서울과학기술대학교 컴퓨터공학과 손기욱 교수 “막는 보안을 넘어 회복하는 보안으로”… AI 시대의 안전을 설계하다

사이버보안의 기준이 달라지고 있다. 침입을 차단하는 것만으로는 충분하지 않다. 공격을 받더라도 중요한 업무를 이어가고, 피해가 번지는 것을 막으며, 정상 상태로 복구할 수 있어야 한다. 서울과학기술대학교(이하 서울과기대) 컴퓨터공학과 손기욱 교수는 이 같은 ‘사이버 회복탄력성’을 연구와 교육의 주요 과제로 삼고 있다. 1992년 한국전자통신연구원에서 정보보호시스템 개발을 시작해 2000년부터 국가보안기술연구소에서 사이버보안 연구개발을 이어온 그는 31년간 출연연구기관에서 축적한 경험을 대학과 현장에 연결하고 있다. 현재 대학 정보전산원장을 맡아 정보서비스 운영과 보안 문제를 함께 살피는 한편, 청와대 국가안보실 정책자문위원, 선거관리위원회 보안자문위원, 한국사이버안보학회 회장으로 활동하고 있다. 그가 강조하는 것은 기술의 도입 자체보다 그 기술이 실제 조직의 안전을 어떻게 높일 수 있느냐는 질문이다.

손 교수에게 정보보호 연구는 현실의 피해를 줄이는 일과 맞닿아 있다. 보안 기술은 평소 성과가 드러나지 않더라도 심각한 침해가 발생하면 축적된 경험의 가치가 분명해진다. 연구소 재직 당시 국가·공공기관에 중대한 사이버 침해가 발생하자 그는 조직 내 전문가들로 대응팀을 꾸렸다. 연구원들은 사흘 동안 연구소에서 숙식을 함께하며 해결에 집중했고, 공공기관의 피해를 최소화하는 데 기여했다. 이 과정에서 손 교수가 중요하게 여긴 것은 전문가들에게 상황과 임무를 명확하게 공유하는 일이었다. 그는 서로 다른 전문성을 가진 사람들이 같은 목표를 이해해야 빠르고 신뢰할 수 있는 결과를 만들 수 있다고 설명한다.

그 경험은 관리자의 역할을 바라보는 기준도 세웠다. 왜 해야 하는지, 무엇을 해야 하는지, 어떻게 해결할 것인지를 구성원에게 분명하게 전달하고 실행 과정을 살피는 일이다. 연구소에서 그는 연구 과제를 발굴하고 사업으로 구체화하며 예산을 확보하는 과정도 경험했다. 기술 개발뿐 아니라 여러 전문가가 함께 움직일 수 있는 환경을 만드는 일이 중요하다는 사실을 배운 셈이다. 31년간 몸담았던 연구 현장을 떠나 대학으로 옮긴 것도 이러한 경험을 학생들과 나누고 싶어서였다. 익숙한 연구소에서 직장생활을 마무리하는 길도 있었지만, 학교 조직과 학생들에게 기여하는 일에서 새로운 의미를 찾았다. 그는 정보전산원장으로서 대학 정보서비스를 운영하는 견해에서도 보안 문제를 바라보고 있다. 보안은 기술의 문제가 아니라 중단할 수 없는 업무와 현장 대응 절차를 함께 정하는 문제이기도 하다. 학생이 스스로 판단의 근거를 설명할 수 있도록 하는 것이 그의 교육 목표다.

연구소의 31년을 강단…답보다 판단의 근거를 가르치다

서울과기대에서 손 교수는 컴퓨터공학개론과 캡스톤디자인을 가르친다. 컴퓨터공학의 기초를 실제 문제 해결로 연결하는 것이 교육의 핵심이다. 학생들이 무엇을 만들지 결정하기 전에 왜 필요한지, 누구에게 도움이 되는지, 어떤 조건에서 작동해야 하는지를 먼저 생각하도록 한다. 프로젝트에서도 결과물을 구현하는 데 그치지 않고 협업과 검증, 설명의 과정을 중시한다. 자신이 만든 기술이 어떤 문제를 해결하며 어디에 한계가 있는지 말할 수 있어야 한다는 것이다.

그의 연구실이 주력하는 분야 가운데 하나는 소프트웨어 취약점이다. 취약점을 발견하고 위험을 줄이는 연구는 전문성과 오랜 투자가 필요하다. 대학 부임 이후 손 교수는 연구실 구성원들에게 이 분야의 중요성과 가능성을 설명하고 관련 전문가에게 배울 기회를 연결했다. 약 2년이 흐른 2026년 1월, 연구실 구성원 한 명이 새로운 취약점을 발견해 보고했다. 이후 다른 구성원들도 관련 연구에 참여해 결과를 내고 있다. 손 교수는 첫 성과를 설명하던 연구원의 표정을 기억한다. 연구자가 자신의 발견과 그 의미를 스스로 설명할 수 있게 된 순간이었기 때문이다. 한 사람의 성과가 연구실의 지속적인 연구 분야로 확장됐다는 점에서도 의미가 크다.

연구의 또 다른 축은 암호화된 통신 환경에서 위협을 식별하는 일이다. 암호화는 정보와 사생활을 보호하는 필수 기술이지만, 통신 내용을 직접 확인하기 어려운 환경에서도 위험을 판단해야 한다. 손 교수는 관찰 가능한 통신의 특징을 활용하는 방법을 연구하고, 암호화 트래픽 분석 모델에 대한 적대적 공격과 데이터 증강을 다룬 공동연구 논문도 발표했다. 모델의 정확도뿐 아니라 데이터가 부족하거나 환경이 달라질 때 판단이 얼마나 믿을 만한지도 살핀다. 제로 트러스트 환경의 VPN 보안 역시 같은 문제의식에서 출발한다. 통신 경로가 보호돼도 계정과 단말이 항상 안전한 것은 아니므로 접속 이후에도 자원 접근을 제한하고 상태를 확인해야 한다. 탐지 성능만큼 오탐과 운영 비용까지 검증해야 실제 현장에 적용할 수 있다는 설명이다.

침입 예방을 넘어, 핵심 서비스를 지키는 사이버회복력

손 교수는 사이버 회복탄력성을, 공격을 받아도 중요한 기능을 유지하고 피해를 통제한 뒤 정상 상태로 돌아와 대비 수준을 높이는 능력으로 설명한다. 병원을 예로 들면 모든 전산 기능을 한꺼번에 복구하기보다 환자 진료에 필요한 기능을 먼저 유지할 방법을 마련하는 것이다. 침입을 막는 노력은 계속하되 예방에 실패했을 때의 행동까지 준비해야 한다는 의미다.

조직이 먼저 할 일은 핵심 업무가 어떤 시스템과 계정, 외부 서비스에 의존하는지 파악하는 것이다. 자산 목록에는 담당자와 업무 영향, 외부 접속 경로가 함께 기록돼야 한다. 관리자와 외주 인력의 접근권한을 점검하고 중요 계정에는 다중요소 인증을 적용하며, 퇴직이나 계약 종료 시 권한을 회수하는 일도 기본이다. 취약점은 외부 노출과 업무 영향을 기준으로 처리 순서를 정하고, 즉시 패치하기 어려울 때는 접근 제한 같은 보완책을 마련해야 한다.

로그를 수집하고 백업을 보관했다고 대응 체계가 완성되는 것은 아니다. 누가 이상 징후를 판단하고 서비스를 격리할지, 어떤 순서로 복구할지를 정해 실제로 연습해야 한다. 경영자는 핵심 서비스가 얼마나 중단될 수 있는지, 복구 책임자는 누구인지, 복원 훈련으로 무엇을 확인했는지를 물어야 한다. 사고가 없었다는 이유만으로 준비가 충분하다고 볼 수 없다는 지적이다.

서비스가 클라우드와 외부 운영사, 여러 소프트웨어 구성요소에 연결돼 있다는 점도 중요하다. 권한이 지나치게 넓은 계정 하나에서 문제가 시작되면 다른 업무로 피해가 확산할 수 있다. 협력사의 접속 권한과 업데이트 경로까지 관리하고, 사고가 발생하면 확인된 사실과 조사 중인 내용을 구분해 알리며 이용자가 취할 수 있는 조치를 설명해야 한다. 그는 개별 침해사고의 원인은 조사 결과를 토대로 판단해야 한다는 원칙도 분명히 한다.

“AI의 속도에 사람의 책임을 더하다”

손 교수가 요즘 가장 주목하는 과제는 AI를 활용하면서도 조직의 중요한 일을 안전하게 지속하는 방법이다. AI는 업무 속도를 높이지만 잘못된 판단이 확산되는 속도도 높일 수 있다. 따라서 어떤 정보를 AI에 맡기고 어떤 결정을 사람이 확인할지, 문제가 발생하면 어떻게 멈추고 되돌릴지를 도입 단계부터 설계해야 한다. 보안관제센터에서는 AI로 반복 분석과 경보 정리를 줄일 수 있지만, 영향 범위와 대응 우선순위의 판단에는 사람이 집중해야 한다. 서비스 차단처럼 영향이 큰 조치에는 승인 기준과 되돌릴 절차가 필요하다.

AI 자체도 보호 대상이다. 모델 도용에 대비한 접근통제와 사용량 관찰, 데이터 오염을 막기 위한 출처 및 변경 이력 관리가 필요하다. 외부 입력으로 AI의 지시를 바꾸거나 민감정보를 빼내려는 시도도 경계해야 한다. 특히 업무를 대신 실행하는 AI에는 권한을 제한하고 중요한 실행을 사람이 확인하도록 해야 한다. 편리함이 커질수록 책임의 경계가 분명해야 한다는 것이 그의 입장이다.

중소기업과 소규모 기관을 위한 보안 지원도 같은 맥락이다. 모든 조직이 전문인력을 직접 고용하기 어려운 만큼 지역이나 업종별로 유사한 조직을 묶어 전문 서비스를 함께 이용하는 방안을 제안한다. 장비를 설치하는 데 그치지 않고 자산·계정 점검, 기본 탐지, 사고 연락 체계, 복원 훈련까지 묶어 운영해야 한다. 소규모 시범사업으로 위험과 비용이 실제로 얼마나 줄었는지 검증하는 접근도 강조한다.

한국사이버안보학회 회장으로서도 기술과 정책, 현장의 경험을 연결하는 데 무게를 둔다. 2026 핵테온 세종 국가 사이버안보 세미나에서는 국가 정책과 AI 융합 보안, 사이버 회복력을 함께 다뤘다. 연구자는 기술의 가능성을, 실무자는 운영의 제약을 알기에 서로의 경험이 만나야 제도도 실행력을 얻는다는 생각이다. 학생들에게는 모르는 것을 인정하고 확인할 방법을 찾는 태도, 발견한 문제를 책임 있게 다루는 윤리 의식을 강조한다.

손 교수의 좌우명은 중학교 시절 국어 교사가 친필로 써준 『논어』의 ‘언충신 행독경(言忠信 行篤敬)’이다. 말에는 성실함과 신의가 있어야 하고 행동은 돈독하고 공경스러워야 한다는 가르침을 일과 사람을 대하는 기준으로 삼고 있다.

젊은 세대에게도 조건이 모두 갖춰질 때까지 기다리기보다 생활의 여건을 살피며 작은 프로젝트와 배움의 기회를 쌓으라고 조언한다. 낯설었던 취약점 연구가 첫 성과를 내기까지 약 2년이 걸렸듯, 당장 결과가 보이지 않는다고 노력의 의미가 사라지는 것은 아니다. 그가 연구와 교육을 통해 이어가려는 일은 결국 사람이 서로의 전문성을 연결해 현실의 문제를 풀어낼 수 있도록 돕는 것이다. 그는 기술과 현장을 잇는 역할을 강조한다. 또한 학생과 연구자가 함께 성장하는 환경을 중시한다.

“교육 현장에서 연구와 교육을 연결하려 합니다. 그래서 현장 적용 가능성을 거듭 확인합니다. 또한 판단의 근거를 중시하고, 복구 훈련도 강조하면서 현장의 실행을 중시합니다.”

그는 또한 “학생이 스스로 문제를 정의하고 해결하는 힘을 기르려면 배울 사람과 구체적인 과제가 연결돼야 합니다. 보안 연구에서도 기술이 누구에게 어떤 영향을 미치는지 헤아리는 윤리 의식이 필요하다고 강조합니다.”라고 덧붙였다.

손 교수는 정책 자문과 보안 자문에서도 연구와 제도가 현장의 어려움을 반영해야 한다고 본다. 정책이 실제로 어떻게 실행될지 살피고 현장의 문제를 연구 질문으로 연결하는 것이 그의 목표다.