[디지털데일리 김보민기자] 생성형 인공지능(AI) 확산으로 해킹의 진입 장벽이 낮아지고 있다. 이제 챗GPT로 일반인도 악성 스크립트, 피싱 이메일, 공격 시나리오를 손쉽게 제작할 수 있게 됐고 다크웹에서는 공격 코드와 도구가 유통되고 있다.

특히 AI는 인간 개입 없이 스스로 표적을 선정하고, 실시간으로 전략을 조정해 자동으로 공격을 수행한다는 점에서 과거 한 달 넘게 소요되던 해킹이 이제는 단 5시간 만에 가능해졌다. 이로 인해 조직 내부에 성벽을 쌓는 수동적 방어 방식은 한계를 불러왔고, 공격자의 관점에서 바라보고 선제적으로 대응하는 보안 체계 구축이 불가피해졌다.

보안 업계에서는 AI가 해킹 공격을 자동화하고 지능화시키면서 전통적인 방어 중심 보안으로는 대응이 불가능해졌다고 입을 모은다. 단순 방어가 아니라 관측의 문제로 보안 체계를 구성해, 공격자 관점에서 침투 가능 지점을 선제 파악하는 것이 중요해졌다는 취지다.

특히 공공을 중심으로 국가망보안체계(N2SF) 기반 보안 체계 개편이 예고되면서, AI 시대 새로운 패러다임이 필요하다는 목소리가 커지고 있다. 다만 현장에서는 한계 개선이 우선이라는 의견도 제기된다.

N2SF는 정보 중요도에 따른 등급 분류(C·S·O)와 함께 해커의 표적이 될 만한 외부 자산을 기준으로 보안을 설계하는 방식이다. 마치 해커의 눈으로 조직을 바라보겠다는 셈이다. 실제 이번 지침에는 외부 경계(EB) 영역을 중심으로 한 내용이 다수 반영됐으며, 기존 망분리와 제로트러스트의 한계를 N2SF로 보완해 급변하는 AI 해킹 시대에 대응하겠다는 취지로 보인다.

그러나 일선 현장에서는 적용상의 한계가 지적되고 있다. 공격자 관점 보안 체계 구축을 위해서는 '외부 자산 가시성 확보'가 필수이나, 대부분 기관은 내부망 중심 관리에 익숙해 외부 노출 현황을 실시간으로 파악하는 체계가 전무한 상황이다. 기존 내부 자산 정리가 미흡하거나, 보안 인력이 부족한 현장도 대다수다. 기존 방화벽 관리나 백신 업데이트 같은 일상적인 보안 업무에 치중하다 보니, 공격자 관점에서 외부 자산을 분석하는 새로운 접근법에 대한 이해와 경험이 부족한 사례도 있다.

이러한 N2SF의 현실적 한계를 해결할 수 있는 해법으로 '공격 표면 관리(ASM, Attack Surface Management)'가 주목받고 있다. ASM은 해커의 시각에서 조직의 외부 노출 자산을 분석하고, 공격 가능성이 있는 지점을 사전에 식별·차단하는 보안 체계다. 상대방이 침입할 수 있는 열린 문이 어디인지 미리 확인해 공격이 오기 전에 문단속을 하는 개념이다.

특히 클라우드 기반 서비스형소프트웨어(SaaS) 서비스와 사물인터넷(IoT) 환경이 확산되고, 개발·운영 현장에서 보안 부서의 승인 없이 외부 서비스를 개인적으로 사용하는 '섀도 IT'가 증가한 것도 ASM에 대한 관심을 높이고 있다. 향후 클라우드보안인증(CSAP) 완화와 범정부 차원의 SaaS 도입이 가속화된다면, 중요성은 커질 전망이다.

해외에서는 ASM 도입 효과가 입증되고 있다. 글로벌 ASM 시장 규모는 2023년 7억1600만달러에서 2032년 42억9100만달러로 약 6배 성장할 전망이다. 보안 선진국인 미국에서는 전체 보안 솔루션 중 ASM이 35%를 차지할 정도로 주류 기술로 자리잡았다. IBM, 테너블, 맨디언트 등 글로벌 주요 기업들도 ASM 전문 업체를 잇따라 인수하며 기술 선점 경쟁을 벌이고 있다. 정부 조달청, KT 등 기관과 대기업에서 ASM 솔루션 도입을 검토하기 시작했지만 국내 시장은 아직 초기 단계다. 최근 230억원 투자를 유치한 '크리미널 IP ASM' 솔루션을 비롯해 몇몇 업체들이 있지만, 해외 대비 경쟁은 제한적인 상황이다.

업계에서는 정부가 완벽한 지침 완성에만 매달리기보다는 정책과 기술을 병행 적용해 실효성을 높이는 방향이 현실적이라고 입을 모은다. 실제 지난 1월 발표된 N2SF 가이드라인이 최종본이 아닌 '드래프트(초안)' 형태로 공개되면서 일부 혼선이 발생한 바 있다.

강병탁 AI스페라 대표는 "올해 초 N2SF 가이드라인이 정식 고시가 아닌 초안으로 발표되면서 조직이 어느 수준까지 대응해야 하는지 판단하기 어려웠다"며 "기술 적용 범위나 해석을 두고 내부 혼선도 적지 않았던 만큼 현장에 적용할 수 있는 기술적 가이드가 반드시 병행돼야 한다"고 전했다.

보안 위협이 지금 이 순간에도 빠르게 진화하고 있는 만큼, 제도의 완성도에만 치중해 솔루션 도입이나 인프라 정비 시기를 놓치면 보안 정책이 선제 대응이 아닌 사후 조치로 흐를 수 있다는 우려도 나온다.

업계 관계자는 "N2SF가 강조하는 공격자 관점 보안을 실제로 구현하려면, ASM처럼 외부 노출 자산을 식별·관리할 수 있는 기술적 수단이 반드시 병행돼야 한다"며 "정책이 현장에서 실질적인 효과를 내기 위해서는 각 기관의 여건에 맞춘 실무 지침과 점진적인 적용 전략이 함께 마련돼야 한다"고 말했다.

- Copyright ⓒ 디지털데일리. 무단전재 및 재배포 금지 -