꽉 막는 보안에서 빨리 조치하는 보안으로

윤두식 대표님의 말씀에 정말 공감합니다. 예전 방식이 틀린 것이 아니라, 공격의 속도가 완전히 달라졌는데 우리의 의사결정과 운영 구조는 아직 과거에 머물러 있다는 점을 잘 짚으신 것 같아요.

김승주 교수님이 결국 보안 거버넌스 전환을 강조하신 맥락과도 같습니다. 보안 거버넌스도 이제 속도 중심으로 바꾸는 일이 더 중요해졌다는 거죠. 망분리가 지켜온 안전의 토대 위에 N2SF를 통해 유연성과 신속성을 더하자는 제안도 매우 현실적입니다.

결국 AI 시대 보안의 승부는 “얼마나 꽉 막았느냐”보다 “위험을 얼마나 빨리 보고, 결정하고, 조치하느냐”에 달려 있습니다. 그래서 지금 우리에게 필요한 것은 기술 교체만이 아니라 보안 거버넌스의 전환이라는 말씀에 크게 공감합니다.

윤두식 대표 원글

AI가 취약점을 20시간 만에 무기화하는 시대가 왔습니다.

위협의 속도가 바뀐 만큼, IT 도입방식의 변화가 필요합니다.

지난주 CSA, SANS, OWASP가 공동 발간한 ‘Mythos-ready’ 보고서에 따르면, 취약점 발견에서 무기화까지의 시간(TTE)이 2018년 2.3년에서 2026년 20시간으로 급격히 단축되었습니다.

우리나라 망분리 정책은 지난 20년간 공공기관을 수많은 사이버 위협으로부터 지켜온 중요한 방어 체계였습니다. 그 시대에는 올바른 선택이었고, 실제로 큰 역할을 했습니다.

그러나 위협의 속도가 근본적으로 바뀌었습니다.

과거에는 취약점이 발견되고 공격에 악용되기까지 수개월에서 수년의 여유가 있었습니다. 그래서 연 1~2회 패치로도 충분했고, 벤더가 현장을 방문해 조치하는 방식이 합리적이었습니다.

지금은 다릅니다. AI가 발견한 취약점이 수시간 내에 공격으로 전환됩니다.

문제는 기존 체계가 잘못되었다는 것이 아니라, 지금의 위협 환경이 그 체계가 설계된 시대와 완전히 달라졌다는 것입니다.

보안업계에서 현장을 보며 느낀 것이 있습니다.

우리에게 기술이 없는 것이 아닙니다. 업계는 보안 모델을 수시간 내에 업데이트할 수 있고, 가상 패칭으로 즉시 방어할 수 있는 기술은 이미 상당부분 갖추고 있습니다.

다만, 그 기술이 현장에 도달하는 속도가 위협의 속도를 따라가지 못하고 있습니다. 이것은 도입기관의 잘못이 아니라, 온프레미스 중심의 도입·운영 관행이 만들어낸 구조적 제약입니다.

국정원이 2025년 N2SF(국가 망 보안체계)를 도입한 것은 바로 이 변화를 인식한 선제적 대응이었습니다. 획일적 차단에서 등급별 차등 보안으로의 전환은, “무조건 닫는 보안”에서 “위험에 맞게 여는 보안”으로의 진화입니다.

이 방향성 위에서, 시스템 도입기관 - 산업계가 함께 고민해야 할 몇가지 사항들을 적어봤습니다.

1) SaaS 활용의 확대 기밀 시스템 외의 영역에서 SaaS를 적극 활용하면, 한 번의 업데이트가 전체 기관에 즉시 적용됩니다. N2SF의 등급별 차등 보안이 이를 가능하게 합니다.

2) 설정 기반 커스터마이즈 온프레미스 솔루션을 도입할 때, 기관별로 코드를 수정하면 범용 패치 적용이 어려워집니다. 코어는 동일하게, 기관별 차이는 설정으로 반영하는 방식이 보안 대응 속도를 높일 수 있습니다.

3) 긴급 패치 전용 프로세스 Critical 취약점에 대해서는 별도의 신속 대응 절차가 필요합니다. 통제된 원격 접속, CISO 즉시 승인 같은 긴급 트랙이 있다면 대응 시간을 크게 단축할 수 있습니다.

4) 패치 속도의 제도화 미국 CISA는 연방기관에 취약점별 패치 기한을 강제하고 있고, EU NIS2는 24시간 이내 보고를 의무화했습니다. 우리나라도 패치 속도를 제도적으로 뒷받침할 시점이 되었습니다. 그러려면, 온프레미스 위주, 커스터마이즈 위주의 IT 도입은 지양해야 합니다.

보안 벤더의 엔지니어 상당수가 현장 방문과 개별 패치 적용에 시간을 쓰고 있습니다. 이 인력이 AI 보안 연구와 제품 고도화에 투입된다면, 한국 보안 산업 전체의 방어 역량이 한 단계 올라갈 수 있습니다.

이것은 도입기관에 책임을 돌리자는 이야기가 아닙니다. 위협이 바뀌었으니, 대응의 구조도 함께 진화하자는 이야기입니다.

망분리가 20년간 쌓아온 보안의 기초 위에, AI 시대에 맞는 속도와 유연성을 더하는 것. 그것이 N2SF가 열어준 방향이고, 우리나라 공공기관과 보안 산업계가 함께 만들어가야 할 다음 단계라고 생각합니다.

공공이 선도하면 한국의 전체 도입기업이 따라갈 수 있습니다.

#사이버보안 #AI보안 #Mythos #N2SF #공공기관 #디지털전환 #정보보안 #보안정책

원글: https://www.linkedin.com/posts/dustinyoon_smcstwrserumsjm-airumsjm-mythos-share-7449793886757203968-PbGc