토스 타이탄
토스 타이탄(Toss TITAN, Toss Infrastructure Trusted Access Networking)은 토스 운영사 비바리퍼블리카가 자체 개발한 SASE(Secure Access Service Edge) 기반의 사내 보안 접속 솔루션으로, 사용자와 기기의 상태를 지속적으로 검증하는 제로 트러스트 방식으로 사설망·인터넷 접근과 데이터 유출 방지 등을 통제한다.[1]
TITAN은 Toss Infrastructure Trusted Access Networking의 머리글자를 딴 명칭이다. 토스가 기존에 사용하던 지스케일러(Zscaler)의 상용 SASE 솔루션을 자체 시스템으로 대체하기 위해 개발했다.[2]
토스는 기존 상용 SASE를 운영하면서 기능 확장성, 자사 환경에 맞춘 장애 대응 및 비용 등의 한계를 인식해 자체 개발을 추진했다고 밝혔다. TITAN에는 사설망 접근(Private Access), 인터넷 접근(Internet Access), 기기 보안 상태 확인(Device Posture), 데이터 유출 방지(Data Loss Prevention, DLP) 등 기존 상용 제품에서 사용하던 핵심 기능이 자체 구현됐다.[3]
2026년 8월 기준 비바리퍼블리카에서는 기존 시스템을 TITAN으로 대체하는 작업을 완료하고 전사에 적용한 상태이며, 기능과 안정성을 보완한 뒤 토스뱅크, 토스증권, 토스인슈어런스 등 다른 계열사로 적용 범위를 확대할 계획이다.[4]
| 기능 | 설명 |
|---|---|
| Private Access | 권한이 있는 사용자가 토스 내부의 사설 서비스와 인프라에 접근할 수 있도록 제어한다. |
| Internet Access | 사용자의 인터넷 접근을 보안 정책에 따라 통제한다. |
| Device Posture | 접속 기기의 보안 상태를 확인하고 기기 상태를 접근 정책의 판단 조건으로 이용한다. |
| Data Loss Prevention | 중요 데이터의 외부 유출을 탐지·통제하는 DLP 기능을 제공한다. |
| 제로 트러스트 접근 제어 | 사내 사용자나 등록된 기기라는 사실만으로 접근을 신뢰하지 않고 사용자 신원과 기기 상태 등을 기반으로 접근 권한을 판단한다. |
토스의 공식 자료에서는 이 기능들이 기존 상용 SASE와 비교할 수 있는 핵심 기능으로 자체 구현되었다고 설명한다.[5]
TITAN은 전통적으로 회사 내부망에 접속했다는 이유만으로 사용자를 신뢰하는 방식 대신 사용자와 기기를 검증한 뒤 필요한 자원에 대한 접근을 허용하는 제로 트러스트 모델을 적용한다.
이는 ZTNA(Zero Trust Network Access)의 개념을 토스의 내부 환경에 맞게 직접 구현한 형태이다. 토스는 2025년 보안 콘퍼런스 GUARDIANS 25에서 기존 상용 솔루션에 의존하던 Zero Trust Network Access의 정책 엔진을 내재화하는 과정과 TITAN의 구조를 공개했다.[6]
일반적인 동작은 다음과 같이 정리할 수 있다.
- 사용자가 내부 서비스 또는 네트워크 자원에 대한 접근을 요청한다.
- TITAN이 사용자 신원과 접속 기기의 보안 상태 등 접근 조건을 확인한다.
- 정책 엔진이 해당 사용자가 접근 대상에 필요한 권한을 보유하는지 판단한다.
- 허용된 접근에 대해서만 대상 자원과의 통신 경로를 제공한다.
- 접근 상태와 기기 상태가 변경될 경우 정책에 따라 접근을 다시 통제할 수 있다.
이 방식은 네트워크의 위치보다 신원과 기기 상태, 접근 정책을 중심으로 보안을 판단한다는 점에서 제로 트러스트의 원칙을 따른다.[7]
토스가 GUARDIANS 25에서 공개한 자료에 따르면 TITAN 서버의 네트워크 처리에는 wireguard-go와 gVisor Netstack이 사용된다. gVisor Netstack를 TUN 백엔드로 이용하여 TCP·UDP 등의 네트워크 트래픽을 처리하는 구조가 소개됐다.[8]
이를 통해 접근 제어에 필요한 네트워크 계층과 정책 엔진을 토스가 직접 통제할 수 있도록 구성했다. 단순한 VPN 대체를 넘어 사용자·기기 검증과 접근 정책을 네트워크 연결 과정에 결합하는 것이 특징이다.
토스가 TITAN을 직접 개발한 배경에는 기존 상용 솔루션에 대한 다음과 같은 요구가 있었다.
- 토스 환경에 필요한 기능을 보다 자유롭게 확장
- 장애 발생 시 내부에서 직접 원인을 파악하고 대응
- 외부 제품에 대한 의존도 축소
- 상용 SASE 사용에 따른 비용 구조 개선
- 새로운 보안 위협 발생 시 내부 요구사항에 맞추어 신속하게 기능 변경
전자신문은 토스가 지스케일러 제품을 TITAN으로 전환했으며, 자체 개발을 통해 보안 인프라의 핵심 영역에 대한 통제권을 내부로 가져오는 방향으로 전환하고 있다고 보도했다.[9]
| 구분 | 기존 환경 | TITAN |
|---|---|---|
| 구현 방식 | 외부 보안업체의 상용 SASE 사용 | 토스 자체 개발 |
| 기존 주요 제품 | Zscaler | TITAN |
| 사설망 접근 | 지원 | 자체 구현 |
| 인터넷 접근 | 지원 | 자체 구현 |
| 기기 상태 점검 | 지원 | 자체 구현 |
| 데이터 유출 방지 | 지원 | 자체 구현 |
| 정책·기능 개발 | 공급업체 기능과 제품 로드맵에 영향 | 토스 내부 요구에 따라 개발 가능 |
| 장애 대응 | 공급업체와의 협력이 필요할 수 있음 | 핵심 기술과 운영을 내부에서 직접 담당 |
TITAN 도입은 단순히 특정 제품의 교체라기보다 토스가 SASE와 제로 트러스트 접근 제어의 핵심 기술을 자체 역량으로 운영하려는 내재화 사례에 해당한다.
토스가 공개한 제8차 데이터보호 준법 자문위원회 자료에 따르면 TITAN은 비바리퍼블리카 전사에 도입됐으며 기존 상용 시스템의 대체 작업도 완료됐다.[10]
향후에는 토스뱅크, 토스증권 등 토스 계열사로 적용 범위를 확대할 예정이다. GUARDIANS 25 자료에서도 토스뱅크·토스증권·토스플레이스 등 다른 계열사와 망분리 환경으로 TITAN을 확대하는 방향이 제시됐다.[11]
상용 보안 제품을 자체 솔루션으로 대체하면 기능 변경과 장애 대응에 대한 통제력을 높일 수 있는 반면 제품의 개발·유지보수·품질 검증 역시 직접 책임져야 한다.
토스 데이터보호 준법 자문위원회는 TITAN이 안정적으로 정착하기 위해서는 상용 제품에 준하는 품질 검증, 철저한 장애 대응, 백업 환경에 대한 보안성 점검이 필요하다고 제언했다.[12]
따라서 TITAN은 기술 내재화를 통한 유연성이 장점인 동시에, 상용 보안 제품 사업자가 담당하던 지속적인 보안 업데이트와 가용성 확보, 장애 복구 등을 내부 조직이 책임져야 하는 구조이기도 하다.
- ↑ 비바리퍼블리카, 「데이터보호 준법 자문위원회 제8차 회의」, https://static.toss.im/assets/homepage/privacy.toss.im/%5B%ED%9A%8C%EC%9D%98%EB%A1%9D%5D_%EB%8D%B0%EC%9D%B4%ED%84%B0%EB%B3%B4%ED%98%B8_%EC%A4%80%EB%B2%95_%EC%9E%90%EB%AC%B8%EC%9C%84%EC%9B%90%ED%9A%8C_%EC%A0%9C8%EC%B0%A8_%ED%9A%8C%EC%9D%98.pdf, 2026년 8월 11일 확인.
- ↑ 전자신문, 「[단독] 토스 보안솔루션, 외산 지웠다」, https://www.etnews.com/20260810000333, 2026년 8월 11일 확인.
- ↑ 비바리퍼블리카, 「데이터보호 준법 자문위원회 제8차 회의」, https://static.toss.im/assets/homepage/privacy.toss.im/%5B%ED%9A%8C%EC%9D%98%EB%A1%9D%5D_%EB%8D%B0%EC%9D%B4%ED%84%B0%EB%B3%B4%ED%98%B8_%EC%A4%80%EB%B2%95_%EC%9E%90%EB%AC%B8%EC%9C%84%EC%9B%90%ED%9A%8C_%EC%A0%9C8%EC%B0%A8_%ED%9A%8C%EC%9D%98.pdf, 2026년 8월 11일 확인.
- ↑ 전자신문, 「[단독] 토스 보안솔루션, 외산 지웠다」, https://www.etnews.com/20260810000333, 2026년 8월 11일 확인.
- ↑ 비바리퍼블리카, 「데이터보호 준법 자문위원회 제8차 회의」, https://static.toss.im/assets/homepage/privacy.toss.im/%5B%ED%9A%8C%EC%9D%98%EB%A1%9D%5D_%EB%8D%B0%EC%9D%B4%ED%84%B0%EB%B3%B4%ED%98%B8_%EC%A4%80%EB%B2%95_%EC%9E%90%EB%AC%B8%EC%9C%84%EC%9B%90%ED%9A%8C_%EC%A0%9C8%EC%B0%A8_%ED%9A%8C%EC%9D%98.pdf, 2026년 8월 11일 확인.
- ↑ 비바리퍼블리카, 「Zero Trust Network Access 내재화」, https://static.toss.im/GUARDIANS25/B-7.Zero%20Trust%20Network%20Access%20%EB%82%B4%EC%9E%AC%ED%99%94_%EA%B9%80%EC%9E%AC%EC%84%B1%26%EC%9E%A5%EC%B0%BD%EC%84%9C.pdf, 2026년 8월 11일 확인.
- ↑ 전자신문, 「[단독] 토스 보안솔루션, 외산 지웠다」, https://www.etnews.com/20260810000333, 2026년 8월 11일 확인.
- ↑ 비바리퍼블리카, 「Zero Trust Network Access 내재화」, https://static.toss.im/GUARDIANS25/B-7.Zero%20Trust%20Network%20Access%20%EB%82%B4%EC%9E%AC%ED%99%94_%EA%B9%80%EC%9E%AC%EC%84%B1%26%EC%9E%A5%EC%B0%BD%EC%84%9C.pdf, 2026년 8월 11일 확인.
- ↑ 전자신문, 「[단독] 토스 보안솔루션, 외산 지웠다」, https://www.etnews.com/20260810000333, 2026년 8월 11일 확인.
- ↑ 비바리퍼블리카, 「데이터보호 준법 자문위원회 제8차 회의」, https://static.toss.im/assets/homepage/privacy.toss.im/%5B%ED%9A%8C%EC%9D%98%EB%A1%9D%5D_%EB%8D%B0%EC%9D%B4%ED%84%B0%EB%B3%B4%ED%98%B8_%EC%A4%80%EB%B2%95_%EC%9E%90%EB%AC%B8%EC%9C%84%EC%9B%90%ED%9A%8C_%EC%A0%9C8%EC%B0%A8_%ED%9A%8C%EC%9D%98.pdf, 2026년 8월 11일 확인.
- ↑ 비바리퍼블리카, 「Zero Trust Network Access 내재화」, https://static.toss.im/GUARDIANS25/B-7.Zero%20Trust%20Network%20Access%20%EB%82%B4%EC%9E%AC%ED%99%94_%EA%B9%80%EC%9E%AC%EC%84%B1%26%EC%9E%A5%EC%B0%BD%EC%84%9C.pdf, 2026년 8월 11일 확인.
- ↑ 비바리퍼블리카, 「데이터보호 준법 자문위원회 제8차 회의」, https://static.toss.im/assets/homepage/privacy.toss.im/%5B%ED%9A%8C%EC%9D%98%EB%A1%9D%5D_%EB%8D%B0%EC%9D%B4%ED%84%B0%EB%B3%B4%ED%98%B8_%EC%A4%80%EB%B2%95_%EC%9E%90%EB%AC%B8%EC%9C%84%EC%9B%90%ED%9A%8C_%EC%A0%9C8%EC%B0%A8_%ED%9A%8C%EC%9D%98.pdf, 2026년 8월 11일 확인.
