삼성자산운용, '섀도우 AI' 보안 강화로 정보유출 원천 차단

요즘 회사에서 AI를 활용하지 않는 곳을 찾아보기 어려울 만큼, 생성형 AI 서비스가 업무 깊숙이 들어와 있죠. 그런데 편리함 뒤에는 예상치 못한 위험이 숨어있다는 사실, 혹시 알고 계셨나요? 바로 회사 몰래 사용하는 AI, 즉 '섀도우 AI'로 인한 정보 유출 문제입니다. 최근 삼성자산운용이 이러한 섀도우 AI의 위협으로부터 민감한 정보를 보호하기 위해 새로운 보안 체계를 구축한다는 소식이 들려왔어요.

섀도우 AI, 왜 위험할까요?

‘섀도우 AI’라는 말 자체가 생소한 분들도 계실 텐데요. 간단히 말해, 회사 공식 승인이나 관리 없이 직원들이 개인적으로 사용하는 생성형 AI 서비스를 뜻합니다. 과거에 IT 부서 몰래 프로그램을 깔아 쓰던 '섀도우 IT'와 비슷하지만, AI는 그 위험성이 훨씬 더 크다고 볼 수 있어요.

가장 큰 문제는 민감한 정보 유출이에요. 직원들이 업무에 필요한 자료를 AI에 입력하는 과정에서 고객 정보, 개인 식별 정보, 회사 기밀 같은 민감한 데이터가 외부 AI 모델에 학습되거나 노출될 수 있거든요. 섀도우 AI는 단순한 데이터 저장에서 그치지 않고, 입력된 데이터를 처리하고 학습하는 과정에서 다른 사용자에게 정보가 노출될 가능성도 있어 지적 재산권 침해 같은 문제로도 이어질 수 있습니다.

뿐만 아니라, AI를 악용한 사이버 공격이 점점 더 지능화되고 자동화되는 추세예요. 금융감독원에서는 AI가 금융회사의 보안 취약점을 찾아내고 공격 전략과 악성코드까지 스스로 만들어내는 '자율형 해킹'이 현실화되고 있다고 경고하기도 했습니다. 이런 상황에서 통제되지 않은 섀도우 AI는 공격자들이 침투할 수 있는 새로운 경로를 제공하며 보안 취약점을 크게 확장시킬 수 있어요.

개인 AI 서비스 사용으로 인한 잠재적 정보 유출

금융권은 어떻게 대응하고 있나요?

이러한 AI 기반 위협의 증가에 금융권 전체가 바짝 긴장하고 있어요. 금융감독원은 올해 9월 전 금융권 정보보호최고책임자(CISO) 간담회를 열고, 프런티어 AI 기반 사이버 위협에 대한 금융회사의 대응 상황을 점검하며 경영진 주도의 보안 체계 구축을 강력히 주문했습니다. CEO를 포함한 경영진이 직접 조직, 인력, 예산을 챙겨야 한다고 강조할 정도죠.

또한, 새로운 보안 취약점도 급증하고 있어 신속한 IT 자산 관리와 보안 패치 적용이 필수라고 합니다. 금융감독원은 심지어 AI를 보안에 활용할 수 있도록 망분리 규제 완화까지 검토하며 'AI는 AI로 방어한다'는 접근 방식도 추진하고 있어요.

삼성자산운용의 새로운 보안 체계 들여다보기

이런 흐름 속에서 삼성자산운용은 선제적인 대응에 나섰습니다. 최근 이상 징후 모니터링 솔루션 'Splunk(스플렁크)' 도입을 추진하며 새로운 보안 체계 구축에 박차를 가하고 있어요. 스플렁크는 IT 시스템에서 발생하는 다양한 로그를 통합하여 분석하고, 사이버 위협을 탐지하는 데 특화된 솔루션입니다.

삼성자산운용은 특히 섀도우 AI로 인한 정보 유출을 막기 위해 생성형 AI 서비스 활용 방식을 12가지 패턴으로 세분화하여 모니터링을 강화할 계획이라고 합니다. 예를 들면, 고객 정보나 주민번호, 계좌 같은 민감 정보를 AI에 입력하는 행위, 대량 문서를 AI로 분석하는 행위, 업무 시간 외 AI 사용량 증가 등 구체적인 사용 패턴을 탐지하고 분석하는 것이죠.

이러한 솔루션 도입은 기존의 방화벽이나 침입방지시스템(IPS) 같은 다층 방어 체계와 24시간 보안관제센터(SOC)의 역할을 한층 더 고도화할 것으로 기대됩니다. 각 보안 솔루션에서 나오는 로그를 한곳으로 모아 분석함으로써, 보안 관련 문제가 발생했을 때 훨씬 빠르게 대응할 수 있게 되는 것이죠.

Splunk 솔루션을 통한 AI 보안 위협 모니터링

우리 회사도 AI 보안, 이렇게 준비해 보세요

삼성자산운용의 사례처럼, AI 시대의 보안은 단순히 '막는 것'을 넘어 '어떻게 안전하게 활용할 것인가'에 초점을 맞춰야 합니다. 몇 가지 중요한 고려 사항을 정리해 봤어요.

• 명확한 AI 사용 가이드라인 설정: 직원들이 어떤 AI 서비스를, 어떤 용도로, 어떤 데이터를 가지고 사용할 수 있는지 명확한 지침을 제공해야 합니다. 무조건적인 금지보다는 올바른 사용법을 안내하는 것이 중요해요.
• 통합 모니터링 및 탐지 시스템 구축: 섀도우 AI는 눈에 보이지 않는 곳에서 발생하는 경우가 많으므로, 스플렁크와 같이 다양한 시스템의 로그를 통합 분석하여 이상 징후를 탐지할 수 있는 솔루션 도입을 고려해 볼 필요가 있습니다.
• 직원 교육 및 인식 제고: 아무리 좋은 시스템도 결국 사람이 사용하죠. 민감 정보의 위험성, 섀도우 AI의 개념, 그리고 회사 정책에 대한 정기적인 교육을 통해 직원들의 보안 인식을 높이는 것이 중요해요.
• 경영진의 적극적인 관심과 투자: AI 보안 체계 구축에는 상당한 시간과 비용이 필요합니다. 금감원이 강조했듯이, 대표이사를 비롯한 경영진이 적극적으로 나서서 조직, 인력, 예산을 지원하는 것이 무엇보다 중요합니다.
• 'AI for AI 방어' 전략: AI가 공격에 활용되듯, AI를 활용하여 보안을 강화하는 방안도 적극적으로 모색해야 합니다. AI 기반 위협 탐지 및 대응 시스템, 자동화된 보안 패치 관리 등을 통해 방어 역량을 높일 수 있어요.

놓치기 쉬운 AI 보안의 함정

많은 기업이 공식적으로 승인된 AI 서비스만 사용한다고 생각하지만, 실제로는 SaaS에 통합된 AI 기능이나 통제되지 않은 섀도우 AI가 예상보다 많이 활용되고 있습니다. 특히 개발자들이 디버깅 과정에서 소스코드나 API 키 등 민감 정보를 AI 분석 도구에 입력하거나, 브라우저 확장 기능을 통해 AI가 이메일을 요약하는 과정에서 의도치 않은 데이터 유출이 발생할 수도 있어요. 이런 놓치기 쉬운 경로들까지 고려한 포괄적인 보안 전략이 필요합니다.

전체적으로 보면, AI 시대의 보안은 끊임없이 진화하는 위협에 맞춰 우리도 계속해서 변화하고 발전해야 하는 숙제 같아요. 삼성자산운용처럼 적극적으로 새로운 보안 체계를 구축하는 노력이 앞으로 많은 기업에 중요한 기준점이 될 것으로 보입니다.