[기고] ‘보안 내재화’는 AI시대 경쟁력의 조건

장세인 토스증권 최고 정보보호책임자(CISO) 겸 보안총괄 생성형 인공지능(AI), 클라우드, 데브옵스(DevOps)의 확산은 제품 개발 방식을 빠르게 바꾸고 있다. 새로운 기능은 수개월이 아닌 수일, 때로는 하루에도 여러 차례 배포된다. SaaS 도입과 데이터 활용, 업무 자동화가 일상화되면서 기업의 일하는 방식은 더욱 빠르고 복잡하게 연결되고 있다. 그러나 반복되는 보안 사고를 들여다보면 기술 자체보다 급격히 빨라진 개발 속도를 기존 보안 운영 방식이 따라가지 못해 발생하는 경우가 많다. 개발은 실시간으로 이루어지는데 보안은 여전히 개발이 끝난 뒤 검토하고 승인하는 방식에 머물러 있기 때문이다. 최근 업계에서 보안 내재화(Security by Design)가 주목받는 이유도 여기에 있다. 많은 조직은 보안 내재화를 개발 초기 단계에 보안 검토를 추가하는 활동으로 이해한다. 하지만 그것만으로는 보안 내재화의 본질을 설명하기 어렵다. 핵심은 보안팀이 조금 더 일찍 참여하는 데 그치지 않고, 제품을 만드는 사람들이 중요한 의사결정의 순간마다 위험을 스스로 인식하고 필요한 경우 보안팀과 더 빠르고 깊이 논의할 수 있는 환경을 만드는 데 있다. 보안이 특정 조직의 책임이 아니라 제품을 만드는 모든 구성원의 의사결정 속에 자연스럽게 녹아드는 것, 그것이 보안 내재화의 본질이다. 그동안 여러 기업의 보안 조직은 요청·응답(Request and Answer, R&A) 방식으로 운영되어 왔다. 개발 조직이나 비즈니스 조직이 질문하면 보안 조직이 답변하고, 새로운 기능이 만들어지면 보안 검토를 요청하며, 예외 상황이 발생하면 보안 조직이 판단을 내린다. 이러한 구조에서는 중요한 판단이 자연스럽게 보안팀으로 집중된다. 서비스와 조직이 성장할수록 보안팀은 병목이 되고, 현업 조직은 스스로 위험을 판단하기보다 검토와 승인에 의존하게 된다. 하지만 더 근본적인 한계는 보안팀이 모든 업무의 맥락을 가장 잘 알 수는 없다는 점이다. 같은 데이터라도 실제 어떤 업무에서 활용되는지, 고객과 서비스에 어떤 영향을 미치는지는 현업 조직이 가장 잘 안다. 반대로 반드시 지켜야 할 기준과 보호해야 할 정보는 보안팀이 가장 잘 안다. 결국 좋은 보안 판단은 어느 한쪽의 전문성만으로 만들어지지 않는다. 더 큰 문제는 조직의 보안 수준이 특정 시점에 의해 좌우된다는 점이다. 감사와 인증, 규제 대응을 앞두고 보안 활동은 집중되지만 일정이 끝나면 우선순위는 다시 낮아진다. 사고가 발생하면 통제는 강화되지만 시간이 지나면 관심도 함께 옅어진다. 이처럼 보안이 이벤트 중심으로 운영되는 한 조직의 보안 역량은 축적되기 어렵다. 빠르게 변화하는 제품 환경에서 필요한 것은 특정 시점의 보안 수준이 아니라 일상 속에서 지속적으로 작동하는 보안 체계다. 보안 내재화는 이러한 운영 방식 자체를 바꾸기 위한 접근이다. 보안팀이 더 많은 검토를 수행하는 것이 목적이 아니다.제품 조직이 명확한 기준 안에서 스스로 판단하고, 영향도가 크거나 새로운 위험이 예상되는 사안에 대해서만 보안팀과 긴밀하게 협업할 수 있도록 만드는 것이 핵심이다. 보안의 목표는 모든 의사결정을 대신하는 것이 아니라 조직 전체가 더 나은 보안 의사결정을 내릴 수 있도록 돕는 데 있다. 이를 위해 보안팀의 역할도 달라져야 한다. 과거의 보안팀이 정책을 검토하고 승인하는 최종 승인자였다면, 앞으로는 제품 조직과 함께 서비스를 설계하는 공동 설계자가 되어야 한다. 제품 목표와 고객 경험, 비즈니스 우선순위를 함께 이해하고 현실적인 대안을 제시해야 한다. 보안은 사업과 개발의 반대편에서 제동을 거는 조직이 아니라, 더 안전한 방식으로 더 빠르게 나아갈 수 있도록 돕는 협업 파트너여야 한다. 어쩌면 앞으로의 보안팀은 페이스메이커(Pacemaker)에 더 가까울 것이다. 마라톤에서 페이스메이커는 참가자를 대신해 뛰지 않는다. 참가자가 자신의 페이스를 유지하며 완주할 수 있도록 돕는다. 보안팀도 마찬가지다. 모든 결정을 대신하는 조직이 아니라 제품 조직이 더 나은 판단을 내릴 수 있도록 기준과 방향을 제시하는 조직이어야 한다. 보안팀의 역할은 반복되는 질문에 답변하고 결정을 대신하는 것이 아니라, 조직이 가장 좋은 판단을 내릴 수 있도록 기준을 만들고 바꾸는 데 있다. 보안 내재화는 안전한 고속도로를 설계하는 일과 닮아 있다. 고속도로에는 반드시 지켜야 할 중앙분리대와 가드레일이 있고, 그 안에서는 누구나 목적지에 맞게 자유롭게 달릴 수 있다. 보안도 마찬가지다. 넘지 말아야 할 원칙은 분명히 하되, 어떤 일은 제품 조직이 스스로 빠르게 판단하고 어떤 일은 반드시 보안팀과 함께 논의해야 하는지 기준이 명확해야 한다. 보안팀이 검토와 승인에 머무르지 않고 이러한 환경을 함께 설계할 때, 보안은 더 이상 개발의 속도를 늦추는 통제가 아니라 조직의 성장을 뒷받침하는 기반이 될 것이다.