대규모 개인정보 유출 사고를 겪은 티빙이 보안 체계 재정비에 속도를 내고 있다. 제로 트러스트 기반 접근 통제와 클라우드 보안 진단, 접속키 관리 개선에 이어 플랫폼 보안 경험을 갖춘 국태호 최고정보보호책임자(CISO)를 영입했다.

다만 보안 대책을 잇달아 내놓았다는 사실만으로 재발 방지 역량이 입증되는 것은 아니다. 사고 당시 드러난 내부 통제의 허점을 메우고, 보안 조직의 실질적 개선을 이끌 수 있는 구조를 정착시키는 것이 새 보안 수장의 과제로 꼽힌다.

16일 티빙의 행보 종합하면 사고 수습을 넘어 보안 체계 전반을 재정비하는 단계에 들어선 것으로 보인다. 티빙은 지난 9월 제로 트러스트 기반 보안 체계 재구축에 착수한 데 이어 아마존웹서비스(AWS)와 클라우드 보안 진단·개선에 나섰다.

코드에 노출됐던 비밀정보를 별도 관리 시스템으로 옮기고 소스코드 저장 단계에서 이를 자동으로 차단하는 체계도 구축했다. 정보보호 투자액을 직전 5년의 4배로 늘리고 보안 전문인력을 3배 수준으로 확대하겠다는 중장기 대책도 내놨다. 개별 취약점을 보완하는 데 그치지 않고 접근권한 관리부터 위협 탐지, 사고 대응, 조직 운영까지 보안 체계 전반을 다시 설계하려는 움직임으로 풀이된다.

국 CISO가 우선적으로 풀어야 할 과제는 사고 원인으로 드러난 기술적 취약점과 내부 통제의 허점을 함께 바로잡는 일이다. 과학기술정보통신부 민관합동조사단에 따르면 이번 사고에서는 개발자 접속키 관리와 접근권한 통제, 기존 취약점 개선, 이상징후 탐지·보고 등 정보보호 관리체계 전반의 문제가 드러났다.

특히 2024년 모의해킹에서 지적된 취약점이 개선되지 않은 채 남아 있었다는 점은 보안 솔루션을 도입하는 것만으로는 재발을 막기 어렵다는 사실을 보여준다.

티빙은 사고 이후 코드에 포함된 비밀정보를 별도 관리 시스템으로 옮기고 소스코드 저장 단계의 자동 차단 체계를 구축했다. 앱 서명키와 디지털저작권관리(DRM) 키를 교체하고 클라우드 이상 접근 탐지와 접근권한 관리도 강화했다.

국 CISO에게는 이러한 조치가 실제 운영환경에서 제대로 작동하는지 점검하고, 발견된 취약점이 개선될 때까지 추적하는 관리 체계를 정착시키는 일이 중요하다. 일회성 점검에 그치지 않고 개발·배포·운영 전 과정에 보안 검증을 내재화해야 같은 유형의 사고가 반복되는 것을 막을 수 있다.

국 CISO의 강점은 정보보안과 개인정보 보호를 함께 관리해 온 경력에 있다. 그는 엔씨소프트에서 정보보안 기획 업무를 맡았다. 요기요와 오늘의집에서는 CISO와 개인정보보호책임자(CPO)를 겸임했다. 대기업과 게임사, 배달·인테리어 플랫폼을 두루 거치며 보안 조직 구축과 랜섬웨어, 분산서비스거부(DDoS) 공격, 내부자 정보 유출, 클라우드 침해 등 다양한 위협에 대응한 경험도 갖췄다.

이는 티빙의 서비스 특성과도 맞닿아 있다. 온라인동영상서비스(OTT)는 이용자 계정과 결제 정보뿐 아니라 시청 이력, 콘텐츠 추천·검색에 활용되는 기술 자산, 영상 보호를 위한 인증·DRM 체계까지 다양한 정보를 다뤘다.

보안과 개인정보 보호가 분리되면 시스템 침해를 막는 기술적 조치와 이용자 정보의 수집·이용·보관을 관리하는 절차 사이에 공백이 생길 수 있다. 국 CISO가 두 영역의 책임을 함께 맡아 온 경험은 기술적 방어와 개인정보 처리 전반의 위험을 연결해 점검하는 데 강점으로 작용할 수 있다.

다만 다른 플랫폼에서 쌓은 경험을 그대로 적용하는 것만으로 티빙의 위험을 해소할 수는 없다. 이용자 인증과 결제, 콘텐츠 보호, 개발·운영환경, 클라우드 인프라가 유기적으로 연결된 OTT 서비스의 특성에 맞춰 보안 체계를 설계해야 한다.

계정 탈취와 비정상적 데이터 조회를 조기에 탐지하는 것은 물론, 개발환경과 운영환경의 접근 분리, 소스코드와 인증정보 관리, 외부 협력사와 클라우드 서비스에 대한 권한 통제까지 유기적으로 연결해야 한다. AWS 보안 진단과 제로 트러스트 도입을 개별 사업에 그치지 않고 통합된 관리 체계로 정착시키는 것도 과제다.

보안 투자와 인력 확대가 실효성을 거두려면 조직의 위상과 의사결정 구조도 함께 바뀌어야 한다. 티빙은 2030년까지 정보보호 투자액을 직전 5년의 4배로 확대하고 보안 전문인력을 3배 수준으로 늘리겠다고 설명했다. 제품 보안과 클라우드 보안, 전사 IT 보안, 컴플라이언스 등으로 조직을 세분화하고 CEO 직속 정보보호혁신 자문위원회를 운영하는 방안도 제시했다.

중요한 것은 예산과 인력의 증가가 현장의 개선으로 이어지는지다. 보안 조직이 취약점을 발견해도 서비스 출시 일정이나 비용 부담 때문에 개선이 미뤄진다면 사고 이전의 문제가 반복될 수 있다.

국 CISO에게 위험도가 높은 사안을 경영진에 직접 보고하고 사업 부문에 시정을 요구하며 개선 완료 여부까지 확인할 수 있는 권한이 필요하다는 지적이 나온다. 보안 부서가 사고 발생 이후 대응하는 지원 조직에 머물지 않고 서비스 기획과 개발 단계부터 위험을 통제하는 역할을 맡아야 한다는 의미다.

최주희 티빙 대표의 관리·감독 책임도 이 지점에서 중요해졌다. 최 대표는 지난 13일 국회 정무위원회 국정감사에서 보안 투자를 해왔지만 CEO로서 충분한 우선순위를 두고 챙기지 못했다고 인정했다.

이는 보안 책임자 개인의 전문성만으로 해결할 수 없는 과제. 경영진이 보안을 사업 운영의 필수 조건으로 받아들이고 보안 조직의 개선 요구가 실제 의사결정에 반영되도록 뒷받침해야 한다는 지적이다. 국 CISO 선임의 의미 역시 개인의 경력에 그치지 않고 이러한 조직적 변화를 이끌 수 있는 환경이 마련되는지에 따라 달라질 수 있다.