(서울=뉴스1) 김민수 이강 기자 = 한국은행이 국가정보원과 보안성 검토를 거쳐 미국 사이버보안 기업 팔로알토네트웍스의 장비를 도입한 것으로 확인됐다. 보안 요구 수준이 높은 중앙은행의 내부 망 개선 체계에 외산 보안 솔루션이 적용된 것은 상당히 이례적이다.
특히 최근 '미토스 쇼크' 등 인공지능(AI)에 의한 사이버 공격 위협이 가시화 되고 있는 상황에서 미토스 접근 권한이 있는 팔로알토 장비가 도입돼 주목된다.
한국은행은 24일 인터넷용 PC와 업무망용 PC를 따로 사용하던 환경을 한 대의 기기로 통합하는 '원PC(One PC)' 체계를 구축하고 있고 밝혔다.
이번 사업에는 업무정보를 기밀·민감·공개 등으로 분류하고, 정보와 시스템의 중요도·위험에 따라 접근 권한과 인증 등 보안 수준을 다르게 적용하는 국가정보원의 '국가 망 보안체계(N²SF)'가 반영됐다. 모든 업무에 일률적으로 물리적 망분리를 적용하던 방식에서 벗어나 보안성과 업무 편의성을 함께 높이려는 체계다.
한국은행 관계자는 "지난해 8월 원PC 시범사업을 시작하며 팔로알토 장비를 시범 도입했고, 적합성이 확인됨에 따라 이후 장비를 추가 도입해 현재 총 8대를 운용하고 있다"면서 "이 가운데 6대는 이용자의 접속을 분산 처리하는 게이트웨이 역할을, 2대는 이용자 인증과 장비 관리를 맡는다"고 설명했다.
장비 선정 과정에서는 외부 클라우드와 연결하지 않는 '에어갭' 환경에서도 자체 전산망에 설치하는 '온프레미스' 방식으로 운영할 수 있다는 점이 고려됐다. 여러 게이트웨이로 접속을 분산해 특정 장비의 장애가 전체 서비스로 번지는 것을 줄일 수 있는 구조도 주요 요건이었다.
차세대 방화벽 기능과 다른 보안 솔루션과의 상호운용성도 반영됐다. 백신이나 이상행위 탐지 솔루션이 특정 이용자나 PC에서 문제를 발견하면 관련 정보를 전달받아 접속을 차단하거나 기기를 격리할 수 있다는 설명이다.
한국은행은 목표 시스템에 필요한 기능을 정하고 여러 장비를 시험·검증한 뒤 팔로알토 장비가 적합하다고 판단했다. 이후 국정원에 보안성 검토를 요청하고 협의를 거쳐 도입을 진행했다.
국가·공공기관은 검증 대상 정보보호제품을 도입하면 국정원에 '보안적합성 검증'을 신청해야 한다. 국정원은 해당 제품이 국가용 보안요구사항을 충족하는지와 보안 취약점 등을 확인한다. 외산 제품 역시 이 같은 절차와 국내 보안 기준을 충족해야 한다.
특히 한국은행이 팔로알토 장비를 도입하게 되면서 앤트로픽의 고성능 인공지능(AI) 모델 '클로드 미토스'로 인해 촉발된 이른바 '미토스 쇼크'에 대한 대응도 가능해졌다.
미토스는 AI 모델의 초고성능으로 인해 스스로 시스템의 취약점을 파악하고 '공격명령'까지 내릴 수 있는 '세계 최강의 해커' 역량까지 갖추면서 전세계에 충격을 줬다.
특히 국가 안보와 직결된 군사, 공공, 금융, 의료 등 국가 핵심시설은 AI의 자동화된 사이버 공격을 막기 위해 미토스급의 높은 보안 역량을 갖춘 'AI 보안 체계'를 시급하게 갖추는 것이 요구됐다.
미토스의 이같은 위험성으로 인해 현재 미토스 모델에 직접 접근해 사용할 수 있는 곳은 미국 정부와 연구기관, 허가받은 일부 기업 등으로 구성된 '프로젝트 글라스윙'에 참여하는 방법이 유일하다.
우리 정부도 프로젝트 글라스윙 참여를 긴밀히 타진했지만 미토스의 접근권이 미국의 사이버안보와도 직결된다는 판단을 내린 트럼프 행정부가 최상위 인공지능 모델에 대한 수출 제한(국외 수출 전 미 행정부의 사전 협의를 거치도록 함)을 하는 행정명령을 내리면서 접근 방법이 막힌 상태다.
팔로알토는 미토스 쇼크에 대응하는 프로젝트 글라스윙의 초기 창설멤버로 합류해 미토스가 찾아내는 취약점에 적극 대응할 수 있는 보안기업으로, 한국은행은 프로젝트 글라스윙 참여는 불발됐지만 팔로알토 장비를 도입하게 되면서 미토스 쇼크에 간접 대응은 가능하게 된 것이다.
한국은행 관계자는 "장비 선정과 시범 도입이 이뤄진 시점에는 미토스가 사이버보안 분야의 주요 이슈로 부상하지 않았기 때문에 그 이유로 팔로알토를 선정한 것은 아니었으나 결과적으로 미토스 같은 고성능 AI 위협에 대응할 수 있는 기반을 갖추게 됐다"고 설명했다.
한국은행은 기존 국내 보안제품도 그대로 유지하고 있다. 한국은행 관계자는 "국내 솔루션도 필요한 기능과 성능, 아키텍처의 완전성을 갖추면 도입할 수 있다"고 말했다.
kxmxs4104@news1.kr
