 대수술을 골자로 하는 ‘인공지능정부 주요 정책 추진방향’을 주제로 발표했다. 배 국장은 과거 전산망 장애 및 화재뿐만 아니라, 지난해 발생한 정부업무관리시스템 해킹 등 전방위적 사이버 위협을 언급하며 공공 인프라의 구조적 체질 개선이 시급함을 역설했다. 현재 정부가 보유한 1만6000개 행정 시스템 중 클라우드 네이티브 전환율이 7.3%에 불과해 낡은 구조적 한계에 봉착해 있다는 지적이다.

이에 행안부는 국민 생활 영향도에 따라 공공 시스템을 4단계(A1~A4)로 재분류하고 중장기 인프라 혁신에 착수한다. 특히 최상위 등급인 A1 국가 핵심 시스템의 경우 행정 기능 마비 시 1시간 이내에 완벽히 복구할 수 있도록 ‘액티브-액티브’(Active-Active) 형태의 상시 재해복구(DR) 체계를 구축하고 실전 대응 훈련을 의무화할 계획이다.

또, 지자체 중심의 사이버 위협 대응 체계를 대폭 강화하기 위해 통합 보안관제 및 침해대응 지원센터 운영 예산을 지원하고 시스템 관리자의 SW개발보안 역량 교육을 전방위로 확대할 계획이다.

이어 민간 기업의 실전 방어 체계 사례를 발표한 신동훈 골프존 CISO는 해커들이 자율적으로 취약점을 찾아내 무기화하는 ‘에이전틱 AI’ 환경에서는 방어자 역시 기술적 패러다임을 완전히 전환해야 한다고 제언했다.

신 CISO는 “보안의 본질적인 리스크는 규격화된 가이드를 따르지 않는 현업의 개발 및 인프라 구성 설정 오류에서 시작된다”고 설명하며, 기계적 속도로 침투하는 해커보다 먼저 취약점을 식별하기 위해 AI 기반 진단 도구(Plerion)를 도입한 실증 결과를 공개했다.

골프존은 AWS 클라우드 환경에서 발생하기 쉬운 S3 버킷의 퍼블릭 권한 노출이나 개방형 접근 정책 오류를 AI 엔진이 실시간으로 탐지하는 아키텍처를 가동하고 있다. 특히 LLM 기반의 AI 챗봇이 탐지된 취약점의 원인을 설명하고 대응 방안을 제시하면, 이를 SIEM·SOAR 시스템과 연계해 무단 접근 정책을 자동으로 삭제(delete-bucket-policy)하는 자율 대응 워크플로우를 갖췄다는 설명이다.

이날 포럼에 모인 CISO들은 정부의 통제와 과징금 상향 중심의 사후 처벌 관행에서 벗어나야 한다고 입을 모았다. 나아가 이번 행안부의 정책 발표처럼 실질적인 방어 인프라를 지원하고, 민간의 개방형 보안 규격을 수용하는 입체적인 거버넌스 생태계 조성이 시급하다는 데 공감대를 형성했다. 한국CISO협의회는 향후에도 포럼을 통해 민관의 안보 공조 체계를 더욱 촘촘하게 연결해 나갈 방침이다.

[조재호 기자(zephyr@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다