안녕하세요, 반갑습니다. 먼저 두 분 소개부터 부탁드릴게요.

최승욱 팀장: 저는 자이C&A 경영기획부문 DX팀 팀장 최승욱입니다. 정보 보안, IT, DX, AX까지 담당하고 있고, 팀원은 저까지 9명, 그중 정보 보안 전담 인력이 3명입니다.

이세윤 책임: 저는 같은 경영기획부문 IT팀 이세윤입니다. 팀장님과 함께 보안 정책 수립과 시스템 운영을 담당하고 있습니다.

자이C&A는 일반적인 건설사와는 좀 다르다고 들었어요. 구체적으로 어떤 점이 다른가요?

최승욱 팀장: 저희는 원래 LG그룹의 건설사업부에서 출발해, 2021년 GS건설 계열로 편입된 회사예요. 아파트 같은 주택 사업보다는 클린 룸, 반도체 공장, 데이터센터 등 첨단 산업시설 건설을 전문으로 하고 있습니다. 국내뿐 아니라 중국, 베트남, 미국, 폴란드에 법인이 있고, 해외 매출 비중이 국내보다 높은 편이에요.

그런데 이렇게 언어도 법도 다른 해외 현장이 많고, 사업 특성상 현장이 생겼다 사라지기를 반복하다 보니, 정작 이 조직들을 어떻게 안전하게 지키느냐가 늘 고민이었습니다. 사실 그 문제의식이 이번 보안 체계 검토로 이어진 거고요.

그럼 이제 본격적으로 보안 이야기를 나눠볼게요. 자이C&A는 그동안 데이터 보안을 어떻게 관리해 오셨나요?

최승욱 팀장: 한마디로 본사는 촘촘하게 막고, 현장은 상대적으로 열려 있는 구조였어요. 본사는 인터넷으로 나가는 구간을 차단하고, 파일 첨부도 통제하고, 문제가 생기면 모니터링으로 잡을 수 있었죠. 반면 현장은 차단까지는 못 하는 대신, 도면과 문서 파일을 전부 암호화해서 관리했어요. 도면은 복호화 할 때 팀장 승인이 필요했고, 문서는 개인이 직접 풀 수 있지만 반드시 사유를 남겨야 하는 구조였습니다. 그 사유와 파일명을 정보 보안팀이 모니터링하다가 미심쩍은 게 있으면 소명 받고 회수하는 식이었어요.

이세윤 책임: 국내만 보면 본사와 현장의 차이는 네트워크 구간 정도예요. PC 매체 제어나 엔드포인트 보안은 현장까지 똑같이 적용돼 있고, 본사만 그 네트워크 구간을 강제로 틀어막고 있었죠. 문제는 해외였어요. 국내와 달리 거의 손을 대지 못하고 있었거든요.

말씀을 들어보니, 해외 법인까지 있으면 보안 관리가 만만치 않았을 것 같아요.

최승욱 팀장: 맞아요. 파일 자체는 암호화로 보호하고 있었지만, 정작 현장은 VPN으로 인터넷에 직접 연결되다 보니 직원이 내부 파일을 웹사이트나 클라우드에 올려도 그 자체를 저희가 전혀 인지하지 못했어요. 국내도 바로 그 인터넷 구간이 약점이었는데, 해외는 그보다 훨씬 심했어요. 언어도 현지 법령도 모르는 상태라, 어떤 문서를 막고 어떤 걸 열어줘야 하는지조차 판단할 수 없었으니까요. 사실상 막막한 상황이었어요.

결국 모니터링도, 소명도 다 사람이 직접 챙겨야 하는 구조였네요. 그중 부담이 컸던 부분이 있었을 것 같아요.

최승욱 팀장: 가장 힘든 건 역시 그 균형이었어요. 그렇다고 현장도 본사처럼 다 틀어막자니 현장 직원들이 불편해서 일을 못 하고, 풀어주자니 그 리스크는 저희가 그대로 안아야 했어요. 보안팀이 뭘 막으면 다들 싫어하잖아요.(웃음) 게다가 모니터링도 결국 사람이 하다 보니 놓치는 부분이 생길 수밖에 없었고요. 그래서 불편은 최소화하면서도 보안은 놓치지 않는 방향으로, 관리 방식 자체를 바꿔야겠다는 필요성을 점점 더 크게 느꼈어요.

그 필요성을 느끼시던 중에 새로운 방식을 검토하게 된 결정적인 계기가 있었나요?

최승욱 팀장: 올해 사내 AI 도구를 도입한 게 컸어요. 직원들 반응이 정말 좋았어요. 'IT 팀이 한 것 중에 제일 잘한 일'이라는 말까지 들었거든요. 그런데 막상 도입하고 나니 오히려 걱정이 더 커졌어요. 예전에는 파일을 잘못 보내도 특정 소수에게 새어나가는 수준이었어요. 하지만 AI는 한 번 잘못 학습되면 불특정 다수에게 퍼지고, 삭제 자체가 불가능하잖아요. 그래서 표준 AI 외에는 사용을 모두 막고 싶었는데, 본사는 막을 수 있어도 현장은 막을 방법 자체가 없더라고요. 게다가 AI가 이미 업무의 일부가 된 이상, 무조건 막는 건 현실적으로도 맞지 않는 방향이었어요.

그 고민을 어떤 방향으로 풀어가셨는지 궁금해요.

최승욱 팀장: 처음에는 현장마다 장비를 놓는 방식을 검토했어요. 제가 예전에 보험사 IT 부서에 있었는데, 거긴 대리점이나 지점이 잘 없어지지 않으니까 장비 방식이 잘 맞았거든요. 근데 건설은 좀 다르더라고요. 공사가 끝나면 현장이 통째로 사라지고, 또 다른 곳에 새 현장이 생기거든요. 만약 장비를 도입하면 현장이 생길 때마다 장비를 사서 설치하고, 공사가 끝나면 다시 뜯어서 회수하기를 반복해야 하더라고요. 그렇게 따져 보니 장비를 계속 옮기다 보면 관리도 번거롭고 분실 위험도 커서, 저희한테는 맞지 않는 방식이라고 판단했어요.

보안 업무의 성격 자체도 달랐어요. 보험사는 금감원이나 상급기관 법령·규정에 맞춰 보안을 추진하는 경향이 강하고, 개인정보 보호나 고객이 거래하는 사이트 보안에 중점을 두는 편이거든요. 반면 지금 건설업에서는 첨단 산업 시설을 짓다 보니, 고객이 저희에게 제공하는 대외비 자료의 유출 방지에 초점이 많이 맞춰져 있어요.

그래서 떠올린 게 장비 없이 클라우드로 관리하는 방식이었죠. 클라우드 방식은 유저 수에 따라 유연하게 조정할 수 있어서 저희 환경에 딱 맞겠더라고요.

많은 고민을 거쳐 클라우드 방식으로 방향을 잡으셨다면, 업체 선택은 어떻게 하셨나요?

최승욱 팀장: 사실 기능 자체보다도 검증 과정에서 얼마나 유연하게 협업할 수 있느냐가 더 중요했어요. 저희는 아직 최적의 운영 방식을 찾아가는 단계였기 때문에, 고객 요구에 따라서 기능을 추가하고 검증하면서 커스터마이징해야 하는 상황이었거든요. 그래서 저희 니즈를 빠르게 반영하고 지속적으로 소통할 수 있는 파트너가 필요했습니다. 저희가 먼저 니즈를 말씀드리면 서비스에 반영해 주실 거란 기대도 있었고요. 그 기준에서 LG유플러스가 가장 맞는 파트너라고 판단했어요.

그럼 지금은 어느 단계까지 와 있나요?

최승욱 팀장: 아직 본격 도입이라기보다는 기능 검증 단계예요. 지금은 실제 현장에서 보안 효과가 제대로 나는지까지 직접 확인하는 PoC를 진행 중인데요. 우선 현장에서 쓰는 데 큰 무리가 없다는 걸 확인했어요. PoC는 성격이 다른 현장 4~5곳, 약 100명 규모로 시작했는데, 추후 일반 고객사 등까지 포함해서 다양한 상황을 두루 검증해 볼 생각이에요. 그리고 여기서 문제가 없으면 내년부터는 전 현장으로 확산할 계획입니다. 현장만 17~20개, 협력사까지 포함하면 400~500명 규모예요.

그렇다면 현재 PoC를 진행하시면서 특히 체감하고 계신 기능이 있다면요?

최승욱 팀장: 저희에게 가장 급했던 건 웹사이트 차단 기능(SWG: Secure Web Gateway)이었어요. 본사는 게임 사이트나 유해 사이트 차단이 원래도 가능했는데, 현장은 그걸 막을 방법 자체가 없었거든요. 모니터링도 어렵고요. 그런데 지금은 차단이 잘 돼서 정말 만족하고 있어요.

이세윤 책임: 우선 접속이 끊어지지 않는다는 점이 커요. 기존 VPN은 직원이 끄면 그냥 일반 인터넷으로 빠져나가 버리는데, U+SASE는 로그인이 강제로 유지돼서 임의로 끌 수가 없거든요. 거기에 요즘 가장 필요한 자연어 기반 데이터 필터링, GenAI 필터링 기능까지 더해져요. 아직 실행 전이지만, 키워드 일치 여부만 단순하게 대조하는 단순 키워드 차단 방식과는 달리, 문맥과 의도까지 파악해서 판단하는 GenAI의 필터링 방식으로 쓸 수 있다면 저희 상황에 딱 맞을 것 같아서 가장 기대하고 있는 기능이에요.

아무래도 AI 사용이 보편화되면서, GenAI 필터링과 같은 기능의 필요성을 더욱 느꼈을 것 같은데, 그전까지는 AI 보안을 어떻게 대응해 오셨나요?

이세윤 책임: 전사에 AI 사용 가이드를 배포했었죠. 대외비는 올리지 마라, 개인 정보나 고객사 정보는 빼고 올려라, 고객사 명도 빼라, 이런 식으로요. 그런데 가이드는 결국 사람이 알아서 조심하는 걸 전제로 하는 방식이거든요. 막상 뿌려놓고 보면 거의 지켜지지 않아요.(웃음) 그렇다고 저희가 일일이 확인할 수도 없고요. 결국 사람에게 맡기는 방식으로는 한계가 있다는 걸 절감했어요. 그래서 GenAI 필터링에 거는 기대가 커요.

기존 키워드 차단 방식과 AI 필터링 방식 비교

PoC를 거쳐 전 현장으로 확산하고 나면, 최종적으로 어떤 보안 환경을 만들고 싶으세요?

최승욱 팀장: 국내든 해외든, 본사든 현장이든 같은 수준의 보안이 구축됐으면 좋겠고, 그러면서도 불편은 최소화하면서 막을 수 있는 건 다 막고 싶어요. 사실 이게 좀 모순이긴 해요. IT는 편하게 해주는 일이고 보안은 막는 일인데, 그 두 가지를 한 팀에서 다 하고 있으니까요.(웃음) 그래도 그 안에서 균형을 찾는 게 제 역할이라고 생각해요.

끝으로, 비슷한 고민을 하고 계신 담당자분들께 한마디해 주신다면요?

최승욱 팀장: 보안은 사고가 나기 전까지는 투자의 필요성을 체감하기 어려운 영역이에요. 가까운 곳에서 사고가 나야 그제야 움직이게 되니까요. 그래서 저는 보안 인력을 계속 늘리기보다는, AI로 이상 징후를 미리 예측하고 모니터링을 자동화하는 방향으로 가야 한다고 생각해요. 기술이 그 부분을 채워줄 수 있다면, 보안도 훨씬 현실적인 선택지가 될 거예요.