🤖 "완벽한 차단"을 포기하라고 합니다
AI 기반 사이버공격에 대비한 자료가 나왔습니다.
CEO 행동 수칙과 기업 대응 요령, 두 가지입니다.
그런데 CEO 수칙의 마지막 항목이 눈에 띕니다.
기업의 정보보호 전략 목표를
'완벽한 차단'에서 '신속한 회복'으로 전환하십시오.
막는 걸 포기하라는 뜻은 아닙니다.
다만 사고는 날 수 있다는 전제를 깔고 가라는 이야기입니다.
📌 이 글의 성격
공개된 자료를 정리한 일반 안내입니다.
실제 적용은 조직 규모와 환경에 따라 검토가 필요합니다.
1. 두 장짜리 문서
대상이 다릅니다
두 문서의 차이 [01]
| CEO 행동 수칙 | 기업 대응 요령 |
| 7개 항목 | 6개 영역 |
| 경영진이 할 일 | 실무가 할 일 |
| 예산 · 권한 · 조직 | 기술 · 절차 · 점검 |
🤝 나눠 놓은 이유가 있습니다
실무 혼자서는 예산도 인력도 확보할 수 없습니다.
경영진만 의지가 있어도 실행 방법을 모르면 진도가 안 나갑니다.
두 문서를 함께 봐야 하는 이유입니다.
⭐ 2. 가장 눈에 띄는 한 줄
차단에서 회복으로
전략 목표 전환 [02]
| 구분 | 내용 |
| 전제 | 사고는 날 수 있다 |
| 핵심 | 비즈니스 중단을 얼마나 줄이느냐 |
| 책임 | 경영진의 역량에 달려 있다고 명시 |
이 관점은 실무 문서에도 이어집니다.
"주요 시스템은 사고 시 신속한 회복을 위한 이중화 체계 구축"이라는 항목으로요.
🔄 무엇이 달라지나
완벽한 차단을 목표로 하면
모든 예산이 '막는 쪽'으로 갑니다.
신속한 회복을 목표로 하면
백업·이중화·복구 훈련에도 자원이 배분됩니다.
3. CEO 행동 수칙 7가지
경영진이 할 일
CEO 행동 수칙 [03]
| 번호 | 내용 |
| 1 | 정보보호는 CISO 혼자의 숙제가 아니라 이사회 안건 |
| 2 | 임직원에게 기본 보안 수칙 강조 |
| 3 | AI 기반 방어체계에 선제 투자하고 전문가 영입 |
| 4 | CISO에게 예산 편성권과 인력 관리 권한 부여 |
| 5 | CISO와 핫라인 구축하고 수시로 보고받기 |
| 6 | 정보보호위원회 설치해 전략 수립과 점검 |
| 7 | 목표를 '완벽한 차단'에서 '신속한 회복'으로 |
4번이 실무 입장에서는 가장 현실적인 항목입니다.
"CISO에게 정보보호 예산 편성권과 인력 관리 권한을 부여하십시오"
권한 없이 책임만 지는 구조에서는
어떤 대응 요령도 종이로 남습니다.
2번도 짚어둘 만합니다.
"AI시대에도 대부분의 사이버공격은 비밀번호 유출이나 방치된 IT 자산에서부터 비롯된다"고 적혀 있습니다.
4. 실무 대응 요령 6영역
무엇을 하나
6개 영역 [04]
| 영역 | 내용 |
| ❶ AI 기반 방어 | 수동 주기 운영 → 상시 탐지·평가·대응 |
| ❷ 거버넌스 정비 | 인력·예산·조직 역량 재정비, 지표 재설정 |
| ❸ 오픈소스 관리 | SBOM 작성, SCA 도구로 자동 차단 |
| ❹ 제로트러스트 | 경계 보안을 넘어 단계적 전환 |
| ❺ 기본기 집중 | 자산 실사·패치·계정·EDR·공급망 |
| ❻ 협력·공유 | C-TAS, ISAC 등 위협정보 공유 |
🎯 ❺가 가장 중요하다고 명시했습니다
"AI시대에도 사이버보안의 기본 수칙 이행은
AI의 침투 난이도를 높이고 피해 최소화를 위한
가장 중요한 보안전략"이라고 적혀 있습니다.
미국과 영국도 보안 기본기를 강조했다는 각주가 달려 있습니다.
AI 대비라고 해서 AI 솔루션부터 사라는 이야기가 아니라는 뜻입니다.
5. SBOM이 무엇인가
내가 쓰는 부품 목록
SBOM 개념과 절차 [05]
생소한 용어라 따로 정리합니다.
| 구분 | 내용 |
| 무엇 | Software Bill of Material · 소프트웨어 구성 정보의 상세 내역 |
| 왜 | 공격자가 오픈소스 취약점을 미리 파악할 수 있기 때문 |
| 생성·관리 | 라이브러리·프레임워크·종속성 조사 후 목록화 |
| 분석·검증 | 취약점 데이터베이스와 대조해 잠재 위협 식별 |
| 자동화 | SCA 도구로 취약점 포함 오픈소스 자동 차단 |
📦 내가 뭘 쓰는지 모르면 못 막습니다
취약점이 발표돼도 내 시스템에 해당하는지 알 수 없습니다.
목록이 있어야 대조가 가능합니다.
KISA 보호나라에서 신청·승인 후
판교 기업 지원 허브에서 점검 지원을 받을 수 있습니다.
6. 제로트러스트 4단계
지금 어디쯤인가
제로트러스트 성숙도 모델 [06]
| 단계 | 특징 |
| 기존 | 수동 기반 경계보안 · 관리자 수동 설정 |
| 초기 | 핵심 요소 연동 시작 · 일부 프로세스 자동화 |
| 향상 | 중앙 집중 관리 및 통합 · 자동화 확대 |
| 최적화 | 완전 자동화 · 전 프로세스 실시간 자율 운영 |
주목할 점은 '주체'가 바뀐다는 것입니다.
기존 단계의 주체는 사람(Manual)입니다.
최적화 단계의 주체는 Agentic AI입니다.
6대 핵심 요소별로 현재 수준을 진단한 뒤 단계적으로 전환합니다.
| 6대 핵심 요소 |
| ① 식별자·신원 ② 기기 및 엔드포인트 ③ 네트워크 |
| ④ 시스템 ⑤ 애플리케이션 및 워크로드 ⑥ 데이터 |
3대 원칙은 강화된 인증, 마이크로 세그멘테이션, 소프트웨어 정의 경계(SDP)입니다.
7. 오늘 당장 할 수 있는 것
기본기 영역
즉시 점검 항목 [07]
| 체크 항목 |
| 전사 IT 자산 수명주기와 운영·폐기 여부 확인 |
| 외부 접점 자산(홈페이지·이메일·VPN·PC) 패치 우선 관리 |
| 지원 종료 시스템 격리 |
| 불필요·미사용 계정과 접근권한 점검 |
| MFA 적용으로 인증 체계 강화 |
| 백신·EDR 도입 및 로그 관리 정책 정비 |
| 협력업체 공급 SW 등 공급망 보호 대책 |
| 주요 시스템 이중화로 신속 회복 대비 |
💡 EDR 도입이 어렵다면
노후 시스템, 리소스 제약, 안정성 우려 등으로
EDR 도입이 어려운 경우가 있습니다.
그때는 침해 여부 확인용 스크립트를 주기적으로 실행하는
방식을 대안으로 제시하고 있습니다.
그리고 KISA가 제공하는 도구도 안내돼 있습니다.
| 도구 | 용도 |
| 사이버 보안 취약점 정보 포털 | 최신 주요 취약점 목록 확인 |
| 보호나라 해킹진단도구 | 시스템 보안 진단 및 분석 |
| C-TAS | 위협정보 공유 · 자산 위협징후 탐지(시범 예정) |
8. 지표를 다시 정하라는 이야기
거버넌스 영역
❷ 거버넌스 정비에 흥미로운 항목이 있습니다.
| 점검 지표 | 예시 |
| 위협 탐지 시간 | 얼마나 빨리 알아차리나 |
| 평균 패치 적용시간 | 취약점 발표 후 며칠 걸리나 |
| 패치 준수율 | 몇 퍼센트나 적용했나 |
📊 목표치를 재설정하라고 합니다
AI를 활용한 공격은 단기·대량화됩니다.
기존 목표치가 '한 달 안에 패치'였다면,
그 기준이 유효한지 다시 따져보라는 뜻입니다.
그리고 SIM3(침해사고대응팀 성숙도 측정 모델)로 조직 역량을 점검하라고 권고합니다.
조직·인간·도구·프로세스 4개 범주, 45개 항목으로 점수를 매기는 모델입니다.
한 줄 정리
AI 대비라고 해서 AI 솔루션부터 사라는 이야기가 아닙니다.
문서가 가장 강조한 건 ❺ 기본기 집중이었습니다.
· 자산을 알고 (SBOM · 자산 실사)
· 권한을 줄이고 (최소 권한 · MFA)
· 빨리 돌아올 수 있게 (이중화 · 복구 훈련)
그 위에 AI 기반 방어를 얹는 순서입니다.
그리고 CEO 수칙과 대응 요령이 따로 나온 이유를 다시 생각해 봅니다.
기술은 실무가 압니다. 그런데 예산과 권한은 경영진이 줍니다.
둘 중 하나만 움직여서는 되지 않는다는 뜻이겠지요.
※ 이 글은 2026년 공개된 자료를 정리한 일반 안내입니다. 권고 사항은 참고 기준이며, 실제 적용은 조직 규모·운영 환경·서비스 특성에 따라 검토가 필요합니다. 제로트러스트 가이드라인과 성숙도 모델 해설서 등 상세 자료는 KISA 누리집에서 확인하실 수 있습니다.
'IT 이모저모' 카테고리의 다른 글
| KISA 보안 강화 권고 — 5단계로 보는 점검 항목 (0) | 2026.10.16 |
|---|---|
| 보안 전문가는 무엇을 읽는가 — 기술 매거진 4선 (0) | 2026.10.15 |
| 실제 침해사고로 본 서버 보안 설정 — 피해를 키운 건 기본 설정이었다 (0) | 2026.10.14 |
| 침해사고 신고는 언제, 어디로 — 24시간·72시간의 차이 (0) | 2026.10.13 |
| ARTEX가 뭐길래 — 43초 만에 뚫고 비용은 20원 (0) | 2026.10.08 |
