AI 시대 보안정책 담당자는 반복 업무를 어떻게 자동화하고 판단에 집중하는가

TL;DR

AI가 반복 업무를 자동화하고 판단의 여유를 확보하게 하여 보안 정책 업무의 속도와 품질을 동시에 향상시킬 수 있다. 사례로 개인정보 결정문 수집 자동화, 보안 정책 어드바이저 봇, 수탁사 점검 대응 및 계약서 검토 자동화가 있다. 규제의 한계를 고려해 작은 자동화부터 시작하는 전략이 중요하다.

Transcript

아, 네. 안녕하세요. 토스 페이먼츠 보안 정책팀의 이성민입니다. 반갑습니다. [박수] 아, 앞서 그 발표한 주제들이 사실 관리 체계를 뭔가 잘 수립하셨거나 아니면 관리 체계를 잘 운영하기 위한 어떤 내부, 플랫폼, 프로덕에 가까운 주제들이었는데요. 제가 드릴 이야기는 조금은 더 방향성에 가까운 대화가 될 거 같아요. 그래서 좀 더 편하게 잘 들어 주시면 될 것 같습니다. 네. AI 시대의 보안 정책 담당자라는 주제로 우리가 반복적인 업무 속에서 어떻게 자동화와 판단 중심의 일로 전환할 수 있을지에 대해서 이야기해 보겠습니다. 보안 정책 담당자분들게 많으시죠? 어 비슷한 고민들 있으실 것 같은데요. 이것 또 물어보냐? ... Read More

Key Insights

• 반복 업무의 자동화가 보안정책 업무의 속도 향상과 피로도 감소에 직접 기여한다.
• 외부 정보 수집 자동화는 매일 신규 결정문을 확인하고 요약해 팀에 전달하는 흐름으로 구현된다.
• 내부 문서 학습 기반의 어드바이저는 법령, 해설서, 업무 가이드를 바탕으로 사실에 근거한 답변을 제공한다.
• 계약서 검토 자동화는 분류 로직과 체크리스트를 활용해 보안 통제 영역에 맞춘 핵심 내용을 도출한다.
• AI의 역할은 사람의 판단을 대체하지 않고 반복을 해소해 판단 집중 영역을 확대하는 데 있다.
• 금융 규제의 제약 속에서도 공개 데이터 기반의 상용 LMM과 온프레미스 도구를 혼용할 수 있다.
• 작은 자동화부터 시작하는 접근이 규제 내에서도 현실적으로 가능하며 혁신의 시작점이 된다.
• 성과는 속도보다 판단의 집중과 정책의 질적 향상으로 나타난다고 발표자가 강조한다.

Questions & Answers

Q: 어떤 방식으로 외부에서 발생하는 주요 정보를 자동으로 수집하는가?

주요 정보의 자동 수집은 엠파이 같은 자동화 도구를 사용해 일정 시간마다 신규 결정문을 조회하고, 공공 API를 활용해 새로 올라온 결정문의 본문을 확인한 뒤 AI가 핵심 내용을 요약하여 출력 형식에 맞춰 팀에 전달하는 방식으로 이뤄진다. 이 과정은 아카이빙까지 연결되어 있다.

Q: 보안 정책 어드바이저 봇은 어떤 원리로 내부 정책과 가이드를 반영하는가?

내부 정책 문서, 법령, 해설서, 뉴스, 규정 동향 등을 학습시켜 두고, 개발자는 개발자 질문에 대해 프롬프트를 설계해 기본 답변에 우리 운영 원칙을 반영한 응대를 제공한다. 이로써 일반적 내용뿐 아니라 업무 가이드에 따른 구체적 답변이 가능해진다.

Q: 개인 정보 관리 분야에서 AI가 초안을 생성하는 구체적 예시는 무엇인가?

개인 정보 담당자에게 들어오는 수탁·제공 요청에 대해, 학습된 체크리스트와 현황 자료를 바탕으로 상황에 맞춘 초안과 증적 자료를 자동으로 구성한다. 최종 검토만 사람이 수행하면 되므로 응답 속도가 크게 빨라지고 품질이 표준화된다.

Q: 계약서 검토 자동화에서 AI가 분류하는 기준은 무엇인가?

계약의 분류 로직은 개인 정보 처리 위탁 여부, 신용정보 처리 여부, 금융 데이터 위탁 여부, 클라우드 사용 여부, 외부자 보안 관리 여부 등을 포함한다. 각 영역에 따라 반영해야 할 보안 통제 요구사항을 자동으로 표시하고 체크한다.

Q: 현업 팀원이 AI를 도입하는 과정에서 중요한 고려사항은 무엇인가?

프롬프트 설계가 가장 중요하며, 제약 조건을 명확히 설정해 AI가 일반 원칙만 제시하지 않도록 한다. 또한 규제 내에서 사용할 수 있는 방법을 모색하고, 공개 데이터 기반의 상용 AI와 내부망의 도구를 적절히 조합한다.

Q: 이 기술 도입이 실제로 팀에 어떤 변화를 가져왔는가?

반복 업무의 자동화로 담당자들의 피로가 감소하고, 신규 입사자의 현황 파악이 빠르게 가능해졌다. 또한 계약서 검토와 같은 복잡한 업무에서도 일관된 출력물과 품질 표준화가 이루어졌다.

Q: 금융 규제 아래서 AI 활용의 한계와 대안은 무엇인가?

금융 규제의 제약이 존재하므로 공개 데이터를 바탕으로 한 상용 모델과 내부망 내의 온프레미스 도구를 조합해 활용하되, 규제 범위를 벗어나지 않는 범위에서 시작해 점진적으로 확장하는 전략이 제시된다.

Q: 이 발표가 제시하는 핵심 메시지는 무엇인가?

거대한 시스템의 도입보다는 작은 자동화의 시작이 중요하다. 반복을 기술에 맡기고 판단과 혁신에 집중하는 문화가 보안 정책의 질과 속도 모두를 개선한다.

Summary & Key Takeaways

• AI의 중심 아이디어는 반복 루틴을 자동화하고 판단의 집중 영역을 확대하는 것이다. 이를 위해 외부 정보 수집, 내부 문서 학습 기반 답변, 반복 업무 자동화, 계약서 검토 자동화의 네 가지 축을 제시한다. 자동화 도구는 엠파이 같은 워크플로우 기반 도구를 활용해 신규 결정문 수집과 요약, 아카이빙까지 연결한다.

• 보안 정책 팀은 내부 정책 문서와 법령 해설, 가이드 등을 학습시켜 AI가 기본 대답을 제공하되 최종 판단과 정책 적용은 사람이 수행한다. 이 과정에서 속도보다 집중과 품질의 일관성을 중시하며, 금융 규제 내에서의 활용 가능성을 모색한다.

• 계약서 검토는 분류 로직을 통해 어떤 영역이 적용되는지 확인하고, 프롬포트 설계로 대답의 정확성을 높인다. 또한 내부 가이드라인과 원칙에 따른 제약을 명확히 설정하여 규제를 준수한다.