오는 7월 8일은 제15회 정보보호의 날입니다. 올해 슬로건은 "안전한 AI 시대, 대한민국이 앞서갑니다"로 정해졌습니다. 과학기술정보통신부와 국가정보원, 행정안전부가 주최하고 한국인터넷진흥원과 한국정보보호산업협회가 주관하는 이번 기념식은 서울 신라호텔 다이너스티홀에서 열립니다. 오전에는 기조연설과 정보보호 유공자 표창을 포함한 공식 기념식이 진행되고, 오후에는 안전한 AI 시대를 위한 사이버보안 발전 방향을 모색하는 세미나와 AI 보안 레드팀 및 취약점 정보 공유·포상 심포지엄이 두 개의 트랙으로 나뉘어 열립니다. 행사장 로비에서는 AI 특별 전시관과 정보보호 제품 전시 부스가 하루 종일 운영되며, 여러 보안 기업들이 AI 기반 탐지 서비스와 양자암호통신 기술 등을 선보일 예정입니다.

정보보호의 날은 2009년 7월 7일 발생한 이른바 7·7 디도스 공격을 계기로, 사이버 공격에 대한 경각심을 지속적으로 일깨우자는 취지에서 2012년 각종 기념일 등에 관한 규정 개정을 통해 매년 7월 둘째 수요일로 지정된 법정기념일입니다. 좀비 PC 11만여 대가 동원되어 정부기관과 은행, 주요 포털의 시스템을 동시다발적으로 공격했던 그날의 기억이, 해마다 이맘때가 되면 국가 차원의 정보보호 점검으로 이어지는 셈입니다.

정보보호의 날이 열다섯 번째 해를 맞이하는 동안 슬로건은 4차 산업혁명, 비대면 시대, 사이버안보를 거쳐 이제 AI로 이어지고 있습니다. 해마다 슬로건이 그 시대의 가장 시급한 화두를 담아 왔다는 점을 생각하면, 올해 슬로건이 AI를 정면으로 내세운 것은 그만큼 지금 이 시점의 정보보호 논의가 AI를 빼놓고는 성립하지 않는다는 뜻이기도 합니다.

지난 글에서 알테크코리아가 KISIA 회원사로서 정보보호 생태계 안에서 어떤 자리를 지키고 있는지 이야기했다면, 이번에는 그 자리가 왜 지금, AI 시대에 더 중요해지는지를 조금 더 깊이 짚어보려 합니다.

기업의 책상 위로 올라온 AI, 그리고 새로운 유출 경로

국내 기업의 생성형 AI 도입은 이미 일상이 되어가고 있습니다. 업계 조사에 따르면 현재 구현 중이거나 1~2년 내 도입을 계획한 기업까지 포함할 경우 2026년에는 국내 기업의 85%가 생성형 AI를 업무에 활용할 것으로 전망됩니다. 기업 규모별로 보면 대기업의 전사적 활용률이 35.1%로 중소·중견기업보다 두 배 이상 높았고, 산업군 중에서는 IT·통신·방송 분야가 37.5%로 가장 높은 도입률을 보였습니다. 응답 기업의 60.3%는 생성형 AI를 자사 IT 전략에서 우선순위가 높은 과제로 꼽았고, 74.0%는 전년 대비 관련 투자를 늘렸다고 답했으며, 2026년에도 79.3%의 기업이 관련 예산을 추가로 늘릴 것으로 예상했습니다. 그만큼 AI는 더 이상 일부 부서의 실험이 아니라 기업 전체의 업무 방식을 바꾸는 흐름이 되었습니다.

문제는 이 흐름의 속도만큼 우려도 함께 커지고 있다는 점입니다. 같은 조사에서 생성형 AI 활용의 가장 큰 우려 사항으로는 잘못된 정보 생성과 결과 신뢰도 부족이 61.3%로 1위를 차지했고, 보안 및 개인정보 유출 위험이 53.3%로 뒤를 이었습니다. 저작권 및 법적 책임 문제, ROI 불확실성이 그 뒤를 이었지만 절반이 넘는 기업이 보안과 개인정보를 핵심 우려로 꼽았다는 사실은, 도입 속도는 빨라지는데 그에 상응하는 통제 체계는 따라가지 못하고 있다는 인식이 이미 업계 전반에 자리 잡고 있음을 보여줍니다.

도입 방식을 들여다보면 이 우려가 왜 커지는지 좀 더 분명해집니다. 챗GPT나 마이크로소프트 코파일럿처럼 상용 SaaS형 생성형 AI 서비스를 쓰는 기업이 35.5%로 가장 많았는데, 이들은 빠른 도입과 비용 효율성을 장점으로 꼽았습니다. 반면 자체적으로 생성형 AI 모델을 개발하고 운영하는 방식을 택한 기업들은 보안과 데이터 통제 측면을 더 중요하게 고려했다고 답한 비율이 45.9%에 달했습니다.

다시 말해 보안에 더 민감한 기업일수록 외부 서비스에 데이터를 맡기기보다 자체 인프라를 구축하는 쪽을 택하고 있다는 뜻이고, 이는 곧 사내에 AI 학습과 운영을 위한 서버와 스토리지가 그만큼 더 많이 쌓이고, 또 더 자주 교체된다는 의미이기도 합니다. 한편 조사에 참여한 기업의 절반 가까이는 기술 인력과 기술력 부족을, 32.0%는 적절한 인프라와 데이터 확보의 어려움을 AI 도입의 가장 큰 장애 요소로 꼽았습니다. 준비가 충분하지 않은 상태에서 속도전이 벌어지고 있다는 뜻이기도 해서, 보안과 데이터 관리의 공백이 생기기 쉬운 환경이 조성되고 있는 셈입니다.

이 우려는 막연한 걱정이 아닙니다. 글로벌 보안 기업 넷스코프가 발표한 2026년 클라우드 및 위협 보고서에 따르면, 지난 1년간 기업 내 AI 사용자는 3배 늘었지만 AI 애플리케이션을 통해 외부로 유출된 데이터 규모는 6배 늘었습니다. 데이터 유출과 정책 위반 사고가 증가하는 속도가 사용자 증가 속도보다 두 배 빠르게 나타난 것입니다. 더 눈여겨볼 대목은 유출된 데이터의 40% 이상이 소스 코드와 지적재산권 같은 기업 핵심 자산으로 분류되었다는 점입니다. 단순한 업무 자료 유출이 아니라 기업의 경쟁력 그 자체가 새어 나가고 있다는 뜻입니다.

넷스코프코리아 측은 이러한 현상을 사용자가 인지하지 못한 채 조직 내부에 퍼지는 이른바 섀도우 AI의 확산으로 설명하며, 기존의 전통적인 보안 방식만으로는 이런 흐름을 통제하기 어렵다고 지적한 바 있습니다. 이에 대응해 넷스코프를 비롯한 보안 기업들은 승인된 AI 서비스에 대한 접속 제어와 트래픽 가시성을 확보하는 게이트웨이 기능, 대규모 언어모델이 외부 도구를 호출하고 데이터를 주고받는 에이전트 간 통신 과정까지 보호 범위를 넓히는 중개 체계, 프롬프트 인젝션과 탈옥 시도를 실시간으로 차단하는 콘텐츠 가드레일, 그리고 공격자 관점에서 AI 애플리케이션의 취약점을 미리 검증하는 레드팀 기능까지 여러 겹의 방어 체계를 잇달아 선보이고 있습니다. 이는 모두 데이터가 만들어지고 흘러 다니는 과정, 즉 정보보호의 시작점과 중간 과정을 지키기 위한 노력입니다. 업계의 관심과 투자가 이 구간에 집중되는 것은 자연스러운 일이지만, 그만큼 데이터가 담긴 매체가 수명을 다한 이후의 구간, 즉 정보보호의 끝점에 대한 논의는 상대적으로 뒤처져 있는 것도 사실입니다.

규제도 움직이고 있습니다

이런 흐름에 정부와 규제 당국도 대응에 나섰습니다. 오는 9월 11일 시행되는 개정 개인정보보호법은 과징금 상한을 관련 매출의 일부에서 전체 매출의 10%로 크게 올립니다. 이는 유럽연합의 AI법이 정한 7%, GDPR의 4%보다도 높은 수준으로, 국제적으로 비교해도 가장 강한 축에 속하는 제재입니다. 개정법은 동시에 데이터 사고에 대한 책임의 무게를 실무 부서에서 대표이사와 이사회 차원으로 끌어올립니다. 그동안 데이터 유출 사고가 담당자 개인의 실수로 다뤄졌다면, 개정법 시행 이후에는 기업 전체 거버넌스의 실패로 다뤄지게 되는 셈입니다. 실제로 개인정보보호위원회가 한 대형 이커머스 기업의 개인정보 유출 사건에 부과한 과징금은 6,246억 원으로 역대 최대 규모였고, 이 사건으로 3,755만 명의 정보주체가 영향을 받았습니다. 위원회는 그 원인을 정교한 해킹이 아니라 기본적인 안전관리 체계의 미비로 규정했는데, 강화된 법 아래에서는 이런 규모의 제재가 예외가 아니라 기준선이 될 가능성이 높습니다.

동시에 개정법은 기업에 데이터의 출처와 처리 이력을 스스로 증명할 책임을 지웁니다. 어디서 가져온 데이터를 어떤 절차로 가공하고 활용했는지, 필요할 때 문서로 제시할 수 있어야 하는 시대가 시작되는 것입니다. 이와 별개로 개인정보보호위원회는 생성형 AI 개발과 활용에 관한 안내서를 통해 기업의 AI 도입 방식을 세 가지 유형으로 나누고 있습니다. 챗GPT 같은 외부 사업자의 API를 그대로 가져다 쓰는 서비스형, 공개된 상용 모델을 자사 데이터로 미세조정하거나 결합해 쓰는 기성 모델 활용형, 그리고 기업이 직접 모델을 처음부터 학습시키는 자체 개발형이 그것입니다. 안내서는 이 세 유형을 데이터 수집, 학습, 서비스 제공, 파기로 이어지는 생애주기 단계와 교차시켜 단계별 안전조치를 제시합니다.

특히 자체 개발형의 경우 학습에 사용한 데이터 전체의 수집 적법성과 가명처리, 출처 이력을 입증할 책임이 가장 무겁게 부과됩니다. 안내서가 제시하는 생애주기는 목적 설정, 학습 및 개발, 적용 및 관리, 그리고 활용이 끝난 이후의 처리까지 이어지는 흐름으로 구성되어 있고, 각 단계마다 개인정보보호책임자를 중심으로 한 거버넌스 체계를 갖출 것을 권고합니다. 데이터가 태어나는 순간부터 학습에 쓰이고 서비스로 이어지는 전 구간에 책임 소재를 명확히 하겠다는 취지인데, 이 흐름의 논리를 끝까지 따라가 보면 결국 활용이 끝난 데이터와 그 데이터가 담긴 매체를 어떻게 마무리할 것인가라는 질문에 다다르게 됩니다.

여기서 흥미로운 지점은 이 모든 요구가 결국 사후 증명이 아니라 설계 단계에서부터의 추적가능성을 요구하고 있다는 사실입니다. 이미 학습이 끝난 모델을 열어 특정 데이터가 쓰였는지를 역으로 확인하는 방식은 통계적 추정에 머물 뿐 법적 증명 수준에 이르지 못한다는 것이 학계의 대체적인 결론입니다. 그렇다면 적법성은 데이터가 시스템에 들어오는 입구에서부터, 그리고 그 데이터가 시스템을 떠나는 출구에서까지 기록되고 증명되어야 합니다. 데이터 품질을 이야기할 때 흔히 정확성, 완전성, 일관성, 적시성 같은 축을 떠올리지만, 이제 여기에 적법성이라는 또 하나의 축이 더해지고 있다는 분석이 나오는 이유도 여기에 있습니다.

바로 이 지점에서 놓치기 쉬운 질문이 하나 있습니다. 데이터의 출처와 처리 과정을 증명해야 한다면, 그 데이터가 담겨 있던 매체가 수명을 다했을 때는 어떻게 될까요? AI 학습에 쓰였던 서버와 스토리지, 프로젝트가 끝난 뒤 방치된 하드디스크와 SSD처럼 물리적 매체가 폐기 대상이 되는 순간 말입니다. 이 매체들에 원본 데이터나 학습에 사용된 민감정보가 그대로 남아 있다면, 아무리 정교한 접근 통제와 암호화 체계를 갖췄어도 그 지점에서 위험은 여전히 살아 있는 것과 다르지 않습니다. 데이터의 시작과 중간 과정을 아무리 촘촘하게 설계해도, 끝을 놓치면 그 설계 전체가 미완성으로 남는 셈입니다.

데이터 보안의 마지막 방어선

알테크코리아는 한 보안 전문지와의 인터뷰에서 생성형 AI 같은 기술이 업무의 편리함을 크게 높여주는 한편, 잘못 활용될 경우 심각한 보안 문제로 이어질 수 있다는 점을 짚으며, 결국 데이터 보안의 마지막 방어선은 데이터 파기에 있다는 점을 강조한 바 있습니다. AI가 아무리 정교하게 발전하더라도, 그 데이터가 담겨 있던 물리적 매체를 안전하게 처리하는 마지막 단계가 무너지면 앞서 투입한 모든 보안 투자는 의미를 잃게 됩니다.

알테크코리아가 지금 갖추고 있는 역량들은 이런 AI 시대의 요구에도 그대로 유효한 답이 됩니다. DieHDD™ 브랜드로 제공하는 디가우징, 유압천공·파쇄 방식의 물리적 파기, Blancco와의 파트너십을 통한 DoD 5220.22-M 및 NIST SP 800-88 기준의 인증 영구삭제, 그리고 자체 개발한 저장매체 파기 장비 waZac까지, 매체의 종류와 상태에 맞는 파기 방식을 폭넓게 갖추고 있습니다. 하드디스크처럼 자성을 이용하는 매체는 디가우징으로, 물리적 형태를 완전히 없애야 하는 매체는 천공과 파쇄로, SSD나 eMMC, USB, NVMe처럼 비자성 매체는 Blancco 기반의 인증 영구삭제로 대응하는 식입니다. 여기에 국가정보원의 보안 적합성 인증을 받은 장비를 활용하고 있다는 점은 신뢰도를 뒷받침하는 또 하나의 축입니다. 2018년부터 전국 주요 도시에 400여 개의 서비스 네트워크를 구축해 온 것도 이러한 파기 역량을 전국 어디서든 실행할 수 있도록 하기 위함입니다.

중요한 것은 이 역량이 단순히 매체를 물리적으로 없애는 데서 그치지 않는다는 점입니다. AI 학습이 끝난 서버의 스토리지든, 프로젝트 종료 후 남은 업무용 노트북이든, 매체가 어떤 데이터를 담았든 관계없이 복구가 불가능한 수준까지 지우고 그 전체 과정을 증적 자료로 문서화해 제시하는 것, 이것이야말로 앞으로 강화될 데이터 출처·처리 이력 증명 책임에 그대로 대응할 수 있는 지점입니다. 이사회가 데이터 거버넌스를 상시 의제로 다뤄야 하는 시대에는, 파기 이력을 언제든 꺼내 보여줄 수 있는 체계를 갖추고 있는지가 곧 리스크 관리 수준을 가늠하는 척도가 될 수 있습니다.

아울러 파기 이후 발생하는 폐기물에 대해서도 생산자책임재활용제도와 도시광산 자원순환 체계를 통해 친환경적으로 처리함으로써, 데이터 보안과 환경적 책임이라는 두 가지 과제를 함께 충족하고 있습니다. AI 인프라 확장을 위해 전국 곳곳에 데이터센터가 새로 지어지고 있는 지금, 그 이면에서는 기존 서버와 스토리지 장비가 더 빠른 주기로 교체되는 흐름도 함께 나타나고 있습니다. 이 장비들이 안전하게 파기되는 동시에 금속과 부품 단위로 자원화되어 다시 산업의 순환 고리 안으로 들어가는 구조를 갖추는 일은, AI 인프라의 물리적 확장이 만들어내는 또 다른 과제에 대한 답이기도 합니다.

시작을 지키는 기술만큼, 끝을 지키는 기술도..

AI 시대의 보안 논의는 대부분 데이터가 만들어지고 학습되고 활용되는 과정에 집중되어 있습니다. 이는 당연하고 중요한 일입니다. 하지만 그 데이터가 담겨 있던 매체가 마지막에 어떻게 처리되는지까지 챙기는 기업은 아직 많지 않은 것이 현실입니다. 정보보호가 완결된 방어선이 되려면 시작과 과정만이 아니라 끝까지 빈틈이 없어야 합니다. 사실 이 원칙은 새로운 이야기가 아닙니다.

ISMS-P 인증 기준은 개인정보 처리 단계 항목 중 하나로 파기 절차를 별도의 인증 기준으로 두고 있고, 개인정보의 안전성 확보조치 기준에서도 개인정보의 파기 방법과 절차를 명시하고 있습니다. AI가 등장하기 훨씬 이전부터 규제와 인증 체계가 파기를 정보보호의 독립된 한 축으로 다뤄 온 것입니다. AI가 다루는 데이터의 양과 민감도가 커지고, 그 데이터가 담긴 매체의 교체 주기가 짧아지는 지금이야말로 그 항목을 다시 무게 있게 들여다볼 시점이라고 생각합니다.

많은 기업이 정보보호의 시작점, 즉 데이터를 어떻게 안전하게 만들고 다룰 것인가에 집중합니다. 그에 비해 정보보호의 끝점, 즉 데이터가 담긴 매체를 어떻게 안전하게 정리할 것인가에 특화된 곳은 상대적으로 드뭅니다. 알테크코리아는 그 마지막 지점을 지키는 것을 본업으로 삼아온 회사이고, 이 역할은 AI 시대에도 변함없이 이어갈 것입니다. ISO 14001 환경경영시스템 인증과 Blancco 파트너 인증, ISMS-P 관련 체계를 갖추고 KISIA 회원사로서 업계와 보조를 맞춰 온 것도 결국 이 마지막 지점을 더 신뢰할 수 있게 지키기 위한 준비였습니다.

올해 정보보호의 날 슬로건처럼, 안전한 AI 시대에 앞서간다는 것은 결국 데이터를 다루는 모든 순간에 빈틈이 없어야 한다는 뜻일 것입니다. 데이터를 어떻게 모으고 학습시키고 서비스로 내보내는가에 대한 논의는 앞으로도 계속 정교해질 것입니다. 그 논의가 완결성을 가지려면, 그 데이터가 담겼던 매체가 수명을 다한 순간까지도 같은 수준의 엄밀함으로 다뤄져야 합니다. 시작을 설계하는 기술만큼, 끝을 마무리하는 기술 또한 국가의 정보보호 역량을 구성하는 한 축이라는 사실을 이번 정보보호의 날에 다시 한번 되새겨 봅니다.

이런 이야기를 나누는 시점에 알테크코리아는 마침 KISIA 회원사로서 오는 7월 8일 제15회 정보보호의 날 행사장인 서울 신라호텔 다이너스티홀 로비의 정보보호 제품 전시 부스에 참가합니다. 같은 로비에서는 AI 특별 전시관도 함께 운영되어 여러 기업의 AI 보안 기술을 한자리에서 둘러볼 수 있습니다. 오전 기념식과 오후 세미나 사이, 혹은 하루 일정을 마친 뒤 잠시 시간을 내어 들러 주시면, 데이터가 만들어지고 활용되는 과정만큼이나 그 데이터가 마지막에 어떻게 정리되는지도 정보보호의 중요한 한 장면이라는 것을 직접 확인해 보실 수 있을 것입니다.