SentBe(센트비) - 센트비안 인터뷰 SentBe(센트비) SentBian Story 페이지입니다.
SentBe(센트비) - 센트비안 인터뷰
SentBe(센트비) SentBian Story 페이지입니다.
제목없음
고객의 돈과 데이터를 지키는 일
Tech | Information Security | 유광재
보안의 진정한 실력은 예상치 못한 위기 앞에서 증명된다. 센트비의 정보보안을 책임지는 유광재 리드는 위험을 사전에 통제하는 것은 물론, 문제가 발생했을 때 빠르게 대응해 고객과 서비스에 미치는 영향을 최소화하고 안정적으로 회복해 내는 회복탄력성(Resilience)을 핀테크 보안의 핵심으로 꼽는다.
자금과 개인정보가 국경을 넘나드는 핀테크 환경에서, 그는 기술과 규제, 그리고 비즈니스의 균형을 맞추며 지속 가능한 보안 체계를 만들어간다. 지켜야 할 원칙은 분명히 하되 그 테두리 안에서 조직이 사업을 안전하게 구현할 방법을 함께 고민하는 그를 만났다.
어떤 업무를 담당하고 계신가요.
정보보안팀은 고객의 자금과 개인정보가 안전하게 처리되고 서비스가 안정적으로 운영될 수 있도록, 회사 전반의 보안 정책과 관리체계를 수립하고 운영하는 팀입니다. 송금 서비스와 데이터가 움직이는 과정을 따라가며 위험을 미리 찾고, 마련된 안전장치가 실제 업무와 시스템에서 제대로 작동하는지 지속적으로 확인하는 일이죠. 새로운 송금 기능이나 외부 파트너 연계를 검토할 때에는 거래정보와 개인정보가 어떤 경로로 이동하는지, 필요한 사람만 접근하는지, 문제가 생기면 이를 확인하고 대응할 수 있는지를 관련 부서와 함께 살펴봅니다. 개선이 필요한 부분은 위험도와 업무 영향을 고려해 우선순위를 정하고요.
평소에는 한국과 싱가포르 감독기관의 규제와 점검에 대응하고, ISO 27001·27701과 PCI-DSS 등 정보보호 인증체계가 실제 업무에서 작동하도록 관리합니다. 최근에는 ISMS-P 인증과 SOC 2 Type II 검증도 준비하고 있고, 글로벌 사업이 확대되면서 금융기관과 파트너의 보안 실사에도 대응하고 있습니다. 회사의 보안 정책과 기준을 새로운 기술과 업무 환경에 맞게 다듬는 것도 중요한 업무인데요. 최근 사내 AI 에이전트 및 생성형 AI 도입이 늘어나면서, 이를 안전하게 활용하기 위한 보안 가이드를 수립하는 일에도 집중하고 있습니다. 이와 함께 구성원 교육과 보안 상담, 사고 대응 절차 점검 등을 통해 각 조직이 자신의 업무 환경에서 보안을 실천할 수 있도록 돕고 있습니다.
그 안에서 저는 리드로서 회사가 직면한 위험과 규제 요구사항을 파악해 과제의 우선순위를 정하고, 이를 현장에서 실행할 수 있는 정책·절차·기술적 통제로 구체화하는 역할을 맡고 있습니다. 사업·기획·개발 등 여러 조직과 협업하면서 지켜야 할 원칙은 분명히 하되, 사업 목적을 안전하게 구현할 수 있는 현실적인 방법을 함께 찾고 있고요. 요즘은 개인정보가 수집되고 이용된 뒤 파기되기까지의 생애주기 전체를 살펴보며, 데이터 보호 체계를 더욱 정교하게 개선하는 데 가장 많은 시간을 쓰고 있습니다. 개인정보가 어디에서 어떤 목적으로 활용되는지 파악하고, 필요한 범위에서 안전하게 사용할 수 있도록 관련 부서와 개선과제를 발굴하고 실행하고 있습니다.
새로운 서비스는 기획 단계부터 함께 검토한다고 하셨습니다. 대표적인 사례가 있다면요.
온프레미스 환경의 센트비 서비스를 AWS로 전환한 프로젝트입니다. 저는 전환 초기부터 아키텍처와 데이터 흐름을 분석하고 보안 요구사항을 정의하는 역할을 맡아 프로젝트 전반에 참여했습니다. 접근권한을 꼭 필요한 범위로 제한하고 중요 데이터를 안전하게 보호하는 건 기본이고요. 여기에 보안 기록과 이상 징후까지 확인할 수 있는 기준을 만들어 설계 단계부터 반영했습니다. 장애 발생에 대비한 백업·복구 체계와 개인정보 보호조치도 함께 검토했고요.
그리고 금융 클라우드 관련 규제를 해석해 기술 요건과 보고 절차로 구체화하고, 전환 전에 반드시 반영할 사항과 운영 과정에서 개선할 과제를 나눠 이행 상황까지 점검했습니다. 이를 통해 보안을 시스템 구축 이후에 덧붙이는 요소가 아니라, 클라우드 전환의 주요 설계 원칙으로 삼을 수 있었고, 필요한 클라우드 컴퓨팅 서비스 이용 보고도 계획대로 마쳤습니다. 정보보안팀이 단순한 검토자를 넘어, 기술과 규제를 연결해 프로젝트의 안전한 방향을 제시한 사례였다고 생각합니다.
“인증서 한 장을 얻는 것보다, 결제보안 요건이 일상적인 업무와 시스템 안에서 계속 작동하게 만들었다는 점에서 더 큰 보람을 느꼈습니다.”
센트비의 보안 체계를 만들어온 일 중 가장 기억에 남는 하나를 꼽는다면요.
PCI-DSS Level 1 연례 준수 검증을 일회성 대응에서 상시 운영 체계로 전환한 일입니다. PCI-DSS는 비자 다이렉트 기반 카드 송금 기능을 도입하고 운영하기 위해 필요한 결제보안 요건인데요. 당시에는 갱신을 지속적으로 관리할 체계가 자리 잡기 전이라, 정보보안팀이 주관 조직을 맡아 인증 범위와 요구사항부터 다시 정리했습니다. 개발·인프라·PM 등 관련 조직의 역할을 나누고, 필요한 조치와 증적을 일정에 따라 관리할 수 있도록 업무 구조도 새롭게 잡았습니다.
가장 어려웠던 점은 인증 요건을 그대로 전달하는 것이 아니라, 센트비의 서비스와 각 조직의 업무에 맞는 실행 항목으로 바꾸는 일이었습니다. 심사 직전에 자료를 한꺼번에 준비하던 방식에서 벗어나 평소 통제 이행과 증적을 꾸준히 관리하도록 했고, 그 결과 특정 담당자의 경험에 의존하지 않는 운영체계를 만들 수 있었습니다. 인증서 한 장을 얻는 것보다, 결제보안 요건이 일상적인 업무와 시스템 안에서 계속 작동하게 만들었다는 점에서 더 큰 보람을 느꼈습니다.
“국가별 법규를 개별 체크리스트로만 다루기보다 ‘이 데이터는 왜 필요하고, 어디까지 이동하며, 누가 책임지는가’라는 공통 질문으로 풀어가는 것이 일관된 보안 원칙을 만드는 방법입니다.”
국가마다 다른 규제를 하나의 일관된 원칙으로 묶는 일은 어떻게 풀어가시나요.
크로스보더 비즈니스에서 가장 어려운 점은 같은 데이터라도 어느 국가에서, 어떤 목적으로, 누가 처리하느냐에 따라 적용되는 규제와 책임이 달라진다는 것입니다. 모든 국가의 요건을 모든 업무에 똑같이 적용하면 체계가 지나치게 복잡해지고, 반대로 최소한의 기준만 적용하면 중요한 현지 요건을 놓칠 수 있고요. 그래서 센트비 전체에 적용할 공통 원칙을 먼저 세웁니다. 목적에 필요한 정보만 수집하고, 필요한 사람만 접근하며, 데이터가 어디로 이동하고 어떻게 이용되는지 확인할 수 있어야 한다는 원칙입니다. 새로운 서비스를 검토할 때에는 데이터의 처리 목적과 흐름, 관련 주체와 보관 위치를 먼저 파악하고, 국외이전·위탁·제3자 제공 여부를 확인합니다. 공통 기준보다 더 엄격한 국가별 요건은 별도로 추가하고요.
최근 글로벌 파트너와 연계한 디지털자산 기반 서비스를 검토할 때도 마찬가지였습니다. 개인정보가 어느 국가의 어떤 주체를 거치는지 먼저 파악한 뒤에 각 참여자의 책임과 이용자 고지, 데이터 보유기간, 계약상 보호조치 같은 세부 기준들을 하나씩 정리해 나갔죠. 그 결과 서비스 준비 단계에서 필요한 고지와 계약 요건을 반영하고, 파트너별 책임 범위도 보다 명확하게 나눌 수 있었습니다. 결국 국가별 법규를 개별 체크리스트로만 다루기보다 ‘이 데이터는 왜 필요하고, 어디까지 이동하며, 누가 책임지는가’라는 공통 질문으로 풀어가는 것이 일관된 보안 원칙을 만드는 방법이라고 생각합니다.
구성원이 정보보안팀을 먼저 찾는 문화, 어떻게 만들어졌나요.
구성원이 보안팀을 먼저 찾게 하려면, 보안팀이 일을 막는 조직이 아니라 해결을 돕는 조직이라는 신뢰가 필요하다고 생각합니다. 문의가 들어오면 먼저 하려는 일의 목적을 듣고, 반드시 지켜야 할 원칙과 조정할 수 있는 부분을 구분합니다. 법이나 규정만 설명하기보다 고객과 회사에 어떤 위험이 생길 수 있는지 알려드리고, 가능하면 금지 대신 안전한 대안을 함께 찾으려고 합니다. 사내에서 생성형 AI 활용이 늘었을 때도 무조건 사용을 막기보다 입력하면 안 되는 정보, 안전하게 활용할 수 있는 범위, 사전 검토가 필요한 경우를 실제 업무 사례를 중심으로 정리했습니다. 판단이 애매할 때는 정보보안팀과 먼저 상의하도록 안내하고, 우려를 조기에 공유한 구성원에게는 긍정적인 피드백을 전했습니다.
이러한 경험이 쌓이면서 지금은 새로운 서비스나 업무 도구를 검토할 때뿐 아니라, 일상적인 업무에서 작은 보안 우려를 발견했을 때도 구성원들이 자연스럽게 정보보안팀을 찾습니다. 이러한 문화는 한 번의 교육이나 캠페인으로 만들어지기보다, 보안팀이 구성원의 문의에 답하고 실질적인 해결책을 제시하는 경험이 반복되면서 자리 잡는다고 생각합니다. 정보보안을 업무를 막는 제약이 아니라, 더 안전하게 추진하기 위해 함께 논의해야 할 과정으로 받아들이는 문화가 형성된 것이 가장 의미 있는 성과입니다.
‘자리를 비워도 흔들리지 않는 체계’라는 리더십, 그 출발이 궁금합니다.
해병대 정보통신장교로 처음 부임했을 때, 지휘관의 질문에 제대로 답하지 못한 적이 있습니다. 이후 약 3개월 동안 관할 군사 지역을 직접 다니며 감시장비와 통신체계, 암호장비의 배치와 운영 현황을 확인하고 문서화했습니다. 반복되는 이슈에는 누구나 같은 기준으로 대응할 수 있도록 일일 보고체계와 대응 절차를 마련했고, 그 결과 반복되던 장애도 크게 줄었습니다. 전문성은 현장을 깊이 이해하는 데서 시작되지만, 좋은 리더십은 개인의 지식과 경험을 조직의 공통 기준과 반복 가능한 시스템으로 남기는 데서 완성된다는 걸 그때 배웠습니다.
지금도 중요한 판단 기준과 업무 과정은 문서로 남기고, 인증이나 감사 대응처럼 반복되는 업무는 일정과 체크리스트, 역할을 명확히 해 관리합니다. 업무의 배경과 판단 근거도 팀원들과 공유해 지식과 역할이 특정인에게만 집중되지 않도록 하고 있습니다. 리더가 자리를 비워도 팀이 같은 기준으로 판단하고 운영될 수 있도록, 개인의 경험을 팀의 역량과 시스템으로 바꾸는 것이 제가 생각하는 좋은 리더십입니다.
“보안을 특정 팀이 혼자 감당하는 책임이 아니라, 모든 구성원이 함께 지켜야 할 일로 받아들이게 하는 것.
그것이 센트비의 안전을 지속시키는 힘입니다.”
잘 될 땐 티가 안 나는 일이죠. 그런 일을 오래 해오며 느끼는 보람이 있다면요.
보안 업무의 성과는 위험이 전혀 없는 상태를 만드는 데 있기보다, 위험을 미리 줄이고 문제가 생겨도 고객과 서비스에 미치는 영향을 최소화하며 빠르게 회복할 수 있는 상태를 만드는 데 있다고 생각합니다. 고객이 평소처럼 송금하고 서비스가 안정적으로 이어지는 일상이야말로 보안 업무의 성과라고 생각합니다. 그 일상 뒤에는 지속적인 점검과 대응 준비가 쌓여 있죠. 우리가 마련한 안전장치가 실제로 작동하거나, 구성원들이 작은 이상을 먼저 발견해 공유하는 모습을 볼 때 가장 큰 보람을 느낍니다.
모든 위험을 완벽하게 없앨 수는 없습니다. 그래서 작은 신호를 놓치지 않고 고객과 서비스에 미칠 영향을 기준으로 중요한 위험부터 살핍니다. 판단 근거와 대응 절차를 남기고 부족한 부분을 계속 개선하면서, 문제가 생겨도 흔들리지 않고 회복할 수 있는 힘을 키우는 것이 중요합니다. 이런 회복탄력성을 특정 팀의 역량이 아니라 조직 전체의 습관과 체계로 만드는 것이 센트비의 안전을 오래 지키는 방법이라고 생각합니다.
기준이 아직 없는 새로운 기술은 어떤 순서로 판단하시나요.
스테이블코인과 같은 디지털자산 기반 서비스나 사내 AI 활용처럼, 기존 기준만으로 판단하기 어려운 영역이 계속 등장하는데요. 이런 기술이나 서비스를 검토할 때에는 기술 자체보다 먼저 ‘우리가 왜 사용하려는지’를 확인합니다. 해결하려는 문제와 이용자, 입력되는 데이터와 전달 경로, 결과가 어디에 활용되는지를 먼저 파악합니다. 목적과 데이터 흐름을 알아야 필요한 규제를 찾고, 보안 수준도 적절하게 정할 수 있기 때문입니다.
그다음 법령과 감독기관의 가이드, 국제표준 등 근거가 분명한 자료를 중심으로 명확한 의무와 아직 해석이 필요한 부분을 구분합니다. 모든 위험에 동일한 통제를 적용하는 것이 항상 최선이라고 생각하지는 않습니다. 결국 중요한 것은 복잡한 규제와 추상적인 위험을 ‘지금 우리에게 무엇이 필요하고, 어느 수준까지 적용해야 하는가’라는 실행 가능한 기준으로 바꾸는 일인데요. 데이터의 민감성과 사고 발생 시 영향, 외부 전송 여부 등을 기준으로 위험을 살펴보고, 판단이 어려운 경우에는 처음부터 전면 도입하기보다 범위와 데이터를 제한해 작은 단위로 검증합니다. 이 과정에는 사업·개발·법무 관련 조직도 함께 참여하고요.
사내 AI 활용 기준을 마련할 때도 어떤 정보를 입력할 수 있는지, 데이터가 외부에 저장되거나 학습에 이용되는지, AI 에이전트가 어떤 시스템과 데이터에 접근해 어디까지 업무를 수행할 수 있는지를 먼저 확인했습니다. 이를 바탕으로 금지할 방식과 조건부 허용 범위, 사전 검토가 필요한 경우를 구분해 실제 가이드와 절차로 만들었습니다. 판단할 때는 '목적에 필요한 최소한의 데이터와 권한만 허용한다'는 점을 우선순위에 둡니다. 또 중요한 결정에는 반드시 사람이 관여해야 하고, 문제가 생기면 언제든 추적하고 수정할 수 있어야 한다는 원칙을 가장 중요하게 봅니다. 처음부터 완벽한 답을 만들기보다 원칙을 세운 뒤 실제 운영 결과에 따라 지속적으로 보완해가는 편입니다. 기준이 없는 영역을 센트비 환경에 맞는 프로세스로 만들어가는 과정은 가장 어렵지만, 그래서 가장 흥미롭습니다.
“좋은 정보보안은 회사의 성장을 늦추는 장벽이 아니라, 고객과 파트너의 신뢰를 지키면서 구성원들이 안심하고 새로운 일을 시도할 수 있도록 돕는 기반입니다.”
정보보안 담당자로서 ‘일을 잘한다’는 건 어떤 것일까요.규정을 많이 알고 위험을 많이 지적하는 것이 아니라, 조직이 더 안전한 판단을 내릴 수 있도록 돕는 것이라고 생각합니다. 사업과 기술의 목적을 이해하고 중요한 위험을 가려낸 뒤, 복잡한 규제와 보안 요건을 구성원들이 이해하고 실행할 수 있는 기준으로 바꿔야 합니다. 지켜야 할 원칙은 분명히 하되, 모든 시도를 막기보다 목적을 달성할 수 있는 안전한 방법도 함께 제시해야 하고요.
제가 생각하는 좋은 정보보안은 회사의 성장을 늦추는 장벽이 아니라, 고객과 파트너의 신뢰를 지키면서 구성원들이 안심하고 새로운 일을 시도할 수 있도록 돕는 기반입니다. 보안이 특정 전문가에게만 의존하지 않고 구성원의 업무 방식과 회사의 시스템 안에서 자연스럽게 작동하도록 만드는 것, 그것이 정보보안 담당자로서 일을 잘한다는 의미라고 생각합니다.
