[RSAC 2026] "가시성 확보만으론 한계…우선순위·책임자·검증까지 이어...

엑소니어스 딘 시스먼이 RSAC 2026에서 키노트 강연을 진행하고 있다.

미국 샌프란시스코 모스콘 센터에서 2026년 3월 23일부터 26일까지 열린 RSAC 2026에서, 엑소니어스(Axonius) 딘 시스먼은 3월 25일 키노트 ‘Actionability: The Next Frontier Rooted in Fundamentals’를 통해 AI 시대 사이버보안의 핵심 과제로 ‘실행 가능성(Actionability)’을 제시했다.

이제 보안의 경쟁력은 단순히 더 많이 보고 더 많이 탐지하는 데 있지 않다. 조직이 선언한 보안 상태와 실제 환경 사이의 차이를 정확히 파악하고, 그 차이를 줄이기 위한 결정을 내린 뒤, 실제 조치와 검증까지 이어질 수 있어야 한다는 것이다. 그는 이를 ‘실행 가능성’이라고 정의하며, 결국 보안의 본질은 복잡한 환경에서도 실제로 움직일 수 있는 체계를 만드는 데 있다고 강조했다.

보안의 기본은 선언이 아니라 검증

이날 강연에서 시스먼은 먼저 많은 보안 조직이 꿈꾸는 이상향으로 ‘스스로 치유하는 보안 환경’을 언급했다. 하지만 그는 이 같은 상태가 기술만으로 자동 구현되지는 않는다고 봤다. 먼저 조직은 어떤 상태를 안전한 상태로 볼 것인지 선언해야 하고, 실제 환경에서 그 선언과 현실 사이에 어떤 차이, 즉 드리프트가 발생했는지 파악해야 한다는 것이다. 이어 그 차이가 왜 발생했는지 이해하고, 누가 어떤 결정을 내려야 하는지 정한 뒤, 실제 조치를 수행하고 다시 검증하는 과정까지 이어져야 비로소 보안이 작동한다고 설명했다.

그는 보안의 ‘기본’이 생각보다 훨씬 어렵다고도 짚었다. 예를 들어 “모든 윈도우 엔드포인트에 EDR 에이전트가 설치돼 있어야 한다”는 정책은 누구나 문서에 적을 수 있지만, 이를 실제로 증명하려면 조직 내 모든 윈도우 장비를 식별하고, 에이전트 설치 여부뿐 아니라 최신 상태와 올바른 구성 여부까지 여러 데이터 소스에서 확인해야 한다는 것이다. 즉, 정책을 선언하는 것보다 그 정책이 현장에서 정말 지켜지고 있는지를 입증하는 일이 훨씬 어렵다는 이야기다.

강연에서는 이런 현실을 보여주는 예시도 제시됐다. 시스먼은 시장에서 관찰한 데이터를 바탕으로, 조직의 환경은 이미 대규모·다계층 구조로 복잡해졌고, 기본 통제조차 누락되는 사례가 적지 않다고 설명했다. 그는 이런 격차가 단순한 관리 부주의가 아니라, 구조적으로 검증이 어려운 환경 자체에서 비롯된다고 봤다.

"파편화된 데이터가 실행력을 막고 있다"

시스먼은 실행 가능성을 가로막는 가장 큰 요인으로 ‘파편화’를 지목했다. 지금의 기업 환경은 하나의 벤더, 하나의 도구, 하나의 관점으로 설명되지 않는다. 아이덴티티, 클라우드, 엔드포인트, 네트워크 등 각 영역의 도구들은 제각각 다른 시각으로 환경을 보여주고 있으며, 실제 현장에서는 수십 개, 많게는 수백 개의 도구가 동시에 사용되고 있다는 것이다.

문제는 이 많은 정보가 전체 그림을 보여주기보다 오히려 진실을 흐릴 수 있다는 점이다. 시스먼은 다수의 조직이 아직도 통합된 자산 뷰를 갖지 못한 채 조각난 정보를 하나씩 들여다보고 있고, 일부는 이를 스프레드시트로 취합해 관리하고 있다고 설명했다. 그러나 그렇게 취합된 정보는 완성되는 시점에 이미 며칠 지난 데이터가 되기 쉽고, 빠르게 변하는 환경에서는 실제 의사결정에 필요한 기준이 되기 어렵다고 지적했다.

위험 역시 더 이상 취약점 하나로 설명되지 않는다. 잘못된 설정, 과도한 접근권한, 인터넷 노출, 관리되지 않는 자산 등 다양한 노출 요소가 동시에 위험을 형성하고 있고, 평균적인 조직은 다섯 개가 넘는 서로 다른 노출 데이터 소스를 보유하고 있다고 그는 설명했다. 이 때문에 보안팀은 무엇을 먼저 해결해야 하는지 우선순위를 정하기 어렵고, 실제로 누가 해당 문제를 책임지고 조치해야 하는지도 불분명해진다는 것이다. 강연에서는 노출을 해결하는 데 가장 큰 어려움으로 우선순위 결정의 어려움이 26%로 제시됐고, 책임자 파악의 어려움과 데이터 불일치 문제도 주요 장애 요인으로 언급됐다.

시스먼은 이를 범죄 현장 조사에 비유했다. 수사관은 한 사람의 진술이나 하나의 증거만 보고 결론을 내리지 않는다. 여러 증거와 증언을 모아 서로 겹치는 부분을 확인해야 진실에 접근할 수 있다. 보안도 마찬가지라는 것이다. 지금 조직은 너무 많은 데이터 포인트를 갖고 있지만, 이들이 서로 충돌하면서 오히려 무엇이 진짜 문제인지 판단하기 어려운 상태에 놓여 있다는 지적이다.

AI 시대 보안은 ‘지속 가능한 맥락’이 좌우

시스먼은 AI 확산이 이런 문제를 더 어렵게 만들고 있다고 진단했다. 과거에는 취약점이 공개된 뒤 실제 악용까지 일정 시간이 걸렸지만, 이제는 공개와 패치 직후 수분 내 공격으로 이어질 수 있을 만큼 변화 속도가 빨라졌다고 설명했다. 여기에 AI와 AI, AI와 사람, 사람과 AI 간 상호작용이 동시에 늘어나면서 자산 유형도 계정, 디바이스, 애플리케이션, 데이터 등으로 폭발적으로 늘어나고 있다는 것이다.

그는 특히 AI를 기존 보안 프레임만으로는 설명하기 어렵다고 말했다. 시스템과 연산, 저장공간처럼 예측 가능한 영역은 결정론적으로 다룰 수 있지만, 사람처럼 행동을 예측하기 어려운 영역은 확률론적으로 접근해야 한다. 그런데 AI는 이 두 가지 속성을 모두 갖고 있다는 것이다. AI를 구동하는 인프라와 접근권한, 네트워크는 결정론적으로 관리할 수 있지만, AI의 행동 자체는 사람처럼 예측하기 어려워 확률론적 시각으로도 봐야 한다는 설명이다.

이 때문에 시스먼은 AI 시대의 핵심 조건으로

‘지속 가능한 맥락(durable context)’

을 제시했다. 이는 조직이 원래 그래야 하는 상태와 실제 존재하는 상태를 함께 이해하는 능력이다. 그는 이를 ‘should’와 ‘is’의 결합으로 설명했다. 즉, CISO가 문서로 선언한 정책이 실제 환경에서 어떻게 구현되고 있는지, 어떤 차이가 발생했는지, 그 차이를 줄이려면 누구의 결정이 필요하고 어떤 도구로 어떤 조치를 해야 하는지를 하나의 맥락으로 연결해야 한다는 것이다.

강연 말미에 그는 AI 시대에는 잘못된 행동의 위험이 훨씬 커진다고 경고했다. 사람은 위험한 결정을 내리기 직전에 멈추는 경우가 많지만, AI 에이전트는 잘못된 맥락 속에서 훨씬 빠르게 잘못된 행동을 실행할 수 있다는 것이다. 저장 공간을 줄이라는 목표를 받았을 때 사람은 데이터베이스 전체 삭제 같은 극단적인 행동을 쉽게 하지 않지만, AI는 부정확한 맥락 아래에서 그런 행동을 실제로 수행할 수 있다는 설명이다. 따라서 AI 시대의 보안은 자동화 그 자체보다, 그 자동화가 의존하는 맥락을 얼마나 정확하게 구성하느냐에 달려 있다는 점을 분명히 했다.

이날 RSAC 2026 키노트 강연에서 시스먼이 강조한 것은 더 많은 도구나 더 많은 경고가 아니었다. 선언된 보안 상태를 기준으로 실제 환경의 드리프트를 추적하고, 파편화된 자산·위험·업무 정보를 하나의 맥락으로 통합한 뒤, 우선순위와 책임자, 조치와 검증까지 연결해야 한다는 점이었다. 가시성은 이제 기본 조건일 뿐이고, 보안의 진짜 차별점은 그 가시성을 실제 행동으로 전환하는 실행 가능성에 있다는 것이 이번 강연의 핵심 메시지였다.