시스코 보고서: 한국 기업 80%가 보안 사고 겪었다

무슨 조사인가

시스코가 10월 13일 공개한 '릴렌트리스 디펜스(Relentless Defense)' 보고서에 따르면, **한국 조직의 80%**가 최근 1년 사이 비즈니스에 실질적인 영향을 미친 사이버 보안 사고를 겪은 것으로 나타났다. 이 조사는 올해 4~5월 한국을 포함한 전 세계 30개 시장의 보안 전문가 8,000명을 대상으로 진행됐다.

주목할 점은 표현의 차이다. 설문 문항은 '공격을 받았는가'가 아니라 '사업에 실질적 영향을 미친 사고를 겪었는가'였다. 방화벽에 걸러진 스캔이나 차단된 피싱 메일이 아니라, 서비스 중단·데이터 유출·복구 비용처럼 실제로 손익계산서나 운영에 흔적을 남긴 사건을 묻고 있다는 뜻이다. 10곳 중 8곳이 그렇다고 답한 것은 보안 사고가 예외적 사건이 아니라 상시 운영 리스크로 자리 잡았다는 신호에 가깝다.

세계 평균 91%와 한국 80%, 어떻게 읽어야 하나

글로벌 수치는 91%로 한국보다 11%포인트 높다. 이를 "한국이 더 안전하다"로 읽는 건 성급하다. 보고서는 동시에 한국의 사이버 방어 역량 점수를 100점 만점 기준으로 평가하면서 조직 간 협업 부족을 주요 과제로 지목했다. 탐지와 보고 체계가 촘촘할수록 '사고를 겪었다'는 응답률이 올라가는 역설이 있기 때문에, 낮은 응답률이 곧 낮은 피해율을 뜻하지 않을 수 있다. 실제로 국내에서는 침해 사실을 뒤늦게 인지하거나 외부 통보로 알게 되는 사례가 반복적으로 보고돼 왔다.

같은 맥락에서, 설문이 묻는 것은 '인지한 사고'다. 가시성이 떨어지는 조직일수록 수치는 낮게 나온다. 11%포인트의 격차는 안전 마진이 아니라 탐지 역량의 격차일 가능성을 함께 따져봐야 한다.

AI가 바꾼 것: 공격의 단가

보고서가 반복해서 지적하는 배경은 AI다. 생성형 AI는 공격자 입장에서 세 가지를 바꿨다. 첫째, 자연스러운 한국어 피싱 문구 작성처럼 과거에 언어 장벽이 걸렸던 작업의 진입 장벽을 낮췄다. 둘째, 정찰·취약점 탐색·악성코드 변형 같은 반복 작업을 자동화해 공격 주기를 단축했다. 셋째, 숙련된 인력 없이도 캠페인을 굴릴 수 있게 해 공격 1건당 비용을 끌어내렸다.

방어 측도 AI를 쓰지만 비대칭이 존재한다. 공격자는 수천 번 시도해 한 번만 성공하면 되고, 방어자는 모든 시도를 막아야 한다. 자동화가 시도 횟수를 늘리는 쪽에 더 유리하게 작용하는 구조다. "AI 때문에 해킹 속도와 비용이 줄었다"는 진단은 이 비대칭을 가리킨다.

왜 '조직 간 협업'이 과제로 꼽혔나

시스코가 기술 투자보다 조직 간 협업을 먼저 거론한 대목은 눈여겨볼 만하다. 한국 기업의 보안 조직은 IT 부서 산하에 두거나, 정보보호최고책임자(CISO)를 두더라도 실권과 예산이 제한적인 구조가 흔하다. 사고 대응 과정에서 보안팀·인프라팀·법무·홍보·경영진이 각자 다른 속도로 움직이면, 기술적 탐지가 빨라도 의사결정이 병목이 된다.

여기에 한국 특유의 변수가 더해진다. 개인정보보호법상 유출 통지 의무, 정보통신망법상 침해사고 신고 등 규제 대응이 걸리면서 '사고를 공개적으로 인정하는 결정' 자체가 경영 판단의 영역이 된다. 협업 체계가 정비되지 않은 조직에서는 이 판단이 지연되고, 지연은 그대로 피해 확대로 이어진다.

실무자에게 달라지는 것

이 조사가 실무에 주는 시사점은 세 가지로 좁힐 수 있다.

첫째, '사고 발생'을 전제로 한 설계다. 80%라는 숫자는 침입 차단률을 높이는 투자만으로는 설명되지 않는 현실을 보여준다. 탐지 후 격리·복구까지 걸리는 시간(MTTD/MTTR)을 지표로 관리하는 쪽이 현실적이다.

둘째, 피싱 교육의 기준을 바꿔야 한다. 맞춤법이 어색한 메일을 걸러내라는 식의 가이드는 AI 생성 문구 앞에서 무력하다. 발신자 검증, 결제·계정 변경 요청의 이중 확인 같은 절차적 통제가 더 중요해진다.

셋째, 공급망이다. 보안 사고의 상당수는 자사 시스템이 아니라 협력사·SaaS 계정을 경유한다. 조직 내부 협업뿐 아니라 외부 파트너와의 사고 통보 절차를 계약 수준에서 정해 두지 않으면, 내 책임이 아닌 곳에서 시작된 사고를 내 비용으로 수습하게 된다.

숫자를 어떻게 쓸 것인가

벤더가 발표하는 보안 보고서는 본질적으로 자사 솔루션의 수요를 설명하는 자료이기도 하다. 숫자를 공포 마케팅으로 소비할 필요는 없다. 다만 8,000명 규모의 다국가 설문에서 한국이 80%를 기록했다는 사실은, 경영진에게 보안 예산의 필요성을 설명할 때 외부 레퍼런스 수치로는 충분히 유용하다. 중요한 건 "우리도 당할 수 있다"가 아니라 "당했을 때 몇 시간 안에 복구되는가"를 내부 질문으로 바꾸는 일이다.