“다른 회사는 어떻게 하나요?”…4명서 400명 된 보안 실무자 모임

“생성형 인공지능(AI)을 업무에서 어디까지 허용해야 할까.” 기업마다 답은 달랐다. 한 기업은 개인 계정을 모두 막기보다 파일 첨부처럼 위험도가 높은 경로만 통제하는 쪽을 택했다. 다른 기업은 개발자와 일반 사용자를 나눠 AI 이용 체크리스트를 만들어 배포했다. 사내에서 제공하는 AI를 중심으로 관리 체계를 마련하고 그 밖의 서비스는 차단하는 방안을 준비하는 곳도 있었다. 지난달 27일 서울 강남구 역삼동 앙트레빌에서 열린 지란지교소프트의 실무 보안담당자 커뮤니티 '보안잇' 20회 현장에서는 생성형 AI을 업무에 어디까지 허용하고 어떻게 관리할지를 놓고 기업별로 각기 다른 대응 방식을 공유했다. 제조·의료·금융·공공 등 다양한 업종의 IT·정보보안 담당자들은 자사 운영 경험과 고민을 털어놨다. 기업들의 고민은 숫자로도 나타났다. 사전 설문에 답한 48명 가운데 44명이 생성형 AI를 사용하고 있었지만, '이용 가이드를 마련 중'이라는 응답과 '아직 기준이 없다'는 응답이 각각 12명에 달했다. 개인정보와 민감정보 입력 차단을 가장 시급한 보안 과제로 꼽은 응답자도 23명으로 나타났다. AI가 업무에 빠르게 스며든 반면 관리 기준은 아직 제각각인 셈이다. 이날 참석자들은 패널 토크와 테이블별 대화를 통해 각사가 겪은 시행착오와 대응 방식을 비교했다. 하나의 정답을 내놓기보다 서로의 경험을 공유하며 각자 조직에 맞는 관리 기준을 찾아가는 자리였다.

보안잇은 이처럼 '다른 회사는 어떻게 하고 있는지'를 묻는 자리다. 2024년 3월 다른 기업의 전산실 운영 방식과 연봉 협상 노하우를 주제로 단 4명이 모인 것이 시작이었다. 기업에서 IT 운영과 정보보안을 맡다 보면 비슷한 고민을 겪어도 다른 회사의 사례를 편하게 물어볼 곳이 마땅치 않다는 데서 출발했다. 회차를 거듭하면서 다루는 주제도 넓어졌다. 정보보호 인증과 보안 사고, 랜섬웨어, 재해복구부터 최고정보책임자(CIO)·최고정보보호책임자(CISO)로 가는 경력 고민까지 현장에서 부딪히는 문제들이 테이블 위에 올랐다. 4명으로 출발한 보안잇은 20회까지 누적 참석자가 400명에 가까운 커뮤니티로 커졌다. 참가자들이 모인 온라인 채널도 200명 규모다. 행사가 끝난 뒤에도 다른 회사의 실무 경험을 묻거나 새로운 제도와 서비스 정보를 나누는 대화가 이어지고 있다. 지란지교소프트 관계자는 “지식은 검색이나 AI로 찾을 수 있지만, 누군가 직접 겪은 일과 그 맥락은 결국 사람을 통해 얻을 수 있다”며 “퇴근 후 시간을 내 참석한 참가자가 돌아갈 때 한 줄이라도 가져갈 수 있는 자리를 만드는 것이 보안잇의 운영 원칙”이라고 말했다.