지정호 토스 CISO “보안 조직, 기업 AX 가능케 해야”
“토스의 모든 보안 조직은 기업의 AX를 막는 조직에서 가능하게 하는 조직이 되려고 노력하고 있습니다.”
지정호 토스(운영사 비바리퍼블리카) 정보보호최고책임자(CISO)는 6일 서울 삼성동 코엑스에서 열린 보안 콘퍼런스 ‘토스 가디언즈 26’ 기조연설에서 이렇게 말했다. 그는 “기업의 인공지능 전환(AX)이 빨라지는 만큼, 이제 보안 조직도 새로운 기술을 차단하는 방식에서 벗어나 안전한 활용을 지원하는 방식으로 업무 체계를 바꿔야 한다”고 강조했다.
지 CISO는 최근 기업들이 AX 과정에서 겪는 보안 문제를 공유하며, “AI 사용을 무조건 금지하거나 통제 없이 허용하는 방식은 보안의 해법이 될 수 없다”고 진단했다. 이어 “위험을 제로로 만드는 가장 쉬운 방법은 새로운 시도를 막는 것이지만, 이는 결국 기업의 혁신을 막는다”며 “보안 조직은 혁신을 지원하면서 위험을 빠르게 파악할 수 있는 방안을 마련해야 한다”고 말했다.
위험평가로 AI 활용 허용…접근 통제 체계 구축
토스가 제시한 AI 시대 보안 대응의 출발점은 ‘위험평가’다. AI 사용에 따른 위험을 구체적으로 파악하고, 회사가 통제할 수 있는 서비스만 허용하는 방식이다. 토스는 AI 서비스를 도입할 때 표준 인증 체계와 연동되는지, 사용 내역을 점검할 수 있는지, 입력 데이터를 AI 학습에 사용하지 않도록 통제할 수 있는지 등을 확인하고 있다.
실제 AI 활용을 위한 보안 체계도 마련 중이다. 내부 시스템이 외부 AI와 연결될 때 반드시 ‘AI 게이트웨이(AI Gateway)’를 거치도록 설계했다. 이 과정에서 개인정보나 인증정보 등 민감한 데이터가 오가는지 검사하고, 사용 기록도 남긴다.
AI 에이전트에는 별도의 접근 권한을 부여한다. 에이전트를 내부 시스템에 연결하기 전에 검증하고, 허용된 범위에서만 작업하도록 통제한다. AI로 프로그램을 만드는 바이브 코딩에는 전용 인프라를 제공한다. 개발한 프로그램을 보안성 심의를 거쳐 배포하고, 변경 사항을 자동으로 점검하도록 했다.
지 CISO는 “토스의 보안 조직은 AI 활용에 따른 위험을 파악하고 통제 수단을 마련해, 임직원이 새로운 기술을 업무에 적용할 수 있도록 지원하는데 업무의 초점을 맞추고 있다”고 설명했다.
반복 업무 자동화하고 자체 보안 솔루션 개발…투자도 확대
토스는 보안 조직의 업무 방식도 바꾸고 있다. 반복적인 보안 점검과 분석에는 AI를 적극적으로 활용하고, 최종 판단은 사람이 맡도록 했다. 취약점 관리에서는 AI가 위험도와 공격 가능성, 영향을 받는 자산을 분석해 조치 우선순위를 제시한다.
일시 : 2026년 11월 19일 오후1시 ~ 오후 5시
장소 : 서울시 서초구 강남대로 499, 동일빌딩 3층 스페이스쉐어 주피터홀
◈ [Elastic 웨비나] AI 시대의 Observability 전략: 데이터 가시성과 비용 효율을 함께 확보하는 방법
일시 : 11월 11일 (수) 14:00 ~ 15:30
장소 : 온라인(bylineplus.com)
보안 운영 속도를 높이기 위해 자체 솔루션도 개발했다. 토스는 2022년부터 외부 업체의 상용 ‘보안 엑세스 서비스 에지(SASE)’ 제품을 사용했지만, 장애가 발생할 때마다 해외 공급업체에 해결을 의존해야 했다. 이에 자체 개발한 네트워크 보안 솔루션 ‘타이탄(Titan)’을 지난해 단계적으로 배포했다. 올해 초에는 비바리퍼블리카 전사 적용을 완료하고 기존 상용 제품의 계약을 해지했다. 앞으로 다른 계열사에도 적용 범위를 넓힌다는 계획이다.
보안 인력과 투자도 확대하고 있다. 토스의 정보보호 투자액은 2021년 90억4000만원에서 2025년 192억5000만원으로 113% 증가했다. 2025년 공시 기준 49.5명이던 정보보호 인력은 현재 70명으로 늘었다. 게다가 27명을 추가로 채용하고 있다.
지 CISO는 “새로운 위협이 등장할 때마다 기존 보안 업무를 중단할 수는 없다”고 설명했다. 반복적인 업무를 자동화해 확보한 인력을 새로운 위험에 대응하는 데 투입하고, 부족한 부분은 추가 투자로 보완해야 한다는 것이다. 그는 “투자를 충분히 했다고 해서 보안을 100% 보장할 수는 없겠지만, 충분한 투자조차 없이 기존 방식으로 새로운 위협에 대응할 수는 없다”고 강조했다.
그는 보안 투자를 위해 보안 리더가 경영진과 임직원을 설득하는 방식도 중요하다고 봤다. 경영진에게는 보안 위험이 기업에 미칠 손실과 필요한 투자를 그들의 언어로 설명하고, 임직원에게는 새로운 기술을 막는 이유보다 안전하게 사용하는 방법을 알려줘야 한다는 것이다.
지 CISO는 성공적인 AX를 위한 보안 조직의 역할을 ‘파악·설계·수용’으로 정리했다. 그는 “보안 조직은 위협을 빠르고 명확하게 파악하고, 속도감 있게 대응 방안을 설계한 후, 조직이 이 변화를 받아들일 수 있도록 도와야 한다”고 강조했다.
한편 이날 기조연설에 앞서 토스와 계열사의 정보보호최고책임자(CISO), 개인정보 보호책임자(CPO) 등 보안 리더들이 무대에 올라 인사했다. 대표로 인사말을 전한 신용석 토스페이먼츠 CISO는 잇따른 보안 사고로 어려움을 겪는 보안 담당자들을 격려했다. 그는 ‘삶이 그대를 속일지라도’라는 러시아 시인 푸시킨의 시를 낭독한 뒤 “힘내세요. 모두 파이팅”이라며 응원의 메시지를 전했다.
글. 바이라인네트워크
<곽중희 기자>god8889@byline.network
