보안 사고 발생, 기술 부서만 대응해선 안 되는 이유

[이데일리 김아름 기자] 2025년부터 대규모 개인정보 유출 및 사이버 공격 사고가 잇따르며 산업 전반에 경각심이 고조되고 있다. 해킹은 핵심 산업 기술과 데이터가 외부로 빠져나가는 ‘국부의 유출’ 통로이자, 국가 중요 공급망을 흔드는 ‘국가안보에 대한 중대한 위협’으로 직결된다. 엔트로픽의 ‘클로드 미토스’와 같은 초고성능 AI 모델이 등장하면서, 해커들은 이제 AI를 활용해 불과 몇 분 만에 수만 개의 보안 구멍을 탐색하고 시스템을 무력화하는 시대에 진입했다.

보안은 더 이상 IT 부서의 기술 업무가 아니라, 기업 생존을 지키기 위한 CEO의 핵심 경영 과제가 된 가운데 25년 경력의 보안·소프트웨어 전문 기자 김인순과 보안 솔루션 기업 수산아이앤티의 정은아 대표가 신간 ‘대표님, 보안은 IT가 아니라 경영입니다’를 출간했다.

저자들은 “대부분의 경영자가 보안을 해야 한다는 건 알지만, 정작 어디서부터 어디까지 무엇을 얼마나 해야 하는지는 전혀 모른다”며 “사이버 위협의 속도가 과거와 비교할 수 없을 정도로 빨라진 상황에서, ‘우리가 당하겠어’라는 착각이야말로 가장 비싼 대가를 치르게 하는 원인”이라고 경고한다.

해킹은 어떻게 이루어지는가?

책에서는 해킹이 정교한 첨단 기술보다는 지극히 단순하고 치명적인 ‘기본의 부재’에서 출발한다고 지적한다. 해커들은 특정 타깃을 수개월간 공들여 노리기보다, 자동화된 프로그램을 돌려 인터넷에 연결된 전 세계 서버 중 가장 허술한 곳을 ‘기회주의적’으로 침투한다. 실제로 발생한 다수의 침해 사고를 들여다보면, 그 경로에는 늘 관리되지 않은 허점이 존재한다.

해커가 특별히 천재라서가 아니라, 기업들이 ‘편하게 들어갈 수 있는 문’을 열어두었다는 지적이다. 특히 중소·중견기업과 자영업자가 타깃이 된다. 많은 경영자가 “뉴스에 나오는 건 대기업 이야기”라며 안도하지만, 통계에 따르면 해킹 피해 민간기업 중 중소기업의 비중은 60%에 달한다.

AI 해커는 대기업인지 중소기업인지 관심조차 두지 않는다. 단지 ‘무방비하게 열려 있는 곳’을 탐지하여 들어갈 뿐이다. 이로 인한 피해는 거대 대기업보다 대한민국 산업의 다수를 차지하는 중소기업, 중견기업, 자영업자들에게 훨씬 더 치명적으로 돌아간다. 또한 많은 경우, 보안이 허술한 중소기업을 해킹하여 얻은 내부 정보와 접속 계정이 더 큰 대기업이나 핵심 공급망을 뚫기 위한 강력한 ‘2차 공격 재료’로 악용된다.

문제는 해킹 사고가 터졌을 때 발생하는 후폭풍이다. 대기업은 법무·홍보팀 및 자체 자금으로 수습할 체력이 있지만, 중소기업은 과징금 부과 시 단 한 번의 사고로 연간 영업이익이 날아가거나 곧바로 파산 위기에 직면할 수 있다. 랜섬웨어로 인한 영업 중단, 거래처 신뢰 실추, 법적 책임이 한꺼번에 터지며 기업의 영속성을 완전히 흔들어 놓는다. 해킹에 취약한 회사일수록 가장 보안에 대해 안일하다는 사실이 바로 해커들이 노리는 지점이다.

해킹 방어, 이것만 알면 된다

저자들은 경영자가 복잡한 보안 기술을 다 알 필요는 없으며, 어느 수준까지 보안을 강화할지는 각 기업의 상황에 따라 선택할 몫이라고 설명한다. 하지만 AI 해커가 등장한 시대에는 대표가 보안을 단순한 기술 문제가 아닌 경영 의사결정의 문제로 바라봐야 한다. 고객 정보부터 서비스 연속성, 공급망, 내부 권한, 클라우드, 생성형 AI 사용에 이르기까지 기업의 모든 활동이 보안과 직결되기 때문이다.

경영진은 다음과 같은 질문을 던져야 한다. “우리 회사는 어떤 자산을 지켜야 하는가?” “보안 사고가 나면 누가 책임지는가?” “AI가 취약점을 찾는 시대에 기존 점검 방식만으로 충분한가?” “보안을 비용이 아니라 경영 전략으로 보려면 무엇부터 바꿔야 하는가?” 이 질문들의 답을 찾아가는 과정이야말로 이 책이 전달하는 핵심 메시지다.

두 저자의 시선은 서로 다른 각을 겨눈다. 김인순은 “AI는 기업의 생산성을 높이는 도구이지만, 동시에 공격자의 능력도 키우고 있다”며 “이제 대표가 보안을 모르면 회사의 가장 중요한 리스크를 보지 못하는 것과 같다”고 말했다. 이어 “이 책은 보안 담당자를 위한 기술서가 아니라, 회사를 책임지는 사람이 보안을 어떻게 이해하고 판단해야 하는지 알려주는 경영서”라고 설명했다.

공동저자인 정은아는 “보안 사고는 어느 날 갑자기 터지는 것처럼 보이지만, 실제로는 오랫동안 방치된 의사결정의 결과인 경우가 많다”며 “대표와 임원이 보안을 어렵고 먼 이야기로 느끼지 않도록, 실제 기업 현장에서 마주하는 문제를 쉽게 풀어내는 데 집중했다”고 밝혔다.

이 책은 보안 사고가 발생했을 때 기술 부서만 대응해서는 안 되는 이유, CEO가 평소 점검해야 할 보안 질문, AI와 클라우드 시대에 새롭게 생기는 위험, 보안 투자를 설득하는 방법 등을 경영자의 언어로 정리했다. 특히 중소·중견기업 대표, 스타트업 창업자, 대기업 임원, 이사회 구성원, CISO, CIO, 보안 담당자, 홍보·법무·컴플라이언스 담당자에게 실질적인 가이드를 제공한다. AI 해커 시대를 준비하는 경영진에게 가장 현실적인 출발점이다.