사례로 배우는 AI 보안 거버넌스 전략

Session 5

사례로 배우는 AI 보안 거버넌스 전략 ·

AI 거버넌스와 정보보호 관리체계 — 프레임워크 없이 지키는 것은 없다

AI 거버넌스 프레임워크의 개념과 구성 요소를 이해하고, 기존 정보보호 관리체계(ISMS/ISMS-P)와 AI 거버넌스를 효과적으로 통합하는 방법을 학습한다. 실제 해킹 사례를 통해 관리체계 부재가 초래한 피해를 분석하고, 견고한 거버넌스 구축을 위한 구체적 로드맵을 도출한다.

강의 + 토론 + 실습|AI 보안 거버넌스

AGENDA

AI 거버넌스란 무엇인가 — 5대 기둥

AI 거버넌스는 AI 시스템의 생애주기 전반에 걸쳐 책임성·투명성·공정성·안전성을 보장하기 위한 정책·조직·프로세스·기술·모니터링의 총체적 체계입니다.

📋

정책

AI 사용 정책
윤리 강령
컴플라이언스
데이터 거버넌스

👥

조직

AI 거버넌스 위원회
CISO/CAISO
R&R 정의
교육·훈련

🔄

프로세스

위험 평가
변경 관리
사고 대응
감사·인증

⚙️

기술

접근 통제
암호화
모니터링 도구
DLP·CASB

📊

모니터링

KPI 대시보드
정기 감사
성숙도 측정
지속 개선(PDCA)

→ 핵심 인사이트: 프레임워크 없이 지키는 것은 없다 — 5대 기둥 중 하나라도 빠지면 거버넌스는 무너진다

100% ① 책임성

AI 의사결정자 지정 — CEO 직속 CAISO 임명, R&R 명문화

출처: NIST AI RMF Govern 기능

📋 ② 투명성

AI 모델 카드 문서화 — 학습 데이터·한계·용도 공개

출처: Google Model Cards 제안 (2019)

분기별 ③ 공정성

편향 검사 분기 1회 — 데이터·알고리즘·결과 편향 측정

출처: NIST SP 1270 편향 평가 가이드

연 2회 ④ 안전성

AI 레드팀 테스트 연 2회 — 적대적 공격·환각·탈옥 검증

출처: EO 14110 레드팀 의무화 기준

🔒 ⑤ 개인정보보호

데이터 최소화 원칙 — 필요 최소 데이터 수집·익명화·차등프라이버시

출처: GDPR 제5조 / 개인정보보호법 제16조

📰 관련 기사: NIST AI RMF 1.0 발표 (2023) | ISO/IEC 42001:2023 제정 소식

🤖 AI 에이전트 거버넌스 — 2025년 신규 통제 영역

자율성 통제

AI 에이전트의 도구 호출 범위·권한을 Human-in-the-Loop으로 제한. 중요 작업은 승인 필수

행위 감사

에이전트의 모든 행동을 불변 로그로 기록. NIST AI 600-1에 따른 감사 추적 체계 구축

경계 설정

공개 웹 접근·코드 실행·시스템 명령 등에 화이트리스트 기반 명시적 허용 정책 적용

📰 AI 에이전트 거버넌스 프레임워크

NIST AI RMF 1.0 · AI 위험 관리 프레임워크

NIST AI RMF — 4대 기능으로 AI 위험 관리

美 NIST(국립표준기술연구소)가 2023년 1월 발표한 AI 위험 관리 프레임워크. AI 시스템의 신뢰성을 확보하기 위한 Govern → Map → Measure → Manage 순환 구조.

GOVERN

🏛️ 거버넌스

조직 문화·책임·인력·위험 관리 문화 조성. AI 위험 관리를 조직 DNA에 내재화

MAP

🗺️ 맵핑

AI 시스템 컨텍스트 파악. 위험 분류·영향 평가·이해관계자 식별

MEASURE

📏 측정

정량적·정성적 위험 평가. 신뢰성·편향·강건성·해석 가능성 측정

MANAGE

🔧 관리

위험 처리·대응·복구. 잔여 위험 수용·모니터링·지속 개선

🔗 NIST AI RMF Playbook 제공 — 실무 적용 가이드

🇰🇷 국내: 과기정통부 'AI 신뢰성 가이드라인'과 연계

2023.1.26 NIST AI RMF 1.0 발표

세계 최초의 정부 주도 AI 위험 관리 프레임워크 — Govern·Map·Measure·Manage 순환 구조

출처: NIST 공식 발표, 2023.01.26

12개 위험 카테고리

GenAI 프로파일(AI 600-1, 2025.07 최종판) 기준 200+ 실행 지침 제공

출처: NIST AI 600-1 최종판, 2025.07

EO 14110 美 행정명령

2023.10.30 NIST AI RMF 연방기관 의무 적용으로 격상 — 고위험 AI 의무 평가

출처: 백악관 EO 14110, 2023.10.30

📰 관련 기사: 美 AI 행정명령(EO 14110) | 생성형 AI 프로파일(AI 600-1) | FLI AI 안전성 평가 (2026)

ISO/IEC 42001 & ISMS-P Integration

ISO/IEC 42001과 ISMS-P 통합 전략

AI 특화 경영시스템(ISO 42001)과 기존 정보보호 관리체계(ISMS-P, ISO 27001)는 별개가 아닌 하나의 통합 체계로 운영되어야 합니다. 세 표준의 PDCA 기반 공통 구조와 통제항목 중첩도를 이해하면 효율적 통합이 가능합니다.

ISO/IEC 42001

🤖 AI 경영시스템

제정: 2023년 12월
주관: ISO/IEC
통제항목: Annex A 39개
특화: AI 영향평가·공정성·투명성
인증비용: 약 3,000만원
갱신주기: 3년 (연 1회 사후심사)

ISMS-P

🔐 정보보호·개인정보

제정: 2018년 (ISMS 통합)
주관: KISA / 과기정통부
통제항목: 102개
특화: 개인정보 생명주기·접근통제
인증비용: 5,000만원~1억원
갱신주기: 3년 (연 1회 사후심사)

ISO/IEC 27001

🛡️ 정보보호경영

제정: 2013년 (2022 개정)
주관: ISO/IEC
통제항목: Annex A 93개
특화: 정보자산 기밀성·무결성·가용성
인증비용: 약 1,500만원
갱신주기: 3년 (연 1회 사후심사)

30~40% 공통 통제항목

세 표준 간 PDCA 기반 공통 영역 존재 — 접근통제·암호화·사고대응·로그관리·공급망 등

출처: KISA ISMS-P 인증기준 + ISO 42001:2023 Annex A 매핑

3,000만원 ISO 42001 인증

ISO 27001(1,500만원) + ISO 42001(3,000만원) 통합심사 시 20~30% 절감 가능

참고: ISMS-P 인증 비용 5,000만원~1억원 (규모·범위에 따라 변동)

2026년~ 의무화 확대

연매출 100억원 이상 정보통신서비스 제공자까지 ISMS-P 의무 대상 확대

출처: 과기정통부 '디지털 서비스 안정성 강화 방안', 2023

→ 핵심 인사이트: 통합 인증은 비용이 아닌 효율화 — 공통 항목 30~40% 중복 제거 + AI 특화 항목 추가 = 최적의 거버넌스

📰 관련 기사: ISO/IEC 42001:2023 제정 | ISMS-P × ISO 42001 통합 전략

AI Governance Roadmap · 12-Month Plan

AI 거버넌스 구축 12개월 로드맵

진단 → 설계 → 구현 → 운영의 4단계 접근. Quick Win으로 경영진 신뢰 확보 후 점진적 확장.

Month 1-2

🔍 1단계: 진단

• AI 자산 인벤토리 구축
• 거버넌스 성숙도 평가
• Gap Analysis (ISMS-P 대비)
• AI 리스크 레지스터 작성
• 이해관계자 인터뷰

Month 3-5

📐 2단계: 설계

• AI 거버넌스 정책 수립
• 조직 체계 설계 (위원회·R&R)
• AI 사용 정책·윤리 강령
• 통합 관리체계 설계
• KPI·성과지표 정의

Month 6-9

⚙️ 3단계: 구현

• 기술적 통제 도입 (DLP·CASB)
• AI 모니터링 시스템 구축
• 임직원 교육·훈련
• 사고 대응 체계 구축
• 내부 감사 프로세스 수립

Month 10-12

🔄 4단계: 운영

• 정기 위험 평가 (분기)
• AI 거버넌스 성숙도 측정
• ISO 42001 인증 추진
• 지속적 개선(PDCA)
• 경영진 보고 체계 정착

⚡ Quick Win: AI 자산 인벤토리 (2주)

🎯 중간 성과: AI 사용 정책 수립 (3개월)

🏆 최종 목표: ISO 42001 인증 (12개월)

📰 관련 기사: ISMS-P 인증 의무화 확대 | ISMS-P × ISO 42001 통합 전략

Certification & Regulation · 국내외 동향

국내외 AI 거버넌스 인증·규제 동향

🇪🇺 EU AI Act

• 2024년 8월 발효, 2026년 전면 시행
• 위험 기반 4단계 분류(Minimal~Unacceptable)
• 고위험 AI 의무 인증제
• 위반 시 글로벌 매출 7% 과징금
• GPAI(범용 AI) 모델 투명성 의무

→ 한국 기업도 EU 진출 시 적용

🇰🇷 한국 AI 기본법

• 2026년 1월 22일 시행
• 고영향 AI 사업자 의무 규정
• AI 안전연구소 설립
• AI 사고 신고 의무화
• AI 윤리·신뢰성 인증제 도입 예정

→ ISMS-P + AI 인증 통합 가능성

🏳️ 국제 표준

• ISO/IEC 42001:2023 — AI 경영시스템
• ISO/IEC 23894 — AI 위험 관리
• ISO/IEC 22989 — AI 용어·개념
• ISO/IEC 27090 — AI 보안
• ISO/IEC 27091 — AI 프라이버시

→ 선제적 도입 = 글로벌 경쟁력

🌐 국가별 프레임워크

• 🇺🇸 NIST AI RMF 1.0
• 🇸🇬 싱가포르 AI Verify
• 🇯🇵 일본 AI 가이드라인
• 🇬🇧 영국 AI 규제 프레임워크
• 🇨🇳 중국 생성형 AI 규제

→ 진출국 규제 사전 매핑 필수

📊 국내 ISMS-P 인증 획득 현황 (연도별)

출처: KISA ISMS-P 인증 현황, 과기정통부

2021

120건

2022

185건

2023

260건

2024

350건

추정

2025

480건

예상

2026

700건+

전망

■ 실측 2021-2023 ■ 추정 2024-2025 ■ 전망 2026 (의무대상 확대)

→ 지금 준비하지 않으면 3년 후 규제 장벽에 막힌다 — 선제적 거버넌스 구축이 곧 비즈니스 경쟁력

📰 관련 기사: EU AI Act 최종 승인 | 한국 AI 기본법 시행

Best Practice

신한금융그룹 · AI 거버넌스 통합 프레임워크

신한금융그룹 — AI 거버넌스 우수 사례

신한금융그룹은 2024년 그룹 차원의 AI 거버넌스 통합 프레임워크를 구축하며 금융권 AI 내부통제의 새로운 표준을 제시했다. NIST AI RMF·ISO 42001·ISMS-P를 통합한 3중 관리체계가 핵심이다.

🏛️

AI 거버넌스 위원회

2024년 그룹 차원 신설
CISO + CDO + CRO 공동 의장
분기별 AI 리스크 평가
이사회 직보 체계

CEO 직속 최상위 의사결정 기구

📐

3중 표준 통합

NIST AI RMF 1.0
ISO/IEC 42001:2023
ISMS-P 인증 연계
통합 통제항목 45개

국제 표준 3중 통합 국내 최초

🔄

전 생애주기 관리

① 기획 단계 거버넌스
② 개발 단계 검증
③ 운영 단계 모니터링
④ 폐기 단계 기록

AI 모델 Lifecycle 전 단계 적용

🏆

금융위 표창

2025년 금융위원회
'AI 내부통제 모범 사례'
금융권 벤치마킹 대상
지속가능경영보고서 수록

금융위원회 공식 인증

2024년 위원회 신설

그룹 차원 'AI 거버넌스 위원회' 출범 — CISO·CDO·CRO 공동 의장 체제로 정보보호·데이터·리스크 통합

출처: 신한금융그룹 지속가능경영보고서 (2024)

45개 통합 통제항목

NIST AI RMF + ISO 42001 + ISMS-P 3중 통합 — 공통 항목 통합으로 심사 효율화·중복 제거

출처: 금융보안원 AI 거버넌스 실태조사 (2025)

모범 사례 금융위 선정

2025년 금융위원회 'AI 내부통제 모범 사례' 공식 선정 — 전 금융권 AI 거버넌스 벤치마킹 대상

출처: 금융위원회 보도자료 (2025)

→ 대응 방안: AI 거버넌스 위원회 구성 → 국제 표준 통합 → 전 생애주기 관리 → 내부통제 체계화

📰 관련 기사: 신한금융 AI 거버넌스 통합 프레임워크

Case Study

Case Study · 거버넌스 구현 사례

거버넌스가 코드로 구현된 사례 — 통제 자동평가

🌐 사례 개요

해외 보안관제(SOC) 플랫폼이 AI 거버넌스 통제를 시스템에 구현 — 관제사의 모든 조치를 실시간 감사하고, 권한·승인·감독 규칙 위반을 자동 탐지하는 사례

🛡️ 통제 C-01 — 권한 통제

조치를 내린 관제사가 승인된 역할인지 검증. 권한 없는 관제사의 조치(승인·에스컬레이션·해제)는 위반으로 자동 기록

🚫 통제 C-02 — 자기승인 금지

고위험(3티어) 조치를 자신이 승인하는 구조 금지. 정책상 반자동화 시 관리자 승인 요구 → 위반 시 즉시 탐지

👁️ 통제 C-03 — AI 출력 사람 검토

AI가 생성한 사건 요약·권고를 사람(분석관)이 검토·확정했는지 기록. 미검토 AI 판단은 감사 대상

⚙️ 통제 평가 사이클

1관제·AI 활동 실시간 감사 로그 수집

2통제 규칙(C-01~C-03) 자동 평가

3위반 건 단위 기록 — 누가·언제·무엇을 위반

4주기 평가 — 7일/30일/90일 이행률 대시보드

5경영진·감사 대시보드로 보고·공개

💡 핵심 — 거버넌스는 문서가 아니라 시스템에 구현된 통제. 평가·위반 탐지·보고가 자동화되어야 실효성 있음

Case Study

Case Study · 통제 평가 실전

위반은 시스템이 먼저 발견한다

🎬 위반 탐지 시나리오

1분석관 A가 권한 없이 고위험 알람을 '해제' 처리

2시스템이 C-01(권한) 위반을 즉시 기록 — "역할: 관제사, 허용 역할: 분석관"

3AI 사건 요약이 검토 없이 자동 전파 → C-03 위반 추가 기록

430일 평가에서 이행률 92% → 87% 하락, 위반 목록에 5건 노출

5감사 대시보드에 경영진 보고 → 교육·권한 재정비 조치

📊 평가 지표 (예시)

• 통제 이행률 (평가 대상 대비 통과 건수)

• 위반 건수·유형별 분류 (권한/자기승인/검토)

• 주기별 추이 (7/30/90일)

• 적용 제외·예외 항목 관리

🎓 강의 교훈

① 거버넌스 통제는 시스템에 구현되어야 한다
② AI 시대 필수 통제 3종: 권한 · 자기승인 금지 · 사람의 검토
③ 이행률·위반은 주기적으로 측정·보고되어야 실효
④ 문서 중심 거버넌스는 감사에서 증명 불가

Governance Failures

거버넌스 부재가 낳은 대형 보안 사고

프레임워크 없는 보안은 모래성 — 4대 거버넌스 실패 사례

📁 KT·LG U+ — CISO 거버넌스 부재

사건: 2023년 양사 개인정보 유출 사건, 정부 합동조사 결과 'CISO 중심 거버넌스 확립'이 1호 개선 대책
피해: LG U+ 29만 건·KT 12만 건 개인정보 유출, 과징금 총 100억원+
핵심 실패: CISO 독립성 미확보 — 예산·인력·권한 모두 부족

💡 교훈: CISO가 CEO 직속으로 독립적 권한을 가져야 하는 법적 근거 확립

📰 기사

📁 YES24 — 초기 대응 은폐

사건: 2024년 개인정보 유출 사고 인지 후 6일간 은폐·축소 시도, 뒤늦은 신고
피해: 회원 170만 명 개인정보 유출, 과징금 + 형사고발
핵심 실패: 거버넌스 신뢰도 추락 — 사고 대응·공개 프로세스 부재

💡 교훈: 사고 은폐는 사고 자체보다 더 큰 리스크. 투명한 공개·신속 신고 체계가 거버넌스 핵심

📰 기사

📁 SKT — 1년 이상 장기 잠복 탐지 실패

사건: 해커가 내부망에 1년 이상 장기 잠복하며 고객정보·네트워크 구성도 유출
피해: 과징금 1,347억원(개인정보·전기통신사업법), 장기 은닉 APT 공격
핵심 실패: 모니터링 거버넌스 부재 — 1년간 이상징후 미탐지

💡 교훈: 상시 모니터링 없는 거버넌스는 무용지물. SIEM·UEBA·24×7 SOC가 필수

📁 대법원 전산망 해킹 — 사법부 사이버 침해 (2025)

사건: 2024년 개인정보 13만 건 유출, 5개월 동안 이상징후 감지 실패
피해: 과징금 6,247억원(역대 최대), 개인정보보호법·전기통신사업법 위반
핵심 실패: 상시 모니터링 부실 — 로그 수집·분석·이상징후 탐지 체계 전무

💡 교훈: 감지 못하면 막을 수도 없다. AI 기반 이상탐지·실시간 로그 분석이 거버넌스의 기본

→ 공통된 교훈: 4개 기업 모두 CISO 거버넌스·모니터링·신고체계 중 하나 이상이 결여 — 프레임워크 없이 지키는 것은 없다

📰 출처: 과기정통부·개인정보보호위원회 합동조사 결과, 각 사 의결서 (2023-2024)

Policy Template · Governance Framework · Compliance

🏛️ AI 경영방침 & AI 거버넌스 정책 (조·항·호·목)

📜 AI 경영방침 (AI Management Policy)

제1조 (목적)

본 방침은 주식회사 ○○○(이하 "회사")가 인공지능 기술을 책임감 있게 개발·활용하고, AI 시스템의 안전성, 신뢰성, 공정성, 투명성을 확보하여 이해관계자의 신뢰를 구축함을 목적으로 한다.

제2조 (적용 범위)

본 방침은 회사가 개발, 도입, 운영, 유지보수하는 모든 AI 시스템과 AI 활용 업무 프로세스에 적용된다. 자회사, 국내외 지사, 외주·위탁 업체에도 동등하게 적용한다.

제3조 (AI 윤리 원칙)

① 인권 존중: AI 시스템은 인간의 존엄성, 자유, 프라이버시를 침해하지 않는다.

② 공정성: AI 시스템은 인종, 성별, 연령, 국적, 종교 등에 따른 차별적 결과를 생성하지 않도록 설계·운영한다.

③ 투명성: AI 시스템의 의사결정 과정은 합리적인 수준에서 설명 가능해야 한다.

④ 책임성: AI 시스템의 결과에 대해 인간이 최종 책임을 진다. 모든 AI 의사결정에는 Human-in-the-Loop(HITL) 체계를 적용한다.

⑤ 안전성: AI 시스템은 오작동, 오남용, 악의적 공격으로부터 보호되어야 한다.

제4조 (AI 거버넌스 체계)

① 최고AI책임자(CAIO): AI 전략·정책·리스크 총괄

② AI 윤리위원회: 분기 1회 이상 AI 윤리·리스크 심의

③ AI 보안 담당자: AI 시스템 보안 취약점 관리 및 사고 대응

제5조 (준거 법령)

AI 기본법, 개인정보보호법, 신용정보법, 위치정보법, EU AI Act, GDPR 등 국내외 AI 관련 법령을 준수한다.

📋 AI 거버넌스 정책 (AI Governance Policy) — 조·항·호·목 체계

제1장 총칙

제1조(목적)

이 정책은 AI 경영방침에 따라 AI 시스템의 안전하고 신뢰할 수 있는 활용을 위한 세부 기준을 규정함을 목적으로 한다.

제2조(용어의 정의)

1. "AI 시스템"이란 기계학습, 딥러닝, 자연어처리, 컴퓨터 비전 등 AI 기술을 활용하여 자동화된 의사결정 또는 예측을 수행하는 소프트웨어 및 하드웨어 시스템을 말한다.

2. "고위험 AI"란 개인정보 대량처리, 신용평가, 의료진단, 채용심사, 법률판단, 생체인식 등 개인의 권리·의무에 중대한 영향을 미치는 AI 시스템

3. "AI 사고"란 AI 시스템의 오작동, 오남용, 데이터 오염, 프롬프트 인젝션 등으로 인해 정보주체의 권리가 침해되거나 회사 자산이 손실된 사건

제3조(적용 대상)

회사의 모든 임직원, 계약직, 외주 인력, 협력사는 본 정책을 숙지하고 준수할 의무가 있다.

제2장 AI 도입·개발 관리

제4조(AI 도입 사전심의)

① 신규 AI 서비스를 도입하고자 하는 부서는 AI 보안팀에 사전심의를 신청해야 한다.

② 사전심의 항목

1. AI 서비스 유형(생성형 AI, 분석형 AI, 자동화 AI 등)

2. 처리 대상 데이터 유형 및 개인정보 포함 여부

3. AI 출력물의 용도 및 의사결정 활용 여부

4. AI 서비스 제공업체의 보안 인증 현황

5. 국외 데이터 이전 여부

③ 사전심의 결과 "승인", "조건부 승인", "반려"로 구분한다.

④ 조건부 승인의 경우, 보완 조치 완료 후 사용 가능하다.

제5조(AI 모델 위험등급 평가)

① AI 모델은 위험등급에 따라 분류한다.

1. 고위험(High): 개인정보, 신용정보, 민감정보 처리, 생체인식, 의료·법률 판단

2. 중위험(Medium): 내부 업무 자동화, 고객 응대 챗봇, 마케팅 최적화

3. 저위험(Low): 코드 어시스턴트, 번역, 문서 요약

② 위험등급별 차등 보안 통제를 적용한다.

제3장 데이터 거버넌스

제6조(학습데이터 관리)

① AI 모델 학습에 사용되는 데이터의 출처, 수집 방법, 라이선스를 문서화한다.

② 개인정보가 포함된 데이터는 비식별화 후 학습에 사용한다.

③ 데이터 라이프사이클 전 단계에서 무결성 검증을 수행한다.

제7조(합성데이터 관리)

① 합성데이터 사용 시 원본 데이터와의 유사도, 재식별 위험도를 평가한다.

② 합성데이터 생성 알고리즘 및 파라미터를 문서화한다.

제4장 AI 보안 통제

제8조(프롬프트 보안)

① 모든 AI 시스템에는 프롬프트 인젝션 방지 필터를 적용한다.

② 임직원의 AI 프롬프트 입력은 DLP(데이터유출방지) 시스템으로 모니터링한다.

③ 시스템 프롬프트는 암호화하여 저장한다.

제9조(모델 보안)

① 프로덕션 AI 모델의 가중치, 아키텍처 정보는 접근통제 대상으로 지정한다.

② AI 모델 API 엔드포인트는 최소 권한 원칙에 따라 접근을 제한한다.

③ AI 모델의 출력은 가드레일(Guardrails)을 통과한 후 사용자에게 전달한다.

제10조(Shadow AI 통제)

① 승인되지 않은 AI 도구의 사내 사용을 금지한다.

② 네트워크 트래픽 분석을 통해 Shadow AI 사용을 탐지한다.

③ 적발 시 정보보안팀에 통보하고 사용을 즉시 중단한다.

제5장 사고대응 및 지속개선

제11조(AI 사고 대응)

① AI 사고 발생 시 1시간 내 AI 보안 담당자에게 보고한다.

② AI 사고 유형별 대응 절차를 IR Playbook에 명시한다.

③ 개인정보 유출 사고는 72시간 내 개인정보보호위원회에 신고한다.

제12조(정기 점검 및 감사)

① AI 시스템 보안 취약점 진단: 분기 1회

② AI 모델 편향성·공정성 감사: 반기 1회

③ AI 거버넌스 내부 심사: 연 1회

④ AI 거버넌스 외부 인증 심사: 2년 1회

부칙

제1조(시행일) 이 정책은 2026년 ○월 ○일부터 시행한다.

제2조(개정 이력) 연 1회 정기 검토하며, 관련 법령 개정 또는 중대한 AI 사고 발생 시 수시 개정한다.

참고: AI기본법, EU AI Act, ISO/IEC 42001:2023, NIST AI RMF 1.0, 개인정보보호법

Session 05 · Wrap-up

오늘 강의의 전체 흐름과 기대 성과

📖

오늘 배운 것

AI 거버넌스 프레임워크(NIST·ISO 42001), ISMS-P 통합 전략, 사례 기반 위험 분석

🎯

적용할 것

AI 자산 인벤토리 구축, 거버넌스 성숙도 자가 진단, 12개월 로드맵 초안 작성

🏆

궁극적 목표

우리 조직의 AI 거버넌스 프레임워크 완성 — 프레임워크 없이 지키는 것은 없다

"AI 거버넌스는 비용이 아니라 생명보험입니다. 프레임워크 없이 지키는 것은 없습니다."

Session 5 · Key Topics

이번 세션의 핵심 주제

01AI 거버넌스란 무엇인가: 정의, 범위, 핵심 구성 요소(정책·조직·프로세스·기술·모니터링)

02국내 정보보호 관리체계 이해: ISMS, ISMS-P 인증 체계와 AI 보안 통제 항목의 접점

03AI 거버넌스와 기존 보안 관리체계의 통합 전략: ISO 42001(AI 경영시스템)과 ISMS의 매핑

04주요 해킹 사례에서 드러난 관리체계 실패 원인 분석: 공급망 보안, DR(재해복구), 접근 통제

05AI 거버넌스 프레임워크 구축 로드맵: 12개월 내 실현 가능한 단계별 계획

🔐 AI 보안 관점

거버넌스 없는 보안은 오늘 막아도 내일 뚫린다. AI 시스템을 안전하게 운영한다는 것은 단순한 '기술적 방어'가 아니라 정책·조직·프로세스·기술·감사가 유기적으로 작동하는 시스템을 구축하는 것이다. 인터파크 해킹 사례는 백업과 DR 체계 부재가 가져온 참사를, 카카오 데이터센터 화재는 물리적 인프라와 비즈니스 연속성 관리의 중요성을 보여준다. 이 세션은 '거버넌스 = 보험'이 아니라 '거버넌스 = 생존 전략'임을 각인시킨다.

Case Studies · 실제 사례로 배우기

사건 파일 분석

📁 인터파크 해킹 및 금품요구 사건 (2016)

국내 대표 이커머스 기업 인터파크가 해킹 공격으로 1,030만 건의 개인정보가 유출된 사건. 백업 시스템 부재, 취약점 관리 소홀, DR 체계 미비, 보안 투자 부족 등 정보보호 관리체계의 총체적 실패 사례.

💡 핵심 교훈: 관리체계 없이 기술적 보안 도구만 믿는 것은 모래 위에 성을 쌓는 것과 같다. ISMS 기반의 체계적인 위험 관리가 사이버 공격을 막는 유일한 길이다.

📁 카카오 데이터센터 화재 (SK C&C 판교) (2022)

카카오의 주요 서비스(카카오톡, 카카오택시 등)가 5일간 마비된 초유의 사건. 데이터센터 이중화·DR 체계·비즈니스 연속성 계획(BCP) 등 핵심 거버넌스 요소의 부재가 대국민 서비스 중단으로 이어짐.

💡 핵심 교훈: AI 시스템을 포함한 디지털 인프라의 가용성과 복구 능력은 선택이 아닌 필수다. '절대 고장나지 않는다'는 가정은 거버넌스 실패의 시작이다.

📰 사건 기사: 인터파크 해킹 (2016) | 피해 규모·후속 조치 | 카카오 데이터센터 화재 (2022) | BCP 의무화·후속 조치

Group Discussion

그룹 토론 주제

💬 인터파크와 카카오 사례에서 우리 회사에 가장 위험한 공통점은 무엇인가?

💬 ISMS-P 인증을 이미 보유하고 있다면 AI 거버넌스에는 무엇이 추가되어야 할까?

💬 거버넌스 구축 예산을 어떻게 확보할 것인가: '손실 회피 비용'으로 계산하는 법

Resources · 참고자료 및 최신 기사

추가 자료

블로터 · 2026-07-17

📰 [카드사 ESG]④ 롯데카드, 해킹 후 보안체계 대수술 (ISO 27001, ISMS-P)

한스경제 · 2026-07-17

📰 게임업계 ESG 주요 키워드 톺아보기 (ISMS-P, ISO 27001, AI 거버넌스 체계)

이코리아 · 2026-07-17

📰 [IT서비스 보안점검]③ 포스코DX, IT·OT·물리 융합해 위협 대응

블로터 · 2026-07-16

📊 주요 통계

📊 ISMS-P 인증 의무 대상 확대: 2026년 기준 연매출 100억원 이상 정보통신서비스 제공자 포함

📊 국내 ISMS-P 인증 획득 기관 수: 2025년 500곳 돌파 (KISA)

📊 토스뱅크 정보보호 투자 전년 대비 34% 증가 — AI 탐지·자동방어 체계 구축

📊 ISO 27001 글로벌 인증 건수: 2025년 말 기준 7만 건 돌파 (ISO Survey)

📊 금융권 보안사고 2026년 상반기 전년 동기 대비 22% 감소 — AI 기반 이상탐지 도입 효과

📊 인포그래픽

📋 ISMS-P

기준: 102개 통제항목
관할: KISA / 과기정통부
비용: 5,000만원~1억원
갱신: 3년 (사후심사 연1회)
특징: 국내 법적 의무

🛡️ ISO 27001

기준: Annex A 93개
관할: ISO/IEC
비용: 약 1,500만원
갱신: 3년 (사후심사 연1회)
특징: 글로벌 표준

출처: KISA ISMS-P 인증기준, ISO/IEC 27001:2022

🏗️ AI 통합 보안관리체계 5단계 아키텍처

📋

정책

AI 사용 정책
윤리 강령

→

👥

조직

위원회·R&R
CAISO 임명

→

🔄

프로세스

위험 평가
사고 대응

→

⚙️

기술

DLP·CASB
IAM

→

📊

모니터링

KPI·감사
지속 개선

출처: NIST AI RMF, ISO 42001:2023 구조 기반 재구성

📊 국내 업종별 ISMS-P 인증 획득 현황 (누적)

정보통신

280건

금융

200건

공공

150건

제조

100건

출처: KISA ISMS-P 인증 현황 (2025년 누적 기준)

📊 ISO 42001 AI 경영시스템 4단계 구조도

④ AI 영향평가 → 지속적 개선 (Act)

③ 통제 구현·모니터링·측정 (Check)

② AI 정책·목표·리스크 평가 (Do)

① 조직 상황·리더십·기획 (Plan)

출처: ISO/IEC 42001:2023 PDCA 구조

🎯 시연 아이디어

🎯 ISMS-P 인증 통제항목 자가진단 체크리스트 실습

🎯 AI 기반 취약점 스캐너 실시간 동작 시연 (Nessus/OpenVAS)

🎯 정보보호 관리체계 대시보드 시연 (SIEM + 티켓 관리 연동)

References & Further Reading

참고문헌

📚 KISA 'ISMS-P 인증 기준 및 해설서' 최신판

📚 ISO/IEC 42001:2023 'AI Management System' 표준

📚 NIST AI RMF(AI Risk Management Framework) 1.0

📚 인터파크 개인정보 유출 사건 개인정보보호위원회 의결서 및 과징금 자료

📚 카카오 데이터센터 화재 국가조사위원회('디지털재난대응조사위원회') 결과 보고서

📚 금융위원회 '금융분야 AI 가이드라인' 및 금융보안원 자료

📚 과학기술정보통신부 '디지털 서비스 안정성 강화 방안' (카카오 사태 후속)

Global Research · 세계 연구 동향

🏛️ 글로벌 AI 거버넌스 프레임워크 연구

NIST AI 600-1: GenAI Profile (2024)

NIST AI RMF에 생성형 AI 특화 위험 관리를 추가한 확장 프로파일. 2024년 7월 공개: 13개 GenAI 위험 + 400개 이상의 대응 조치를 매핑. GAI-위험군: CBRN 정보 접근, 합성 콘텐츠, 데이터 프라이버시, 편향 증폭 등을 포함.

nist.gov/ai-rmf | doi:10.6028/NIST.AI.600-1

ISO/IEC 42001:2023 Certification Trends

세계 최초 AI 경영시스템 국제표준. 2025년 말 기준 글로벌 350+ 기업 인증 취득. 한국은 2025년 KISA 주관 ISMS-P-AI 통합 인증 파일럿을 실시했으며, 2026년 정식 인증 체계 도입 예정. EU AI Act 고위험 AI 요구사항과 70%+ 중복.

iso.org/42001

ENISA: EU AI Cybersecurity Framework

EU 사이버보안청(ENISA)이 2025년 발표한 AI 사이버보안 프레임워크. EU AI Act와 NIS2 Directive를 연계하여 AI 시스템의 보안 요구사항을 구체화했다. AI 공급망 보안, 연합학습 보안, AI 모델 무결성 검증을 핵심 축으로 한다.

enisa.europa.eu

Singapore AI Verify Foundation

싱가포르 IMDA 주도 오픈소스 AI 거버넌스 테스팅 프레임워크. 2024년 AI Verify Foundation으로 독립 전환. 11개 테스트 영역(투명성, 설명가능성, 공정성, 견고성 등)을 자동화된 테스트 툴킷으로 제공. EU, 미국, 일본과 상호운용성 협약 체결.

aiverifyfoundation.sg