과학기술정보통신부가 최근 기업에 전달한
‘AI 기반 사이버공격 대비를 위한 CEO 행동 수칙
’은 사이버보안을 더 이상 기술 부서만의 업무로 볼 수 없다는 메시지를 담고 있다.
수칙은 총 7개 항목으로 구성됐으며, 경영진과 이사회가 정보보호를 핵심 경영 안건으로 다루고, 임직원 보안 기본 수칙부터 AI 기반 방어체계 투자, CISO 권한 강화, 정보보호위원회 설치, 사고 후 신속한 회복 전략까지 직접 챙기도록 요구했다.
AI가 사이버공격의 속도와 정교함을 높이고 있는 만큼, 기업의 대응 방식도 과거처럼 보안 담당자 개인의 역량이나 사후 대응에만 의존해서는 안 된다는 것이다. 특히 생성형 AI를 활용한 피싱, 악성코드 제작 자동화, 취약점 탐색, 계정 탈취 시도 등이 빠르게 고도화되면서 기업 경영진의 판단과 투자가 보안 수준을 결정하는 시대가 됐다.
첫 번째 수칙은 정보보호를 CISO 혼자만의 숙제가 아니라 경영진과 이사회가 다룰 핵심 안건으로 삼으라
는 내용이다. 과기정통부는 정보보호에 무관심한 기업은 고객 신뢰를 잃고 시장에서 생존하기 어렵다고 강조했다. 이는 사이버사고가 단순한 시스템 장애나 보안 부서의 실패가 아니라 매출, 평판, 법적 책임, 고객 이탈로 이어지는 경영 리스크가 됐기 때문이다. CEO와 이사회가 보안 현황을 정기적으로 확인하지 않으면 사고 발생 후 책임 소재만 따지는 구조가 반복될 수 있다.
두 번째 수칙은 임직원에게 기본적인 보안 수칙을 강조하라
는 것이다. 과기정통부는 AI 시대에도 대부분의 사이버공격이 비밀번호 유출이나 방치된 IT 자산에서 시작된다고 지적했다. 이는 최신 AI 보안 솔루션을 도입하더라도 기본 계정 관리, 다중인증, 퇴사자 계정 삭제, 미사용 서버 점검, 보안 업데이트 같은 기초 조치가 무너지면 공격자가 쉽게 내부로 들어올 수 있다는 의미다. 보안은 고급 기술 이전에 기본 관리에서 시작된다는 점을 CEO가 반복적으로 조직에 각인시켜야 한다.
세 번째 수칙은 AI 기반 사이버 위협 방어체계 구축에 선제적으로 투자하고, AI 보안 전문가를 영입해 인력을 확충하라
는 내용이다. 수칙은 “AI에는 AI로 대응해야 한다”고 표현했다. 공격자가 AI를 이용해 피싱 문구를 정교하게 만들고, 악성코드 변종을 빠르게 생성하며, 취약한 시스템을 자동으로 찾는 상황에서는 사람의 수작업 대응만으로는 한계가 있다. 기업은 이상행위 탐지, 위협 인텔리전스 분석, 로그 상관분석, 자동 대응 체계에 AI를 활용해야 한다. 다만 AI 보안 도입은 단순히 제품 구매로 끝나서는 안 된다. 내부 데이터 품질, 탐지 기준, 운영 인력, 오탐 대응 절차까지 함께 갖춰야 실제 효과를 낼 수 있다.
네 번째 수칙은 CISO에게 정보보호 예산 편성권과 인력 관리 권한을 부여하라
는 것이다. 이는 국내 기업 보안 조직의 오래된 문제를 직접 겨냥한 항목으로 볼 수 있다. 많은 기업에서 CISO는 책임은 크지만 예산과 인력 권한은 제한적인 경우가 많다. 사고가 발생하면 CISO에게 책임을 묻지만, 평소 보안 장비 도입이나 인력 충원, 훈련 예산은 경영 우선순위에서 밀리는 구조가 반복돼 왔다. 실질적인 대비 태세를 갖추려면 CISO가 필요한 예산을 요구하고 인력을 배치할 수 있어야 한다. 권한 없는 책임은 보안 거버넌스를 약화시키는 원인이 된다.
다섯 번째 수칙은 CEO와 CISO 간 핫라인을 구축하라
는 내용이다. 과기정통부는 CISO에게 수시로 사이버 위협 현황과 대응 전략을 보고받으라고 권고했다. 이는 사고가 발생한 뒤에야 CEO가 상황을 파악하는 방식으로는 대응 골든타임을 놓칠 수 있기 때문이다. 랜섬웨어, 계정 탈취, 공급망 공격은 초기 판단이 늦어질수록 피해가 커진다. CISO가 위협 수준, 탐지 현황, 취약점 노출 상황, 대응 필요 예산을 CEO에게 직접 전달할 수 있는 구조가 있어야 조직 전체의 의사결정 속도가 빨라진다.
여섯 번째 수칙은 IT 부서장 등 주요 인력이 참여하는 정보보호위원회를 설치하라
는 것이다. 정보보호위원회는 기업의 보안 전략을 수립하고 지속적으로 점검하는 역할을 해야 한다. 이 항목이 필요한 이유는 사이버보안이 보안팀만으로 해결되지 않기 때문이다. 클라우드 운영, 개발, 인사, 법무, 홍보, 재무, 영업 부서가 모두 보안과 연결돼 있다. 예를 들어 퇴사자 계정 관리는 인사 부서와 연계돼야 하고, 사고 공지는 법무·홍보 조직과 함께 판단해야 하며, 서비스 복구는 IT 운영 조직과 협력해야 한다. 정보보호위원회는 이런 부서 간 단절을 줄이고, 보안을 전사적 의사결정 체계 안으로 끌어올리는 장치가 된다.
일곱 번째 수칙은 기업의 정보보호 전략 목표를 ‘완벽한 차단’에서 ‘신속한 회복’으로 전환하라
는 것이다. 과기정통부는 사고 발생 후 비즈니스 중단을 최소화하는 것이 경영진의 역량에 달려 있다고 강조했다. 이는 모든 공격을 100% 막겠다는 목표가 현실적으로 불가능해졌다는 점을 인정한 접근이다. 공격자가 AI와 자동화 도구를 활용하는 상황에서는 방어망을 뚫는 시도가 계속될 수밖에 없다. 따라서 기업은 침해를 전제로 한 백업, 복구 훈련, 업무 연속성 계획, 랜섬웨어 대응 절차, 고객 통지 체계, 대체 업무 프로세스를 사전에 준비해야 한다.
이번 CEO 행동 수칙은 AI 시대의 보안 책임이 기술 조직에서 경영진으로 확장됐다는 것을 말해준다. 사이버공격은 이제 기업의 평판과 영업 지속성, 고객 신뢰를 직접 흔드는 경영 리스크가 됐다. 기업이 이 수칙을 형식적으로 받아들이면 사고가 난 뒤 책임 회피용 문서로 남을 가능성이 크다. 반대로 CEO가 직접 CISO에게 권한을 주고, 전사 보안 체계를 점검하며, 사고 이후 회복 능력까지 준비한다면 AI 기반 공격 환경에서도 피해를 줄일 수 있는 현실적인 방어 기반을 만들 수 있다.
모 기업 CISO는 "이번 CEO 행동 수칙은 방향 자체는 맞다. 보안이 더 이상 CISO 개인의 책임이 아니라 CEO와 이사회가 함께 다뤄야 할 경영 의제라는 점을 분명히 했다는 의미가 있다. 다만 현장의 CISO들이 체감하는 문제는 수칙이 없어서가 아니라, 수칙을 실행할 권한과 예산이 충분히 주어지지 않는다는 데 있다"고 말했다.
또 다른 CISO는 "많은 기업에서 CISO는 사고가 발생하면 책임을 지는 위치에 있지만, 평소에는 예산 편성이나 인력 배치, IT 자산 관리, 사업부 보안 통제에 실질적인 영향력을 행사하기 어렵다"며 "CEO와 CISO 간 핫라인을 만들라는 권고도 필요하지만, 정작 보안 이슈가 매출·서비스 출시·비용 절감 논리와 충돌할 때 CISO의 판단이 경영 의사결정에 얼마나 반영될지가 더 중요하다"고 전했다.
이어 "이번 수칙의 실효성은 CEO가 실제로 CISO에게 예산과 인력 권한을 부여하고, 이사회가 보안 성과를 정기적으로 점검하며, 사고 대응과 복구 훈련을 경영 평가에 반영하느냐에 달려 있다. 수칙이 선언에 머물면 또 하나의 캠페인으로 끝날 가능성이 크다. 반대로 경영진의 책임과 실행 기준이 명확해진다면 AI 시대 기업 보안체계를 바꾸는 출발점이 될 수 있다.”고 강조했다.
댓글
0