(주)HFC컨설팅

납품한 데이터가 국가 곳간으로 간다 - AI허브 제공 의무는 누구의 과업인가

HFC 이슈 브리핑 · Brief 36납품은 끝이 아니다.데이터는 곳간으로 간다.납품한 데이터가 국가 곳간으로 간다 - AI허브 제공 의무는 누구의 과업인가 · HFC Consulting2026년 10월 13일 화요일, 국무회의. 두 건의 법 개정안이 통과됐다. 하나는 AI기본법, 하나는 데이터산업법이다. 과기정통부 발표에 따르면 핵심은 한 문장으로 줄어든다. 정부사업으로 구축·산출된 AI 학습용데이터는 국가 플랫폼 'AI허브'에 연계·제공해야 한다.지금까지 데이터 구축 사업의 끝은 검수와 납품이었다. 이제 납품된 데이터에 다음 행선지가 생겼다. 발주기관과 수급인 모두에게, 계약서가 다루지 않던 구간이다.이슈 요약 - 무엇이 의무가 됐나개정 AI기본법은 정부사업 수행자가 그 사업에서 구축·산출한 AI 학..

PMO 실전 노트 · Note 37밤은 끝났다.배치는 끝나지 않았다.배치는 아침에도 끝나지 않았다 · HFC Consulting통합테스트 3주차, 아침 9시의 상황실. 모니터의 진행률은 71%에 멈춰 있었다. 밤 10시에 시작한 야간 배치였다. 현업의 조회 화면은 잠겨 있었고, 전화는 울리기 시작했다.장면한 유통 기업의 기간계 재구축 사업. 개발기 데이터로는 6시간이면 끝나던 일괄 집계 배치가, 운영 데이터 전수를 투입하자 14시간을 넘겼다. 수행사 PL이 먼저 말했다. "요구사항정의서에 배치 완료 시한은 없습니다." 발주 담당자가 받았다. "업무 시작 전에 끝나는 건 당연한 것 아닙니까."양쪽이 각자의 문서를 뒤졌다. RFP, 제안서, 요구사항정의서, 검수기준서. 배치 윈도라는 단어는 어디에도 없었다...

PMO 실전 노트 · Note 36시스템은 인계되었다.지능은 인계되지 않았다.납품 목록에 프롬프트는 없었다 · HFC Consulting운영 이관 2주 전이었다. 인수인계 회의 테이블에 산출물 목록이 펼쳐져 있었다. 설계서, 소스, 테스트 결과서. 목록의 모든 줄에 확인 표시가 붙어 있었다. 운영사 담당자가 목록에 없는 것을 물었다.장면한 공공기관의 상담 지원 시스템 구축 사업. 핵심 기능은 생성형 AI가 상담 답변 초안을 만드는 것이었고, 품질은 안정권에 들어 있었다. 운영사 담당자가 물었다. "프롬프트 원본은 어느 산출물에 있습니까. 답변 품질을 확인하실 때 쓰신 평가 데이터는 어디 있습니까."수행사 PL이 잠시 머뭇거렸다. "프롬프트는 담당 개발자의 작업 공간에 있습니다. 평가 데이터는 엑셀로 관리..

PMO 실전 노트 · Note 35시연은 통과했다.재현은 실패했다.같은 질문에 다른 답이 돌아왔다 · HFC Consulting검수 2주차였다. 한 달 전 시연에서 박수를 받았던 기능이, 검수 테이블 위에서 멈춰 섰다. 기능은 죽지 않았다. 다만 어제의 답과 오늘의 답이 달랐다.장면한 공공기관의 민원 처리 시스템 구축 사업. 생성형 AI가 민원 회신문 초안을 작성하는 기능이 핵심 과업이었다. 검수 담당자가 시연 때와 같은 민원 사례를 입력했다. 답이 달랐다. 문장 구조가 달랐고, 인용한 근거 조항이 달랐다. 세 번째 입력에서는 시연 때 없던 안내 문구가 붙어 나왔다.수행사 PM이 말했다. "생성형 모델의 특성입니다. 오류가 아닙니다." 검수 담당자가 물었다. "그러면 무엇이 합격입니까." 회의실이 조용해..

HFC 이슈 브리핑 · Brief 35말은 검사받아 왔다.행동은 이제부터다.AI의 말이 아니라 행동을 검사한다 - 에이전트 평가기준은 검수기준이 된다 · HFC Consulting정비소의 리프트가 올라간다. 겉보기에 멀쩡한 차가 공중에 뜬다. 정비사는 보닛을 열지 않는다. 바닥을 본다. 문제는 대개 거기에 있다.10월 7일, 금융 보안의 검사대에 AI 에이전트가 올랐다. 이번에 보는 곳은 답변이 아니다. 행동이다.평가가 실행 계층으로 내려왔다금융보안원은 2026년 10월 7일 「금융분야 AI 에이전트 보안 평가기준(안)」을 마련했다고 발표했다. 발표에 따르면 기준은 6개 영역 17개 점검 항목으로 구성되며, 금융회사 AI 레드티밍에 적용된다. 핵심은 점검 범위의 이동이다. 지금까지의 레드티밍은 모델 계층..

HFC 이슈 브리핑 · Brief 34매년 점검은 받았다.뚫린 문은 목록에 없었다.점검 목록에 없는 문이 뚫렸다 - 취약점 점검의 범위는 누가 정하는가 · HFC Consulting은행은 매년 취약점 점검을 받았다. 보고서에 큰 문제는 없었다. 2026년 10월 첫 주, 해커는 보고서에 나오지 않는 문을 열었다. 대출모집인용 서비스. 직원용 모바일 시스템. 금융거래가 일어나지 않아 점검 목록에 오르지 않은 곳들이었다.공격자는 목록을 읽지 않았다. 공격 표면을 읽었다.이슈 요약 - 금융권 전반을 훑은 AI 추정 공격서울신문 보도에 따르면 10월 초 은행·증권·카드·보험·인터넷전문은행 등 금융권 전반에서 비정상 접근이 확인됐다. 시도된 IP는 33개, 중복을 제거하면 28개. 미국·일본·홍콩·싱가포르 등 1..

AI 시대의 보안 발주 가이드 · Ep.08성에는 완공일이 없다.계약도 그래야 한다.지키는 성은 계약으로 쌓인다 · HFC Consulting성은 전쟁이 끝나도 보수된다. 성벽의 틈은 평화로운 해에 메워지고, 망루의 교대는 적이 보이지 않는 밤에도 돈다. 교대가 멈춘 밤을 적이 고른다.정보시스템의 보안이 다른 과업과 구분되는 단 하나의 성질이 이것이다. 검수일에 끝나지 않는다. 기능은 오픈과 함께 완성되지만 방어는 오픈과 함께 시작되고, 상대는 계약 기간을 읽지 않는다. 이 완결편은 앞의 일곱 편을 하나의 생애주기로 묶는 자리다.일곱 편의 회수보안 사고의 뿌리는 발주 당일에 있었다(1화). 그래서 요구를 항목으로 적었고(2화), 인증서의 효력 범위를 계약의 언어로 번역했으며(3화), AI가 연 새 공격면..

AI 시대의 보안 발주 가이드 · Ep.07계약서에 없는 회사의 코드가시스템 안에 있었다.공급망이라는 뒷문 · HFC Consulting2021년 12월의 어느 밤, 전 세계의 보안 조직이 동시에 같은 질문을 받았다. 우리 시스템 어딘가에 Log4j가 있는가.답할 수 있는 조직과 없는 조직으로 세상이 갈렸다. 앞의 조직은 그 주에 조치를 끝냈고, 뒤의 조직은 무엇을 조치해야 하는지 찾는 데 몇 주를 썼다. 문제의 라이브러리는 어떤 계약서에도 당사자로 등장하지 않았다. 그런데 거의 모든 시스템 안에 있었다. 공급망은 그렇게 작동한다. 정문의 경비가 아무리 엄해도, 자재와 함께 성 안으로 들어온 것은 검문을 받지 않는다.공급망 위험의 세 갈래발주자의 시야에서 보면 공급망의 위험은 크게 세 갈래로 들어온다. ..

AI 시대의 보안 발주 가이드 · Ep.06침해는 새벽에 왔다.계약서는 말이 없었다.사고는 온다 · HFC Consulting사고 당일의 첫 한 시간에 결정해야 할 것들이 있다. 누가 지휘하는가. 언제 어디에 신고하는가. 서버를 내릴 것인가, 증거를 위해 둘 것인가. 수행사 인력은 어디까지 협조하는가. 그리고 이 모든 비용은 누구의 지갑에서 나가는가.이 결정들을 그 새벽에 처음 논의하는 조직과, 계약서를 펴서 읽는 조직이 있다. 전자의 회의는 책임의 소재를 다투느라 길어지고, 후자의 회의는 절차를 확인하고 끝난다. 격차는 그날 벌어지는 것이 아니다. 발주 때 벌어져 있던 것이 그날 드러날 뿐이다.통지의 시계는 법이 돌린다침해사고와 개인정보 유출에는 법정 신고·통지 의무가 붙는다. 그리고 그 시한은 사고의..

AI 시대의 보안 발주 가이드 · Ep.05취약점은 발견됐다.조치 기한은 어디에도 없었다.숫자로 적는 방어 · HFC Consulting모의해킹 보고서가 도착한다. 치명 3건, 높음 7건, 중간 이하 스물몇 건. 수행사의 답변은 정중하고 성실하다. "확인했습니다. 조치하겠습니다."언제까지. 그 질문에 계약서가 침묵하면, 치명 3건은 다음 분기 회의록에도 같은 모습으로 앉아 있다. 독촉은 기록되지 않고, 기록되지 않은 독촉은 분쟁에서 존재하지 않는다. 방어는 상태가 아니라 속도이고, 속도는 숫자로만 계약에 들어간다.방어는 상태가 아니라 속도다다행히 이 과업에는 출발점이 마련되어 있다. 취약점에는 공인된 눈금이 있다. FIRST가 운영하는 CVSS는 취약점의 특성을 심각도 점수로 환산하는 공개 체계이고, 현..