보안기업 Proofpoint가 발표한 '2026 Voice of the CISO' 보고서에 따르면, 기업 보안 최고책임자(CISO)들이 AI(인공지능) 도입에 따른 새로운 보안 위험을 추가로 떠안고 있지만 인력·예산 지원은 그에 비례해 늘지 않고 있습니다. CISO의 78%가 생성형 AI를 보안 위협으로 보고 있으며, 특히 임직원이 공개 AI 플랫폼에서 고객 데이터를 노출할 가능성을 큰 우려로 꼽았습니다. 데이터 유출의 주요 원인으로는 악의적 내부자, 부주의한 직원, AI 오남용, 외부 공격 등이 꼽혔고, 데이터 손실이 발생한 조직의 93%는 퇴사자가 연루돼 있었습니다. 주요 위협 순위에서는 클라우드 계정 탈취가 1위로 올라섰으며, 협업 플랫폼과 SaaS 앱이 보안 위험을 가장 많이 유발하는 기술로 지목됐습니다. 실무 담당자들은 AI·데이터·계정 보안을 통합적으로 관리할 수 있는 정책과 실질적인 권한이 필요하다고 강조합니다.
Proofpoint의 2026 CISO 설문 보고서에서 AI 거버넌스 부담 급증, 클라우드 계정 탈취 위협 증가, 내부자에 의한 데이터 유출이 주요 문제로 나타났다.
CISO의 79%가 AI 관련 위험을 추가 리소스 없이 관리해야 하며, 데이터 유출 시 규제 제재·재무적 손실·평판 훼손이 심화되고 있다.
생성형 AI의 업무 도구 내재화, 임직원의 부주의하거나 악의적인 행동, 타사 통합 SaaS 앱 확산, 협업 플랫폼에서의 데이터 이동이 복합적으로 작용한다.
기업들은 임직원 AI 사용 제한, AI 기반 보안 도구 도입, 플랫폼 단위의 데이터 접근·이동 정책 강화, 이사회 수준의 사이버보안 논의 확대로 대응 중이다.
클라우드 계정·협업 플랫폼·SaaS 앱에 대한 ID 및 권한 관리를 우선 점검하고, 퇴직 예정자의 데이터 접근 및 반출을 집중 모니터링해야 한다.
본문
Proofpoint의 2026 Voice of the CISO 보고서에 따르면, CISO(최고정보보안책임자)들은 데이터 보호·ID 관리·복원력·컴플라이언스에 이르는 광범위한 업무를 이미 담당하고 있는 상황에서, 인력·예산의 비례적 증가 없이 AI 거버넌스까지 떠안게 됐다.
AI 위임 범위가 리소스보다 빠르게 확장 (출처: Proofpoint)
AI, 보안 책임 범위를 넓히다
생성형 AI(GenAI)는 민감 데이터·접근 권한·임직원 행동과 관련한 새로운 우려를 낳고 있다. CISO의 78%가 이를 보안 위험으로 간주하며, 공개 AI 플랫폼을 통한 고객 데이터 유출 가능성을 핵심 우려 사항으로 꼽는다.
기업들은 임직원 사용 제한을 포함한 더 강력한 통제로 대응하고 있다. 또한 AI 기반 보안 도구를 활용해 인적 오류를 줄이고 위협에 대응하는 한편, 어시스턴트·코파일럿·자동화의 안전한 사용을 우선 과제로 삼고 있다.
이처럼 늘어난 책임이 반드시 추가 지원으로 이어지지는 않는다. CISO의 79%는 AI 관련 위험을 리소스·전문성의 비례적 증가 없이 관리해야 한다고 답했다. AI가 단독 도구를 넘어 임직원이 일상 업무에서 이미 사용하는 애플리케이션 안으로 파고들면서 문제는 더욱 복잡해지고 있다.
거버넌스는 개별 도구를 허용하거나 차단하는 수준을 넘어서야 한다. 보안 팀은 임직원이 데이터에 접근하고 AI를 사용하며 작업을 자동화하는 플랫폼 전반에 걸쳐 정책을 적용하고, 위험이 발생하는 즉시 대응할 수 있어야 한다.
GenAI 보안 우려와 AI 리소스 격차는 인도에서 가장 높게 나타났고, 임직원 GenAI 사용 제한은 프랑스가 가장 강했으며, AI를 통한 민감 데이터 노출에 대한 우려는 싱가포르가 가장 컸다.
공격 우려는 줄었지만 업무 현장 위험은 커지다
보안 리더의 61%는 향후 12개월 내 자사가 공격을 받을 수 있다고 보며, 이는 2025년의 76%에서 하락한 수치다. 실질적 데이터 손실 보고 건수도 줄었지만, 절반 이상은 여전히 자사가 표적 공격에 대비되지 않았다고 답했다.
주목받는 위협도 변하고 있다. 클라우드 계정 탈취·침해가 목록 상단에 올라선 반면, 이메일 사기·랜섬웨어·악성코드는 순위가 하락했다. 이는 임직원이 업무·소통·기업 정보 접근에 의존하는 계정과 서비스 보호에 더 많은 관심이 쏠리고 있음을 의미한다.
업무용 기술 자체도 우려 대상이다. 협업 플랫폼은 보안 위험을 유발할 수 있는 기술 1위를 차지했다. 서드파티 통합 기능을 갖춘 SaaS 애플리케이션, 비즈니스 워크플로에 내재된 AI도 상위권에 올랐으며, 공개 GenAI 도구·클라우드 스토리지·자동화 기술이 뒤를 이었다.
임직원은 이러한 서비스를 통해 소통하고, 파일을 공유하며, 기업 데이터를 다룬다. 정보가 연결된 애플리케이션 사이를 오가는 경우가 많아 ID·권한·데이터 이동이 업무 보안의 갈수록 중요한 요소가 되고 있다.
인적 위험, 여전히 최대 데이터 보안 위협
응답자의 79%는 인적 위험을 최대 사이버 취약점으로 꼽으며, 데이터 손실 관련 수치가 이를 뒷받침한다. 민감 정보의 실질적 손실을 경험한 조직에서는 악의적·범죄적 내부자가 가장 빈번하게 지목된 근본 원인이었다.
부주의한 내부자, 침해된 내부자, AI 오남용·잘못된 설정, 외부 공격, 서드파티 침해도 두드러지게 나타났다. 이는 데이터 손실이 임직원 행동·침해된 ID·업무 도구의 복합 작용으로 발생할 수 있음을 보여준다.
퇴직 예정 임직원은 특히 우려 대상이다. 실질적 데이터 손실을 경험한 조직에서는 보안 리더의 93%가 퇴사 임직원이 관여했다고 답했다.
보안 팀은 사용 중인 데이터 저장소 수와 GenAI 도구에 대한 가시성은 높다고 보고했다. 더 어려운 부분은 그 가시성을 사용자 의도·데이터 민감도·권한, 그리고 다양한 업무 환경 간 정보 이동 방식을 아우르는 통제로 전환하는 일이다.
데이터 손실, 비즈니스 파급이 더 커지다
실질적 데이터 손실을 보고하는 조직은 줄었지만, 사고가 발생했을 때 결과는 더 심각해지고 있다. 규제 제재·재무적 손실·복구 비용·평판 피해가 모두 증가했으며, 자격 증명 탈취와 핵심 데이터 손실도 여전히 중요한 우려 사항이다.
Proofpoint의 글로벌 상주 CISO인 Patrick Joyce는 이렇게 말했다. "이사회 공감대 강화는 긍정적 신호이지만, 기대치도 높아진다. 사이버보안은 이제 기업 가치·다운타임·평판·고객 신뢰·운영 중단이라는 관점에서 논의된다. 이는 올바른 방향의 대화지만, CISO에게는 이사회의 관심 이상이 필요하다. 명확한 권한과 전문 인력, 그리고 지속적인 지원이 있어야 한다. 목표는 단순히 사이버 위험을 더 잘 보고하는 것이 아니라, 이사회 수준의 이해를 더 나은 비즈니스 의사결정으로 전환하는 것이다."
데이터 보호는 ID 보안 및 AI 거버넌스와 점점 더 긴밀하게 연결되고 있다. 대부분의 보안 리더는 클라우드 서비스·협업 도구·엔드포인트·AI 시스템 전반에 걸쳐 민감 데이터에 대한 가시성과 통제권을 갖추고 있으며, 기존 통제가 AI·SaaS 애플리케이션·현대적 업무 방식과 관련된 위험을 다루고 있다고 답했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
