필요한 것은 규제 완화가 아니라 방향 전환이다
이용자 PC를 통제하는 폐쇄형 금융보안 규제가 남긴 병목을 짚으며, 보안의 책임을 금융기관 서버와 백엔드로 재배치하고 국제표준 기반의 목표지향적 규제로 옮겨가자고 제안한 글.
Topic
보안
논평 78편, 단상 111편.
5 / 8 쪽 · 189편
명함 교환을 넘어선 신뢰 기반 네트워크
국내 보안기업의 일본 진출 설명회에 참석했다. 그 자리에서 소개된 ‘ASTEEDA Executive Salon’은 일회성 명함 교환을 넘어 친목과 정보 공유를 결합한 네트워크라는 점에서 인상적이었다.
학교 카카오톡 차단은 전형적인 보안극장
교사 컴퓨터에서 카카오톡을 막는 것은 국정원 수준 보안을 교실에 적용하는 오류다. 위험을 줄이기보다 “무언가를 했다”는 증거를 남기는 차단 중심 대응에서 개방형 보안으로 가야 한다.
취약점 공개에서 취약점 거버넌스로
취약점 공개부터 실제 공격까지 걸리는 시간이 2018년 2.3년에서 2026년 1.6일로 줄었다. 그렇다고 공개 제도가 무용해진 것은 아니며, 오히려 거버넌스 장치로서의 의미가 커졌다고 본다.
FBI 감시 시스템 침해, 단순 해킹이 아니다
FBI가 감시·수사 지원 시스템에서 정교한 침해 정황을 발견해 백악관·NSA·CISA가 공동 대응에 나섰다. 수사 대상과 진행 중인 단서가 노출됐을 가능성이 있는 방첩 사건으로 본다.
안보의 이름으로 AI 통치질서를 설계하다
백악관이 공개한 트럼프 사이버전략 문서를 읽었다. 사이버 방어전략이라기보다 안보의 언어로 포장된 디지털 통치 설계도에 가깝고, 한국은 그 길로 가지 말아야 한다.
백업이 있는가에서 복구할 수 있는가로
행정망 장애와 국정자원 화재를 거치며 데이터 보호의 질문이 바뀌었다. 858TB가 손상되고 재해복구 시스템이 작동하지 않은 경험이 축을 백업에서 복구로 옮겼다.
전쟁은 미사일보다 먼저 네트워크에서 시작된다
이스라엘이 수년간 테헤란의 교통 카메라를 해킹해 경호 동선을 축적했다는 FT 보도. 민간 인프라가 군사 표적화 체계의 일부로 편입되는 장면을 사이버보안 관점에서 짚었다.
지능의 폭주가 아니라 권한의 설계
에이전트 AI 시대에는 기계 행위자도 신원과 권한, 책임 체계 안에 들어와야 한다. '누가 로그인했는가'에서 '어떤 권한으로 이 행동을 했는가'로 질문이 옮겨간다.
AI는 사이버보안의 하위 범주가 아니다
정보보호포럼 세미나에서 들은 NIST AI-RMF 발표를 계기로 정리한 생각. 권고 중심 모델을 그대로 이식하기보다 공공조달과 연계한 한국형 AI보안 프레임워크를 설계해야 한다고 봤다.
AI 보안, 모델을 넘어 행위자로
제17차 보안TF 회의에서 든 생각. 에이전트 AI가 외부 API와 물리 시스템까지 다루기 시작하면서 위험은 제품 안전을 넘어 시스템 리스크가 되고, 국가는 조절자로 다시 등장한다.
안건 의결은 끝이 아니라 시작이다
국가AI전략위원회 2차 전체회의에서 AI 행동계획이 의결됐다. 보안TF가 마련한 CVD/VDP 도입 로드맵을 직접 보고한 날, 시범사업과 법제화라는 다음 단계 앞에서 어깨가 무거워졌다.
정보보호 산업과 디지털 주권은 별개가 아니다
김진수 신임 회장의 취임과 이해민 의원의 사이버영토주권상 수상을 축하하며 적은 글. 정보보호 산업의 경쟁력이 곧 국가의 사이버 영토를 지키는 힘이 된다는 생각을 짧게 덧붙였다.
제5차 양자보안포럼, 6G-IoT와 양자 위협
제5차 양자보안포럼 참석 기록. 6G-IoT 이동통신이 국가 디지털 생태계의 기간망이 되는 만큼 양자 위협에 선제적으로 대응할 보안 기술이 필요하다는 발표 내용을 옮겼다.
민주화운동기념관에서 마주한 무거운 질문
늦은 점심 뒤 민주화운동기념관을 찾아 전시를 둘러본 기록. 12·3 내란을 겪은 뒤, 국가안보를 명분으로 한 권한 집중이 민주적 통제를 잠식할 수 있다는 사실을 다시 생각하게 됐다.
12·3 내란이 남긴 사이버안보의 공백
정부 대상 대규모 해킹을 다룬 기자수첩을 읽고 적은 논평. 내란으로 국가 역량이 정치·사법 대응에 쏠린 사이 사이버 위협 대응 체계가 작동하지 못했고, 그 취약성은 오히려 더 깊어졌다고 본다.
소띠 보안인들의 새해 인사
소띠 보안모임의 고문인데 자주 못 봐 아쉬웠는데 영상으로 새해 인사를 받았다는 짧은 기록. 다들 새해 복 많이 받으시라는 인사를 남겼다.
AI 보안의 진짜 문제는 모델이 아니라 정체성이었다
CSA가 발간한 《The State of Non-Human Identity and AI Security》 보고서를 정리했다. AI 보안의 무게중심이 모델 보호에서 비인간 정체성(NHI) 통제로 옮겨가고 있다.
가장 취약한 고리는 코드가 아니라 사람
영화 《휴민트》를 보고 적은 감상. 정교한 방화벽과 암호화 체계도 한 번의 방심 앞에서는 무력해지며, 보안은 의심하고 확인하는 일상의 태도에서 출발한다고 본다.
지금 필요한 것은 대책이 아니라 구조적 전환
2026년에도 큰 해킹사고가 날 가능성이 높다는 어느 교수의 걱정에서 시작한 글. 제3의 종합대책이 아니라 상시 콘트롤타워와 보안 투자에 대한 인식 전환이 필요하다고 본다.
PQC 전환은 미래가 아니라 지금의 국가 과제
과기정통부 양자종합계획에서 국가 양자보안 전략은 충분히 부각되지 못했다. 양자내성암호 전환을 2035년 시간표에 맞춘 과제로 재정의하고 보안 아키텍처 전환의 문제로 격상시킨 리포트에 붙인 논평.
AI 행동계획이 실행 국면에 들어섰다
국무회의에서 대한민국 인공지능 행동계획 추진현황이 보고됐다. 보안TF가 준비해온 화이트해커 활용 과제와 CVD/VDP 로드맵이 7대 과제에 포함되며, 선언이 아니라 일정과 책임 주체를 갖춘 단계로 넘어갔다.
보안은 기술이 아니라 경영의 언어다
아침 CISO포럼에서 들은 이야기. 제로트러스트와 정보보호공시를 이상론이나 규제 부담이 아니라 제한된 예산과 인력이라는 전제 위에서 다시 읽어낸 관점이 인상 깊었다.
QKD와 PQC를 잇는 양자보안 VPN
국민대 연구팀이 유선 QKD와 무선 PQC를 결합해 5G 단말까지 End-to-End 양자 보안을 구현했다. NIST 표준과 국내 KpqC를 함께 실은 성과에 양자보안포럼 회장으로서 보내는 축하와 응원.