미토스 사태는 보안주에 악재가 아니었다
AI 해킹 위협이 커지면 보안 지출도 급증할 것이라는 시장의 반응인 듯하다. 정부 부처의 긴급대책이 보안정책 대응 증가 예측으로 이어진 것으로 보인다. 문제는 실제 예산과 정책이 그만큼 따라오느냐다.
Topic
보안
논평 78편, 단상 111편.
4 / 8 쪽 · 189편
보안특위를 찾아준 KISIA 회장단
한국정보보호산업협회 김진수 회장 일행이 국가AI전략위원회 보안특별위원회를 찾아왔다. 보안기업들의 애로사항을 듣고, 사이버보안 산업 생태계를 살리기 위한 위원회와 협회의 협력을 다짐한 자리.
미토스 사태가 드러낸 AI 주권의 현실
유럽은 미토스 사태를 기술적 충격이 아니라 프런티어 AI의 접근권과 통제권에서 배제됐음을 드러낸 구조적 위기로 본다. 규제 체계만으로는 부족하다는 이 경고는 한국에도 그대로 적용된다.
꽉 막는 보안에서 빨리 조치하는 보안으로
예전 방식이 틀린 게 아니라 공격의 속도가 달라졌다. 망분리가 지켜온 토대 위에 N2SF로 유연성과 신속성을 더하자는 제안에 공감한다. 지금 필요한 것은 기술 교체가 아니라 보안 거버넌스의 전환이다.
한국형 AI 취약점 탐지 컨소시엄, 만들어야 하지 않을까
구글 재팬과 일본 NICT가 소프트웨어 취약점을 자율 탐지하는 AI 에이전트를 공동 개발한다고 발표했다. 특정 외국기업과 손잡는 게 부담스럽다면, 국내 공공기관·보안기업·산업이 함께하는 컨소시엄이라도.
AI가 해킹하는 시대, 통제되지 않은 격차
영국 AISI가 클로드 미소스의 사이버 역량 평가 결과를 발표했다. 32단계 기업 네트워크 공격 시뮬레이션을 처음부터 끝까지 완수한 최초의 모델. 다만 방어가 약한 환경이라는 단서가 붙는다.
암호가 AI를 만나면, 데이터 활용의 경계가 바뀐다
국가AI전략위원회 보안특위 첫 전문가 세미나 참관기. 동형암호가 LLM과 결합되며 ‘활용 가능한 보안 인프라’로 진입하고 있고, AI 시대의 보안은 막는 것이 아니라 안전하게 쓰게 설계하는 것이라는 기록.
데이터 중심 보안체계로의 전환은 녹록치 않다
시스템 전체를 하나의 등급으로 묶는 CSAP의 한계를 짚고, 데이터 중심 등급분류로 가려면 표준 분류체계와 책임 거버넌스, 분류 자동화 산업, AI 시대형 분류 틀까지 함께 설계해야 한다고 정리했다.
N2SF 2.0의 과제는 막는 것이 아니라 허용하는 것
N2SF 1.0이 AI를 여전히 외부 수동형 서비스로 상정해 에이전트·MCP·A2A 현실을 담지 못한다는 분석에 공감하며, C/S/O 등급체계 위에 AI 특화 통제를 얹는 N2SF 2.0의 과제를 정리했다.
고려대학교 AI보안연구소 개소식
고려대학교 AI보안연구소 개소식에 다녀와 사진 몇 장과 한 줄만 남긴 짧은 기록이다.
AI 데이터센터는 핵심 전략 인프라다
한국정보통신설비학회 AI데이터센터 기술심포지엄에서 남긴 인사말. AI 보안의 무게중심이 모델 안전성에서 AI 인프라와 공급망 보안으로 옮겨가고 있고, AI 데이터센터는 국가 경쟁력을 지탱하는 전략 인프라라고 짚었다.
국가AI전략위원회 보안특별위원회 출범
국가AI전략위원회 보안특별위원회 출범식 소감. AI를 국가 전략자산으로 규정하고 모델·데이터·컴퓨팅 자원을 포괄하는 보안 프레임워크를 세워야 하는 과제 앞에서 느낀 책임감을 적었다.
사이버보안정책포럼 조찬 강연
KISA와 정보보호학회가 주관한 사이버보안정책포럼 조찬 강연 후기. 「인공지능 행동계획」 최종안의 보안정책 과제를 알리려 강연을 마다하지 않게 된 사정과 그날의 부담을 적었다.
철폐가 아니라 책임구조 재설계가 목표다
설치형 보안 SW를 다 빼라는 정부 지시 기사에 붙인 논평. 소비자 PC에 책임을 떠넘기는 체계는 바뀌어야 한다는 방향에는 찬성하지만, 목표는 철거 자체가 아니라 금융보안 책임구조를 다시 짜는 데 있어야 한다고 봤다.
은행의 이익은 사유화되고 보안 책임은 외주화됐다
은행 이자 수입 60조를 다룬 기사에 붙인 논평. 순이익 대비 1%대에 머무는 정보보호 예산을 짚으며, 초과이익과 보안책임을 직접 연동하는 의무공시·의무투자제를 제안했다.
문제는 새로운 해킹이 아니라 기본 보안의 붕괴였다
2025년 대규모 침해사고를 분석한 국회입법조사처 보고서를 읽고. 암호화 미흡, 계정 관리 부실, 취약한 인증 설계 같은 기본이 무너진 것이 공통 원인이었다는 진단에 크게 공감한 기록.
보안TF, 5개월의 소임을 마치고
국가AI전략위원회 보안TF 최종회의 날의 기록. 5개월간 함께한 TF위원들에게 감사를 전하고, 향후 보안특위에서도 그 고견을 계속 듣겠다고 적었다.
보안특별위원회의 장을 맡게 되었습니다
국가AI전략위원회 조직개편으로 신설된 보안특별위원회의 위원장을 맡게 된 날의 기록. 보안특위 신설의 의미를 짚은 기사를 함께 옮겨 두었다.
합성데이터는 품질 문제가 아니라 보안 위협이다
AI가 봇끼리의 대화로 학습 데이터를 채운다는 기사에 붙인 논평. 에이전트 간 상호작용으로 증식되는 합성데이터를 데이터 공급망 교란으로 보고, 전 주기를 관리하는 거버넌스가 필요하다고 짚었다.
‘무엇을 설치할 것인가’에 갇힌 보안 규제
보안TF 회의에서 공공기관 망분리 규제를 유연화하려는 N2SF와 25년째 이어져온 금융 보안프로그램 문제를 함께 다룬 날의 기록. 두 사안이 같은 문제를 드러냈다고 봤다.
제1회 양자보안컨퍼런스를 열며
세계보안엑스포(SECON & eGISEC 2026) 참관 기록. 학계의 일원으로 편안하게 돌아본 자리에서 양자보안포럼 회장으로 제1회 양자보안컨퍼런스를 열게 된 소회를 남겼다.
사이버보안은 시스템 전체의 문제다
층층이 쌓인 방어 구조를 들여다보며 남긴 짧은 단상. 사이버보안은 하나의 기술이 아니라 전략·인프라·데이터·사람·법이 얽힌 문제이고, 대응이 아니라 설계와 운영의 영역이라고 적었다.
IMSI 사태는 사후 대응이 아니라 설계를 묻는다
고객 전화번호로 IMSI를 발급했다는 보도에 붙인 논평. 가입자 식별체계가 예측 가능하게 연결돼 있었다면 문제는 사고 대응이 아니라 사전 설계 통제에 있다고 짚었다.
공부하면서 밥까지 먹을 때가 제일 편하다
CISO포럼 조찬모임에 다녀온 아침의 짧은 기록. 강연이나 발표를 맡는 자리보다 배우면서 밥을 먹는 조찬이 가장 마음 편하다고 적었다.
