ManageEngine이 미국·캐나다의 IT·사이버보안 리더 700명을 대상으로 실시한 설문에 따르면, 대부분의 조직은 보안 침해 사고 이후 일시적으로 경각심이 높아지지만 1~6개월 안에 다시 원래 수준으로 돌아갑니다. 응답자의 91%는 자사의 현재 보안 태세를 신뢰한다고 밝혔으나, 사고 이후 보안이 영구적인 우선순위가 된다고 답한 비율은 8%에 불과했습니다. 절반에 가까운 조직은 사고 후에도 기존 전략과 구조를 그대로 유지했으며, 근본적인 변화를 꾀한 곳은 소수에 그쳤습니다. 또한 AI를 보안에 활용하는 조직의 약 3분의 2는 AI의 권고를 별도 검증 없이 그대로 따른다고 응답해, AI 의존에 따른 새로운 위험도 부각됐습니다. 전문가들은 보안을 일회성 조치가 아닌 지속적인 프로세스로 다뤄야 하며, AI 권고는 '신뢰 후 검증'이 아닌 '검증 후 신뢰' 원칙을 적용해야 한다고 강조합니다.
ManageEngine이 침해 사고를 경험한 미국·캐나다 IT·보안 리더 700명을 설문한 결과, 사고 후 보안 집중도가 평균 1~6개월 내 원래 수준으로 돌아오는 것으로 나타났다.
절반 가까운 조직이 사고 후 구조나 전략을 바꾸지 않아 동일한 취약점이 반복적으로 노출될 위험이 있으며, AI 권고를 무검증 수용하는 관행이 새로운 공격 표면이 될 수 있다.
경쟁하는 비즈니스 우선순위, 책임 소재 불명확, 두려움 기반의 보안 문화, '침해는 피할 수 없다'는 숙명론적 인식이 복합적으로 작용한다.
전문가들은 임시 긴급 대응을 넘어 리스크 결정을 명시화하고 사고 이후에도 가시성을 유지하며 훈련·거버넌스·에스컬레이션 체계를 장기적으로 개선할 것을 권고한다.
AI 보안 권고는 반드시 추가 검증을 거쳐야 하며, 보안 책임 주체(보안팀·IT팀·사업부)를 명확히 지정해 두지 않으면 침해 발생 시 대응이 지연되고 피해가 커진다.
본문
ManageEngine이 미국·캐나다의 IT·사이버보안 리더 700명을 대상으로 실시한 새로운 설문조사에 따르면, 사이버보안에 대한 관심은 사고 발생 후 높아지다가 조직이 기존의 우선순위와 업무 방식으로 복귀하면서 다시 낮아지는 경향이 있다.
(출처: ManageEngine)
응답자 전원이 이미 침해 또는 보안 사고를 경험했음에도, 91%는 자사의 현재 사이버보안 태세를 신뢰한다고 답했다. 사고가 마무리된 이후 사이버보안이 영구적인 우선순위가 된다고 응답한 비율은 단 8%에 불과했다.
사이버심리학 연구자인 Erik Huffman 박사는 이번 결과에 대해 "침해는 불가피하다는 인식이 보안의 기준을 낮추고 있다"고 말했다. "'언제 당할지의 문제일 뿐'이라는 말을 너무 오래 해왔다. 하지만 우리는 결과에 직접적인 영향을 미치는 보안 프로세스를 여전히 통제할 수 있다."
예방을 앞서 가는 자신감
응답자 3명 중 1명은 방어 수준과 무관하게 대형 사고는 결국 발생할 수밖에 없다고 믿고 있었으며, 비슷한 비율은 관리 가능하다고 판단한 위험을 그냥 수용하는 것으로 나타났다. 알려진 보안 결함은 감사나 실제 사고가 발생하기 전까지 방치되는 경우가 많았다. 사고 여파 이외에 연중 지속적으로 보안에 관심을 기울인다고 답한 비율은 소수에 그쳤다.
Huffman 박사는 "무슨 일을 해도 나쁜 일은 일어난다는 생각을 받아들인 것이 안타깝다"며 "많은 조직이 '안전하다'는 결과를 얻기 위해 보안 도구를 구매한다. 하지만 보안은 단순히 사고팔 수 있는 것이 아니다. 보안은 끊임없이 진화하는 과정이며, 그렇게 다뤄져야 한다"고 말했다.
빠르게 사라지는 긴급감
침해 직후 조직들은 반응을 보인다. 프로세스 논의가 활발해지고, 긴박감이 팀 전체로 퍼지며, 패치 적용·접근 권한 검토·백업 개선 등의 기술적 조치가 이뤄진다. 그러나 그 관심이 오래가는 경우는 드물다. 응답자의 80%는 사이버보안에 대한 높아진 집중도가 1~6개월 후면 사그라든다고 답했다.
조직의 절반에 가까운 수는 사고 후에도 기존 구조와 전략을 그대로 유지하며 아무런 폭넓은 변화를 주지 않았다. 더 적은 비율은 사고 원인이 된 특정 결함만을 대상으로 부분적인 수정을 가했고, 거버넌스·교육·에스컬레이션 등 장기적인 변화를 꾀한 곳은 더욱 적었다.
비즈니스 우선순위가 종종 그 이유가 된다. 응답자 과반은 경쟁하는 업무 요구로 인해 보안 이니셔티브가 정기적으로 연기되거나 우선순위가 낮아진다고 답했으며, 5명 중 1명은 그것이 자신의 가장 최근 사고의 주요 원인이었다고 꼽았다.
사후 보고 방식을 왜곡하는 두려움
응답자들에 따르면 대부분의 직원은 실수가 발생하면 즉시 보고한다. 그러나 83%는 결과에 대한 두려움이 보고 후 사고 처리 방식에 영향을 미친다고 인정했으며, 상당수는 자신의 조직의 대응 방식이 책임 추궁에 집중되어 있다고 묘사했다.
Huffman 박사는 "사이버보안은 오랫동안 두려움 기반의 문화를 가져왔고, 그로 인해 많은 사람들이 피하고 싶어하는 환경이 만들어졌다"며 "사고 대응은 누가 무엇을 했는지의 문제가 아니어야 한다. 무슨 일이 일어났는지, 왜 일어났는지, 그리고 누가 영향을 받는지에 초점을 맞춰야 한다"고 덧붙였다.
설문에 따르면 문제의 일부는 책임 소재 자체가 불명확하다는 점이다. 응답자 5명 중 1명에 가까운 수가 특정 보안 실패에 대해 보안팀·IT팀·사업부 중 어디가 책임져야 하는지 불분명하다고 답했다. 이 불확실성은 대응 지연, 업무 중단, 누군가 격차를 해소하기 전에 데이터가 노출될 위험 증가 등의 비용을 수반한다.
검증 없이 수용되는 AI 권고
이들 조직에서 AI는 사고 대응 자동화, 위협 인텔리전스, 모의 침투 테스트(penetration testing), 취약점 스캐닝 등에 광범위하게 활용되고 있다. 대다수는 AI가 의사결정을 더 쉽게 만들었다고 답했으며, 절반 이상은 효율성 향상이나 더 강한 보안 역량을 AI 덕분으로 돌렸다. 또한 AI로 인해 사이버 위험을 더 기꺼이 수용하게 됐다는 응답자도 과반을 차지했다.
사이버보안에 AI를 활용하는 조직 중 약 3분의 2는 AI의 권고를 추가 검증 없이 자주 또는 항상 따른다고 답했다.
Huffman 박사는 "AI는 의심할 여지 없이 조직에 새로운 위험을 가져온다"며 "LLM(대형 언어 모델)은 사람들이 AI 시스템으로부터 받는 정보에 높은 신뢰를 두기 때문에 공격자들의 빈번한 표적이 된다. 우리는 '신뢰하되 검증하라'에서 '검증한 후 신뢰하라'로 나아가야 한다"고 강조했다.
연구진은 "사고에서 진정으로 배우는 조직은 단순히 빠르게 대응하는 조직이 아니다. 위기 이후에도 가시성을 유지하고, 위험 결정을 명시화하며, 일시적인 긴박감을 지속적인 규율로 전환하는 조직"이라고 결론지었다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
