인공지능(AI)이 해킹의 문턱을 낮추고 있다. 공격자는 AI의 도움으로 취약점을 찾고 공격 코드를 수정하며 침입을 반복할 수 있다. 기업이 주목해야 할 변화는 공격기술의 고도화만이 아니다. 과거에는 시간과 노력이 많이 들어 공격 대상에서 밀려났던 주변 시스템까지 위협에 노출될 수 있다는 점이다. 핵심 서버를 지켜도 방치된 계정이나 협력사와의 연결이 침입 통로가 되면 사업 전체가 흔들린다.
이런 환경에서 사고 때마다 점검 항목을 늘리고 장비를 추가하는 방식은 한계가 있다. 점검 당시 안전했던 시스템도 서비스 변경과 외부 연결로 다시 취약해진다. 발견된 문제를 고치는 것만큼 조치가 실제로 작동하는지 확인하는 일이 중요하다. 기업은 보유 자산과 데이터의 흐름을 파악하고, 실제 공격을 가정한 훈련을 통해 탐지와 차단, 복구 과정을 반복 검증해야 한다. 협력사 계정 하나가 탈취됐을 때 어느 업무까지 영향을 받는지 파악해야 한다.
보안의 관리 범위도 기업 내부를 넘어야 한다. 기업의 가치는 협력사의 생산, 외부 클라우드, 고객 서비스가 연결되는 과정에서 만들어진다. 이 연결에서 발생하는 위험도 경영의 관리 대상이다. 계약서에 보안 의무를 적는 데서 그치지 말고 외부 업체의 접근 권한, 데이터 이용 범위, 사고 통보와 공동 대응 절차를 확인해야 한다. 거래 종료 후에도 계정과 권한이 남아 있다면 계약 관리와 보안 관리 사이에 공백이 있다는 뜻이다.
투자의 기준 역시 바뀌어야 한다. 장비 도입 수나 점검 건수만으로 실제 안전성을 판단하기 어렵다. 공격을 얼마나 빨리 발견하고 확산을 차단했는지, 핵심 업무를 목표 시간 안에 복구했는지를 살펴야 한다. 나아가 보안투자가 서비스 중단과 거래 손실을 얼마나 줄이고 고객 신뢰와 사업의 지속성을 어떻게 뒷받침하는지 설명해야 한다. 투자 전후의 대응 시간과 복구훈련 결과를 비교하고 개선되지 않은 원인을 따져야 한다. 보안부서의 성과지표가 사업부서의 목표와 연결돼야 투자 우선순위에 대한 공감도 생긴다.
AI는 이러한 전환을 돕는 수단이다. 보안관제에 AI를 활용하면 여러 시스템의 경보와 로그를 연결해 분석하고 대응의 우선순위를 정할 수 있다. 다만 분석 결과가 틀릴 가능성과 자동 조치가 업무에 미칠 영향도 관리해야 한다. 반복 분석은 AI가 지원하되 서비스 중단처럼 파급효과가 큰 결정은 사람이 검증하고 책임져야 한다. 담당자에게는 AI 결과의 근거와 한계를 확인할 역량이 필요하며, 경영진에게도 그 결과를 이해하고 질문할 기본 소양이 요구된다.
이 모든 변화의 출발점은 의사결정 구조다. 신사업과 서비스 출시를 결정할 때 보안 위험도 함께 검토하고, 필요한 인력과 조치 권한을 부여해야 한다. 경영진은 보호할 핵심 업무와 감수할 위험 수준을 정하고, 사업·구매·IT·보안부서는 각자의 결정에서 발생하는 위험을 공동으로 관리해야 한다. 사고 이후 보안책임자에게 책임을 묻는 방식만으로는 이런 구조를 만들기 어렵다. AI 시대의 보안경영 전략은 경영진이 위험을 이해하고 각 부서의 실행을 이끌어 사업의 연속성을 지키는 데서 출발한다.
