토스가 자체 개발 보안솔루션 '타이탄'을 시작으로 인공지능(AI)과 소프트웨어 공급망까지 자체 보안체계를 확대하고 있다. 외부 보안솔루션에 의존하기보다 새로운 서비스와 기술이 도입되는 단계부터 보안 위협을 직접 탐지하고 통제하는 체계를 구축하는 모습이다.
타이탄은 외부 솔루션을 가져와 토스 환경에 맞게 개량한 제품이 아니라 기획자와 보안 엔지니어, 보안 연구원, 개발자 등 토스 내부 인력만으로 처음부터 개발했다. 보안솔루션의 기획부터 개발·운영까지 내부에서 담당하는 구조다.
자체 개발의 장점은 토스의 서비스와 업무 환경에 맞춰 보안 기능을 설계하고 빠르게 개선할 수 있다는 점이다. 문제가 발생하면 내부에서 직접 원인을 파악해 재발 방지 조치를 하고 필요한 기능도 추가할 수 있다.
타이탄의 역할은 크게 두 가지다. 우선 임직원이 외부 인터넷에 접속할 때 업무용 PC를 각종 보안 위협으로부터 보호한다. 외부 침입을 막고 위험 사이트 접속과 프로그램 사용을 통제하는 한편 회사 정보가 외부로 유출되지 않도록 관리한다. 최신 위협 정보도 활용해 공격을 사전에 차단한다.
내부 시스템에 접근하는 과정도 통제한다. 접속하려는 PC의 보안 상태를 검사해 확인된 기기만 허용된 시스템에 접근하도록 한다. 직원의 정보·권한 시스템과도 연계해 각 임직원이 자신의 권한에 맞는 시스템에만 접속할 수 있도록 관리한다. 복잡한 보안 기술을 이용자와 기기의 '외부 접속'과 '내부 접근'이라는 두 영역으로 나눠 관리하는 셈이다.
토스는 타이탄을 포함한 개별 보안체계를 하나로 연결하는 작업도 진행하고 있다. 자체 보안 프레임워크와 타이탄, AI 보안 가드레일, 공급망 방화벽 등을 '통합 데이터 보호 거버넌스' 아래 운영한다는 방침이다. 네트워크 접근뿐 아니라 AI와 외부 소프트웨어가 내부 시스템과 연결되는 과정까지 관리 범위를 넓히는 것이다.
생성형 AI 확산에 맞춰 AI 서비스에 대한 보안 통제도 강화하고 있다. 내부 AI 서비스가 외부 AI와 연결될 경우 보안 가드레일이 적용된 별도 게이트웨이를 거친다. AI 서비스가 외부와 직접 연결되지 않고 토스가 구축한 보안 절차 안에서 연결되도록 통제하는 방식이다.
서비스 출시 전 AI의 취약점을 찾아내는 체계도 구축했다. 서비스 등록 단계에서 시스템이 공격 시나리오를 자동 생성해 취약점을 진단하고 결과 보고서까지 만든다. 현재 프롬프트 인젝션 공격을 10개 유형으로 분류해 110개 대표 공격 프롬프트를 활용하고 있다.
토스는 외부 라이브러리와 프로그램 패키지가 내부로 들어오는 경로를 중앙화하고 유입되는 패키지를 검사하는 '공급망 방화벽'도 구축했다. 신규 패키지는 바로 사용하지 않고 7일간 유예기간을 두며 외부 보안 데이터베이스와 연계해 악성코드 여부를 확인한다. 하루 평균 약 6만건의 패키지를 검사하고 있다.
실제 공격 방어에도 활용됐다. 토스는 “최근 발생한 대규모 소프트웨어 공급망 공격 당시 악성 패키지를 공급망 방화벽을 통해 차단해 내부 시스템에 영향을 받지 않았다”고 설명했다.
박두호 기자 walnut_park@etnews.com
