최근 금융권에서 가장 뜨거운 화제 중 하나는 토스의 자체 보안솔루션 도입입니다. 토스가 외산 보안솔루션 사용을 종료하고 자체 개발한 ‘타이탄’을 전사에 적용했다는 소식인데요. 금융사가 핵심 보안 솔루션을 직접 개발해 외산을 대체한 것은 매우 이례적인 일로 받아들여지고 있습니다. 오늘은 토스의 타이탄 도입 배경과 특징, 그리고 이것이 금융 보안 시장에 주는 의미를 자세히 살펴보겠습니다.
목차
토스 타이탄 도입의 핵심 정리
| 구분 | 주요 내용 |
|---|---|
| 솔루션 이름 | 타이탄 |
| 기반 기술 | SASE 기반 제로트러스트 보안 |
| 대체 대상 | 글로벌 보안기업 지스케일러 솔루션 |
| 적용 범위 | 토스 전사 적용 후 전 계열사로 확대 |
| 주요 기능 | 외부 인터넷 접속 보호, 내부 시스템 접근 통제 |
토스가 이번에 전사에 적용한 타이탄은 ‘Toss Infrastructure Trusted Access Networking’의 앞 글자를 딴 이름입니다. 네트워크와 보안 기능을 하나로 묶어 이용자와 기기 접근을 관리하는 SASE 기반 솔루션이며, 사용자 신원과 기기 상태를 계속 확인하는 제로트러스트 보안체계를 구현합니다. 제로트러스트는 회사 직원이나 기기라는 이유만으로 신뢰하지 않고, 시스템에 접근할 때마다 권한과 보안 상태를 확인하는 개념인데요. 클라우드와 외부 서비스 이용이 늘면서 보안의 중심도 사내와 외부망의 경계를 지키는 방식에서 이용자와 기기를 반복 검증하는 방식으로 옮겨가는 흐름과 맞닿아 있습니다.
왜 직접 개발을 선택했을까
금융권에서 보안솔루션을 직접 개발하는 사례가 많지 않은 이유는 전문성과 운영 부담 때문입니다. 금융사는 통상 전문 보안업체가 개발한 솔루션을 도입하고 자체 환경에 맞춰 운영하는 것이 일반적입니다. 그런데 토스는 외산 상용 솔루션을 사용하면서 더 다양한 기능으로 확장하거나, 토스에 맞는 장애 대응과 비용 측면에서 한계를 느꼈다고 합니다.
실제로 토스의 보안 투자는 가파르게 늘고 있습니다. 작년 정보보호 부문에 약 193억원을 투자했으며, 이는 전년 대비 24%가량 증가한 액수입니다. 보안 전문가들은 자체 개발을 검토하는 경우가 기존 솔루션의 성능이 요구 수준을 따라오지 못하거나 필요한 기능을 지원하지 못할 때라고 설명합니다. 토스는 개발 인력이 많은 만큼 필요한 시스템을 직접 만들어 사용할 수 있고, 외산 솔루션의 높은 비용 부담도 자체 개발의 배경이 되었을 것이라는 분석입니다.
타이탄의 주요 기능과 역할
타이탄의 역할은 크게 두 가지로 나눌 수 있습니다. 먼저 임직원이 외부 인터넷에 접속할 때 업무용 PC를 각종 보안 위협으로부터 보호합니다. 외부 침입을 막고 위험 사이트 접속과 프로그램 사용을 통제하며, 회사 정보가 외부로 유출되지 않도록 관리합니다. 최신 위협 정보를 활용해 공격을 사전에 차단하는 것도 중요한 역할입니다.
두 번째는 내부 시스템에 접근하는 과정을 통제하는 것입니다. 접속하려는 PC의 보안 상태를 검사해 확인된 기기만 허용된 시스템에 접근할 수 있도록 합니다. 또한 직원의 정보와 권한 시스템과 연계해 각 임직원이 자신의 권한에 맞는 시스템에만 접속할 수 있게 관리합니다. 이렇게 복잡한 보안 기술을 외부 접속과 내부 접근이라는 두 영역으로 나눠 관리하는 것이 타이탄의 특징입니다.
AI와 공급망까지 확장되는 자체 보안 체계
흥미로운 점은 토스의 자체 보안 체계 확장이 타이탄에서 멈추지 않는다는 것입니다. 생성형 AI 확산에 맞춰 AI 서비스에 대한 보안 통제도 강화하고 있습니다. 내부 AI 서비스가 외부 AI와 연결될 경우 보안 가드레일이 적용된 별도 게이트웨이를 거치도록 했으며, AI 서비스가 외부와 직접 연결되지 않고 토스가 구축한 보안 절차 안에서만 연결되도록 통제합니다.
서비스 출시 전 AI의 취약점을 찾아내는 체계도 구축했습니다. 서비스 등록 단계에서 시스템이 공격 시나리오를 자동 생성해 취약점을 진단하고 결과 보고서까지 만듭니다. 현재 프롬프트 인젝션 공격을 10개 유형으로 분류해 110개 대표 공격 프롬프트를 활용하고 있다고 합니다.
또한 외부 라이브러리와 프로그램 패키지가 내부로 들어오는 경로를 중앙화하고 검사하는 ‘공급망 방화벽’도 구축했습니다. 신규 패키지는 바로 사용하지 않고 7일간 유예기간을 두며 외부 보안 데이터베이스와 연계해 악성코드 여부를 확인합니다. 하루 평균 약 6만건의 패키지를 검사하고 있으며, 실제 대규모 소프트웨어 공급망 공격 당시에도 악성 패키지를 차단해 내부 시스템을 보호했다고 합니다.
자체 보안 체계 구축의 과제
물론 자체 개발에는 분명한 과제도 있습니다. 외부 전문업체에 맡겼던 솔루션 개발과 유지 보수, 장애 대응 등을 직접 책임져야 하기 때문입니다. 보안 전문가들은 타이탄이 안정적으로 자리 잡으려면 상용 제품에 준하는 품질 검증과 철저한 장애 대응, 백업 환경에 대한 보안성 점검이 필요하다고 조언합니다.
금융 분야에서 자체 보안 체계 구축은 다른 산업군과 차원이 다른 엄중한 무게를 지닙니다. 단 한 번의 보안 사고만으로도 심각한 금전적 피해와 시스템 전체가 흔들리는 사태로 이어질 수 있기 때문입니다. 따라서 이중과 삼중의 철저한 안전망을 구비한 상태에서 세심한 개발과 가혹한 시뮬레이션 테스트, 그리고 신중한 상용화 수순을 단계적으로 밟아야 합니다.
토스 타이탄 도입이 주는 의미
토스의 타이탄 도입은 그동안 금융권 보안 인프라가 외산 솔루션에 거의 전적으로 의존해 온 관행에 대한 도전입니다. 국산 보안 솔루션에 대한 낮은 신뢰와 독자적 솔루션 구축은 무조건 위험하다는 고정관념이 견고했던 생태계에 신선한 균열을 가하는 사건으로 평가받고 있습니다.
핀테크 기업 본연의 독보적인 내부 기술력과 강력한 자체 개발 역량이 밑바탕이 되지 않았다면 엄두조차 내지 못할 과감한 시도입니다. 토스는 타이탄을 포함한 개별 보안체계를 하나로 연결하는 작업도 진행 중입니다. 자체 보안 프레임워크와 타이탄, AI 보안 가드레일, 공급망 방화벽 등을 통합 데이터 보호 거버넌스 아래 운영한다는 방침입니다.
토스 관계자는 타이탄을 토스 환경에 특화된 보안 솔루션으로 발전시켜 나갈 계획이며, 새로운 보안 위협에 빠르게 대응하는 것을 목표로 한다고 밝혔습니다. 결국 토스의 자체 보안 체계 구축은 단순한 솔루션 교체를 넘어, 한국 금융 보안의 체질을 근본적으로 바꾸는 출발점이 될 수 있습니다. 앞으로 타이탄이 금융권 전반에 어떤 영향을 미치고, 지속 가능한 한국형 금융보안의 새로운 이정표를 세울 수 있을지 관심이 모아집니다.
자주 묻는 질문
Q: 토스 타이탄은 어떤 솔루션인가요?
A: 토스가 자체 개발한 SASE 기반 보안솔루션입니다. 임직원의 외부 인터넷 접속 보호와 내부 시스템 접근 통제를 담당하며, 제로트러스트 보안체계를 구현합니다.
Q: 토스가 외산 보안솔루션을 대체한 이유는 무엇인가요?
A: 외산 상용 솔루션이 토스에 맞는 기능 확장과 장애 대응, 비용 측면에서 한계를 보였기 때문입니다. 내부 개발 역량을 갖춘 토스는 직접 개발을 통해 보안 영역의 통제권을 확보하고자 했습니다.
Q: 타이탄은 언제 전 계열사로 확대되나요?
A: 토스는 타이탄을 전사에 적용했으며, 문제를 보완하고 기능과 안정성을 높인 뒤 토스뱅크, 토스증권, 토스인슈어런스 등 전 계열사로 순차 확대할 계획입니다.
