'대표님, 보안은 IT가 아니라 경영입니다'는 AI가 넓힌 사이버 위협을 기업 경영의 책임 문제로 짚는다. 김인순·정은아는 취약점 관리부터 생성형 AI 사용까지 대표가 판단해야 할 보안 과제를 정리했다.

AI는 보안 교육을 받지 않은 사람의 "이 프로그램 약점 찾아줘"라는 입력에도 침투 방법을 제시할 만큼 공격의 문턱을 낮췄다. 책은 해커가 하룻밤에 수만 건의 취약점을 찾는 환경을 출발점으로 삼아, 보안을 기술 부서의 업무에만 맡길 수 없다고 본다.

저자들은 "대부분의 경영자가 보안을 해야 한다는 건 알지만, 정작 어디서부터 어디까지 무엇을 얼마나 해야 하는지는 전혀 모른다"고 말한다. 이어 "사이버 위협의 속도가 과거와 비교할 수 없을 정도로 빨라진 상황에서, '우리가 당하겠어'라는 착각이야말로 가장 비싼 대가를 치르게 하는 원인"이라고 경고한다.

책은 보안 사고 때 기술 부서만 대응해서는 안 되는 이유와 최고경영자(CEO)가 일상적으로 점검할 질문을 다룬다. AI와 클라우드가 만든 위험, 보안 투자 판단, 고객 정보와 공급망 관리도 경영 의사결정의 범위에 넣었다.

자동화 공격과 방치된 허점
네 부분으로 나뉜 구성은 보안 현실의 오해, 대표의 책임, 당장 할 수 있는 조치, 사람과 조직의 문제를 차례로 짚는다. '과징금 7억의 무게', 'A4 한 장 보안 정책', 'CISO가 없어도 보안은 돌아가야 한다'는 장 제목도 이 흐름에 놓인다.

책은 자동화된 공격이 인터넷에 연결된 서버 가운데 관리가 허술한 곳을 찾는다고 본다. 특정 대상을 오랫동안 노리기보다 열려 있는 틈을 찾아 들어가는 방식이어서, 기초 관리의 공백이 침해 사고로 이어진다는 문제의식이다.

퇴사자와 외주 직원의 계정을 그대로 두는 일, 암호키와 인증 체계를 소홀히 하는 일, 기초 웹 취약점을 방치하는 일이 대표적인 경로로 제시된다. 해커가 특별히 뛰어나서라기보다 기업이 쉽게 들어갈 문을 남겨두는 데서 사고가 시작된다는 것이다.

중소기업 피해 민간기업 가운데 중소기업 비중은 60%에 이른다. 책은 대기업과 중소기업을 가리지 않는 AI 기반 공격이 무방비 상태의 회사를 탐지하며, 유출된 내부 정보와 접속 계정이 더 큰 기업이나 공급망을 겨냥한 2차 공격에 쓰일 수 있다고 짚는다.

사고 뒤의 비용도 기업 규모에 따라 다르게 다가온다. 핵심 기술 유출, 개인정보 유출에 따른 과징금, 랜섬웨어로 인한 영업 중단, 계약 파기와 거래처 이탈이 겹치면 중소기업은 사업 자체가 흔들릴 수 있다.

정보 유출부터 AI 사용까지
저자들은 보안 사고를 데이터와 신뢰가 함께 무너지는 문제로 다룬다. 개인정보가 유출된 뒤 공격자 PC에서 이름, 주민등록번호, 은행 아이디와 비밀번호, 인증서 파일명 등이 정리된 채 발견된 사례를 통해 유출 정보의 위험을 보여준다.

성형외과 해킹 사례에서는 수술 전후 사진이 온라인으로 퍼져나간 일을 짚는다. 책은 피해가 통장 잔액에 그치지 않고 환자의 일상과 사생활까지 훼손할 수 있다고 적는다.

생성형 AI 사용도 새로운 점검 항목이다. 국내 한 IT 서비스 기업에서 개발팀 직원이 고객사 시스템 구성도와 서버 접속 계정 목록을 무료 AI 서비스에 넣어 보고서 초안을 작성한 뒤, 고객사가 내부 시스템 정보가 유사한 맥락으로 유통되는 사실을 파악해 계약을 끝낸 사례를 담았다.

김인순은 "AI는 기업의 생산성을 높이는 도구이지만, 동시에 공격자의 능력도 키우고 있다"며 "이제 대표가 보안을 모르면 회사의 가장 중요한 리스크를 보지 못하는 것과 같다"고 말했다. 그는 이 책이 보안 담당자를 위한 기술서가 아니라 회사를 책임지는 사람이 보안을 이해하고 판단하는 경영서라고 밝혔다.

대표의 판단으로 옮기는 보안
마지막 부분은 보안을 비용이 아니라 기업의 지속성을 좌우하는 판단으로 옮겨 놓는다. 고객 정보, 서비스 연속성, 공급망, 내부 권한, 클라우드, 생성형 AI 사용이 모두 보안과 맞물리는 만큼 경영진이 위험의 범위를 알아야 한다는 취지다.

책은 대표가 어떤 자산을 지켜야 하는지, 사고가 나면 누가 책임지는지, 기존 점검 방식으로 AI가 취약점을 찾는 시대를 감당할 수 있는지 점검하도록 한다. 보안을 경영 전략으로 보려면 무엇부터 바꿔야 하는지도 핵심 질문으로 제시한다.

정은아는 "보안 사고는 어느 날 갑자기 터지는 것처럼 보이지만, 실제로는 오랫동안 방치된 의사결정의 결과인 경우가 많다"고 말했다. 이어 "대표와 임원이 보안을 어렵고 먼 이야기로 느끼지 않도록, 실제 기업 현장에서 마주하는 문제를 쉽게 풀어내는 데 집중했다"고 밝혔다.

△ '대표님, 보안은 IT가 아니라 경영입니다'/ 김인순·정은아 지음/ 228쪽





art@news1.kr