기업의 사이버 보안은 왜 ‘사후 대응’에서 ‘선제 방어’로 바뀌고 있는가

 

 

 

IT 이슈

 

기업의 사이버보안은 오랫동안 하나의 기본적인 공식에 따라 운영되어 왔습니다.

방화벽과 백신, 보안관제 시스템을 운영하고 이상 징후를 탐지한 다음 문제가 발생하면 대응하는 방식입니다.

물론 이러한 체계는 지금도 중요합니다.

하지만 최근 사이버 공격 환경은 과거와 크게 달라지고 있습니다.

공격자는 AI를 활용해 취약점을 더 빠르게 찾고, 피싱이나 사회공학 공격을 더욱 정교하게 만들고 있습니다. 딥페이크를 이용한 음성·영상 사칭도 현실적인 보안 문제가 되고 있으며, 자율적으로 행동하는 AI 에이전트가 기업 시스템과 데이터에 접근하면서 새로운 보안 위험도 등장하고 있습니다.

이에 따라 기업 보안의 핵심 질문도 바뀌고 있습니다.

“공격이 발생하면 얼마나 빨리 대응할 것인가?”에서 “공격이 발생하기 전에 얼마나 위험을 줄일 수 있는가?”로 변화하고 있는 것입니다.

 

사이버 공격의 속도가 기업의 대응 속도를 앞서가기 시작했다

과거의 사이버 공격은 공격자가 정보를 수집하고 취약점을 찾은 다음 침투하는 데 상당한 시간과 전문성이 필요했습니다.

하지만 AI 기술이 공격에 활용되면서 이러한 과정의 상당 부분이 자동화될 가능성이 커지고 있습니다.

공격자가 취약점을 찾는 데 필요한 시간과 기술적 진입장벽이 낮아지고 있기 때문입니다.

최근 Gartner는 AI가 공격자의 취약점 탐색 능력을 크게 높이고 있기 때문에 기존의 탐지와 대응만으로는 충분하지 않으며, 자동화된 방어와 예측형 위협정보 등 선제적 사이버보안 역량을 확보해야 한다고 강조했습니다.

결국 공격자가 빠르게 움직이는 환경에서는 방어자가 공격이 발생한 뒤에만 움직이는 구조 자체가 불리할 수밖에 없습니다.

이것이 기업 보안이 Reactive Security에서 Proactive 또는 Preemptive Security로 이동해야 하는 이유입니다.

 

‘보안관제’만 잘하면 안전하다는 생각은 이제 부족하다

기존 기업의 보안체계에서는 보안관제센터가 매우 중요한 역할을 담당했습니다.

로그를 수집하고 이상 징후를 탐지하며 공격이 발생했을 때 침해사고를 분석하고 대응하는 구조입니다.

하지만 이러한 체계에는 구조적인 한계가 있습니다.

이미 공격이 시작된 이후에 탐지하는 경우가 많다는 것입니다.

공격자가 계정을 탈취하고 내부 시스템에 접근한 뒤 이상 행동이 발견된다면 이미 일정 수준의 피해가 발생했을 가능성이 있습니다.

따라서 앞으로의 보안체계는 다음과 같이 확장될 필요가 있습니다.

• 취약점을 사전에 발견하고 제거
• 공격 가능성이 높은 경로를 사전에 차단
• 중요 자산과 데이터의 노출 가능성 지속 점검
• 비정상적인 접근권한과 행동을 사전에 제한
• 공격 시 예상되는 피해 범위를 사전에 축소
• 공격 발생 전부터 위협정보를 활용해 방어전략 조정

즉, 보안관제는 앞으로도 중요하지만 그것만으로는 충분하지 않습니다.

기업 보안은 탐지와 대응을 넘어 위험 자체를 줄이는 방향으로 발전해야 합니다.

 

AI는 공격자에게도 강력한 도구가 되고 있다

AI를 기업 보안에 활용하는 방법을 이야기할 때 우리는 흔히 AI 기반 보안관제를 생각합니다.

수많은 로그를 분석하고 이상 행동을 찾아내며 보안 담당자의 업무를 자동화하는 방식입니다.

하지만 중요한 것은 AI가 공격자에게도 똑같이 활용될 수 있다는 점입니다.

공격자는 AI를 이용해 더욱 자연스러운 피싱 메시지를 만들고, 공격 대상에 맞춰 내용을 개인화하며, 취약점을 빠르게 탐색하고, 악성 활동의 일부를 자동화할 수 있습니다.

최근 사이버보안 업계에서 AI 보안이 중요한 이유도 여기에 있습니다.

AI는 단순히 새로운 보안 솔루션을 하나 추가하는 문제가 아니라 공격과 방어의 속도 자체를 바꾸는 기술이기 때문입니다.

따라서 기업은 AI를 단순히 업무 자동화 도구로만 바라볼 것이 아니라 공격 표면과 보안 운영 방식까지 바꾸는 요소로 바라볼 필요가 있습니다.

 

AI 에이전트는 새로운 ‘보안 계정’이 될 수 있다

최근 기업에서 특히 주목해야 할 부분은 AI 에이전트입니다.

기존의 생성형 AI가 질문에 답하거나 콘텐츠를 생성하는 수준이었다면 AI 에이전트는 기업 시스템에 접근해 실제 업무를 수행할 수 있습니다.

예를 들어 데이터를 조회하고, 문서를 작성하고, 이메일을 보내고, 업무 시스템의 정보를 변경하는 등 사람을 대신해 행동할 수 있습니다.

문제는 이러한 AI 에이전트가 사람과 동일한 수준의 권한을 갖게 될 경우입니다.

계정 하나가 침해되었을 때 발생하는 피해 범위가 커질 수 있기 때문입니다.

최근 Gartner는 기업의 AI 에이전트 접근권한 관리가 충분하지 않은 상황을 중요한 사이버보안 위험으로 지적하고 있습니다.

따라서 앞으로는 직원 계정뿐만 아니라 AI 에이전트의 권한도 하나의 보안 자산으로 관리해야 합니다.

• 어떤 AI 에이전트가 존재하는가?
• 어떤 시스템에 접근할 수 있는가?
• 어떤 데이터를 조회할 수 있는가?
• 어떤 업무를 변경할 수 있는가?
• 사람의 승인 없이 실행할 수 있는 업무는 어디까지인가?
• 문제가 발생했을 때 권한을 즉시 차단할 수 있는가?

이러한 질문은 앞으로 IT 보안과 AI 거버넌스가 분리될 수 없는 이유이기도 합니다.

 

딥페이크 시대에는 ‘목소리와 얼굴을 믿는 것’도 위험하다

또 하나 주목해야 할 변화는 딥페이크입니다.

과거에는 이메일이나 문서의 내용이 이상한지 확인하는 방식으로 사회공학 공격을 어느 정도 구분할 수 있었습니다.

하지만 AI를 활용하면 특정 인물의 목소리와 얼굴을 상당히 자연스럽게 재현할 수 있습니다.

실제로 Gartner의 2026년 조사에서는 상당수 CISO가 최근 12개월 동안 음성 또는 영상 통화에서 딥페이크를 이용한 사회공학 공격을 경험했다고 보고했습니다.

이것은 기업의 인증 방식에도 영향을 줍니다.

예를 들어 임원이 전화로 긴급 송금을 지시하거나, 영상회의에서 특정 의사결정을 요청한다고 해서 그것만으로 신원을 신뢰해서는 안 되는 환경이 될 수 있습니다.

앞으로는 단순한 얼굴이나 음성 인식뿐만 아니라 추가 인증, 업무 승인 절차, 거래 맥락, 콘텐츠 출처 등을 함께 확인하는 방식이 필요합니다.

즉, “누가 말했는가?”에서 “정말 그 사람이 맞는가, 그리고 이 행동을 승인할 권한이 있는가?”로 인증의 개념이 확대되고 있습니다.

 

보안의 핵심은 ‘공격을 막는 것’보다 ‘피해 범위를 줄이는 것’이 될 수 있다

아무리 강력한 보안체계를 구축하더라도 모든 공격을 100% 막는 것은 현실적으로 어렵습니다.

그렇다면 기업이 집중해야 할 또 하나의 영역은 공격이 성공했을 때 피해를 얼마나 제한할 수 있는가입니다.

이를 위해서는 최소권한 원칙과 네트워크 분리, 중요 시스템의 접근통제, 데이터 분류, 계정 권한 관리, 백업과 복구체계 등이 중요합니다.

특히 AI 에이전트가 기업 업무에 참여하게 되면 이러한 원칙은 더욱 중요해집니다.

AI가 수행할 수 있는 업무 범위를 명확하게 정의하고, 중요한 작업에는 사람의 승인을 요구하며, 이상 행동이 발생했을 때 즉시 권한을 제한할 수 있어야 합니다.

결국 좋은 보안체계란 단순히 공격을 막는 시스템이 아니라 문제가 발생하더라도 피해가 확산되지 않는 구조를 만드는 것입니다.

 

양자컴퓨팅은 아직 멀었는데 왜 지금 준비해야 하는가

최근 사이버보안에서 또 하나 주목받는 이슈가 바로 Post-Quantum Cryptography, PQC입니다.

PQC는 향후 충분히 강력한 양자컴퓨터가 등장했을 때 기존 암호체계가 공격받을 가능성에 대비해 양자컴퓨터 환경에서도 안전하도록 설계된 암호기술을 의미합니다.

기업 입장에서는 “양자컴퓨터가 아직 상용화되지 않았는데 왜 지금 준비해야 하는가?”라는 의문이 생길 수 있습니다.

하지만 암호체계 전환에는 상당한 시간이 필요합니다.

기업이 어떤 시스템에서 어떤 암호기술을 사용하고 있는지 파악하고, 관련 인증서와 키를 확인하며, 외부 솔루션과 공급망까지 검토해야 하기 때문입니다.

특히 장기간 보관해야 하는 민감정보의 경우 지금 암호화되어 있더라도 미래에 해독될 가능성을 고려해야 합니다.

최근 Gartner는 2027년까지 PQC 파일럿을 시작하지 않는 조직의 경우 전체 전환 비용이 크게 증가할 수 있다고 경고했습니다.

따라서 PQC는 단순한 보안팀의 기술 과제가 아니라 IT 시스템의 장기적인 기술수명과 데이터 보호 전략에 포함해야 하는 과제가 되고 있습니다.

 

기업 보안은 이제 ‘보안팀만의 업무’가 아니다

사이버보안이 어려워지는 또 하나의 이유는 IT 환경 자체가 기업 전체의 업무와 연결되어 있기 때문입니다.

ERP, 그룹웨어, 인사시스템, 생산시스템, 클라우드, SaaS, 모바일 환경 등 대부분의 업무가 네트워크와 시스템을 통해 연결되어 있습니다.

따라서 보안사고가 발생하면 단순히 IT 시스템의 문제가 아니라 업무 중단, 생산 차질, 고객정보 유출, 재무적 손실, 법적 문제, 기업 신뢰도 하락으로 이어질 수 있습니다.

이 때문에 사이버보안은 점점 CISO나 보안팀만의 문제가 아니라 CIO, 경영진, 현업 부서, 인사, 법무, 감사 등 기업 전체가 함께 관리해야 하는 경영 리스크가 되고 있습니다.

보안 수준을 높이는 가장 좋은 방법 중 하나는 보안을 별도의 업무로 분리하는 것이 아니라 기업의 업무 프로세스와 IT 의사결정 안에 보안을 포함시키는 것입니다.

 

선제적 사이버보안을 위한 기업 IT의 변화

그렇다면 기업은 무엇부터 준비해야 할까요?

무조건 새로운 보안 솔루션을 구매하는 것부터 시작할 필요는 없습니다.

오히려 현재의 IT 환경을 다시 점검하는 것이 먼저입니다.

• 첫째, 자산을 파악해야 합니다.
  어떤 시스템과 서버, 데이터, 계정, AI 서비스가 존재하는지 확인해야 합니다.
• 둘째, 권한을 점검해야 합니다.
  사람과 AI 에이전트가 실제로 어떤 시스템과 데이터에 접근할 수 있는지 확인해야 합니다.
• 셋째, 취약점을 지속적으로 관리해야 합니다.
  한 번의 보안점검이 아니라 지속적인 취약점 관리체계를 만들어야 합니다.
• 넷째, 중요 업무를 분리해야 합니다.
  하나의 계정이나 시스템이 침해되더라도 전체 업무로 확산되지 않도록 구조를 설계해야 합니다.
• 다섯째, 사고 대응을 반복적으로 훈련해야 합니다.
  실제 사고가 발생하기 전에 대응 프로세스와 의사결정 체계를 점검해야 합니다.
• 여섯째, 장기적인 암호체계 전환을 준비해야 합니다.
  PQC를 포함해 장기적으로 사용될 시스템의 암호화 기술을 점검해야 합니다.

중요한 것은 보안 솔루션의 숫자가 아니라 기업의 위험을 지속적으로 발견하고 줄이는 운영체계입니다.

 

보안은 ‘사고가 없었다’가 아니라 ‘위험을 얼마나 줄였는가’로 평가해야 한다

기업의 보안 성과를 평가할 때 흔히 “올해 보안사고가 발생하지 않았다”는 결과를 사용합니다.

하지만 이것만으로 보안 수준을 판단하기는 어렵습니다.

보이지 않는 취약점이 존재할 수도 있고, 아직 공격받지 않았을 수도 있기 때문입니다.

앞으로는 보다 선제적인 지표가 필요합니다.

• 중요 취약점의 평균 해결시간
• 미관리 시스템의 비율
• 과도한 권한을 가진 계정의 비율
• AI 에이전트의 권한 관리 수준
• 중요 데이터의 암호화 및 접근통제 수준
• 보안 사고 대응 훈련 결과
• 외부 공급망의 보안 위험 수준
• 중요 시스템의 복구 가능성

이러한 지표를 지속적으로 관리한다면 보안은 사고가 발생한 뒤 평가하는 업무가 아니라 위험을 사전에 관리하는 경영 활동으로 발전할 수 있습니다.

 

이번 이슈에서 얻을 수 있는 인사이트

이번 사이버보안 이슈에서 가장 중요한 변화는 보안의 패러다임 자체가 바뀌고 있다는 점입니다.

과거에는 보안 시스템을 구축하고 공격을 탐지한 다음 대응하는 것이 중심이었다면, 앞으로는 공격자가 무엇을 할 수 있는지를 사전에 예측하고 공격 가능성을 줄이는 것이 더욱 중요해질 것입니다.

특히 AI가 공격과 방어 양쪽에서 활용되면서 보안의 속도와 복잡성이 동시에 증가하고 있습니다.

기업 IT 조직이 주목해야 할 핵심은 다음과 같습니다.

• 보안관제만으로는 충분하지 않다.
• 취약점과 공격 가능성을 사전에 관리해야 한다.
• 직원뿐 아니라 AI 에이전트도 보안 주체로 관리해야 한다.
• 얼굴과 음성만으로 신원을 판단하는 방식에서 벗어나야 한다.
• 공격을 막는 것뿐 아니라 침해 이후 피해 확산을 제한해야 한다.
• PQC와 같은 장기적인 기술 변화도 지금부터 준비해야 한다.
• 사이버보안을 IT 부서가 아닌 기업 전체의 경영 리스크로 바라봐야 한다.

결국 앞으로의 보안 경쟁력은 가장 많은 보안 솔루션을 가진 기업이 아니라 자신의 IT 환경에서 어디가 위험한지 알고, 위험이 현실화되기 전에 줄일 수 있는 기업에서 만들어질 가능성이 높습니다.

 

마무리

사이버 공격은 계속해서 발전하고 있습니다.

AI는 공격자의 능력을 높이고 있고, 딥페이크는 기존의 신원확인 방식을 흔들고 있으며, AI 에이전트는 새로운 형태의 시스템 접근 주체가 되고 있습니다.

여기에 앞으로는 양자컴퓨팅이라는 장기적인 기술 변화까지 고려해야 합니다.

이러한 환경에서 기업이 과거와 같은 방식으로 보안을 운영한다면 공격자의 변화 속도를 따라가기 어려울 수 있습니다.

따라서 기업 IT 조직은 이제 “사고가 발생하면 어떻게 대응할 것인가?”라는 질문을 넘어 “사고가 발생하기 전에 무엇을 할 수 있는가?”를 고민해야 합니다.

보안은 더 이상 방화벽과 백신, 보안관제 시스템만의 문제가 아닙니다.

IT 아키텍처, 데이터, 계정과 권한, AI 활용, 업무 프로세스, 공급망, 시스템 운영, 경영 의사결정까지 연결된 하나의 기업 운영체계가 되었습니다.

결국 미래의 사이버보안 경쟁력은 공격을 잘 막는 기업을 넘어 공격자가 공격하기 어려운 구조를 미리 만들어 놓는 기업에서 만들어질 것입니다.

기업 IT의 보안 전략도 이제 사고 대응에서 선제 방어로 한 단계 더 발전해야 할 시점입니다.

 

 

HASHTAGS

#pperi #페리 #페리솔루션 #사이버보안 #정보보안 #IT보안 #선제적보안 #사이버공격 #AI보안 #AI에이전트보안 #딥페이크 #양자컴퓨팅 #PQC #보안거버넌스 #IT거버넌스 #디지털전환 #IT트렌드

 

디지털 트랜스포메이션의 변화를 위해 페리(pp eri)는 동참할 것입니다.

도움이 필요하시면 언제든지 연락 주시기 바랍니다.

저희 pperi는 peri가 아니라는 점을 구독자님께서 인지해 주시기 바랍니다.