“조사도 안 끝났는데 보고부터?” 불투명한 팩트에 발목 잡힌 보안 거버넌스

규제 당국의 상이한 기준에 기업들 혼란 가중... 섣불리 제출한 서류가 부메랑 되기도
의사결정의 투명한 기록 및 증적 남기는 데이터 기반 사후 방어권 확보 주력
단편적 사고 수습 넘어 전사적 리스크 관리 관점의 거버넌스 재설계 본격화

[보안뉴스 김형근 기자] 사이버 침해 사고 발생 시 기업이 처리해야 할 규제 보고 의무가 수백여개로 증가하면서 기존의 수동적인 대응 체계가 한계에 달했다는 분석이 나왔다.

브리치알엑스(BreachRx)는 최근 발간한 보고서를 통해 현대의 사이버 침해 보고가 단순한 체크리스트 수준을 넘어 시스템 규모의 조정 문제로 변모했다고 진단했다. 단일 사고에 대해 기관별로 서로 다른 기준과 마감 시한이 겹쳐서 적용되는 ‘규제 동시성’(Regulatory Concurrency) 현상이 기업의 실무적 역량을 초과하고 있다는 지적이다.

보고서는 체인지 헬스케어(Change Healthcare), 스노우플레이크(Snowflake), 세일즈포스(Salesforce), 700크레딧(700Credit), 솔트 타이푼(Salt Typhoon) 등 5개 주요 사고를 분석해 5가지 동시성 모델을 규명했다.

체인지 헬스케어의 사고는 17개월 동안 연방 및 주 정부 등에 걸쳐 최소 107개의 보고 의무가 발생한 수직적 동시성(Vertical Concurrency)의 대표 사례로 꼽힌다. 초기 보고 시점에는 피해 규모가 명확하지 않았으나 점차 1억9270만명 규모로 팩트가 진화하면서 장기간의 버전 관리 문제가 발생했다.

스노우플레이크와 세일즈포스 사태는 수평적(Horizontal)이고 연쇄적(Cascading)인 위험성을 여실히 보여준다. 스노우플레이크 침해는 165개 이상의 독립된 파트너 조직에서 209개 이상의 보고 의무를 파생시켰으며, 세일즈포스 생태계에서는 하나의 인증 정보 탈취가 2차 시스템 침해로 연쇄 확장되며 최소 300개 이상의 보고 의무를 발생시킨 것으로 분석됐다.

보고 규모의 방대함뿐만 아니라 규제 정의의 모호함도 리스크를 가중시키는 요인으로 풀이된다. 700크레딧 사고에서는 사고 식별부터 파트너사 통보까지 27일의 간극이 발생해, 어떤 시점을 규제 시계의 출발점으로 삼을지에 대한 해석적 위험(Definition-Driven)을 낳았다. 국가 안보와 얽혀 정보 공개가 극도로 제한되는 솔트 타이푼 사태는 제약 주도(Constraint-Driven) 동시성의 한계를 드러냈다.

브리치알엑스는 이메일이나 엑셀 등 수동적인 방식으로는 수많은 규제 시계를 동시에 추적하고 팩트의 일관성을 유지할 수 없다고 경고한다. 각 부서가 파편화된 정보를 바탕으로 서로 다른 버전의 문서를 작성하게 되면 결국 사후 법적 방어력(Defensibility) 훼손으로 이어진다는 분석이다.

사이버 침해 보고는 이제 법무 부서의 단편적인 업무를 넘어 이사회 및 경영진 차원의 거버넌스 과제로 격상되어야 할 전망이다. 보고서는 실시간 팩트 업데이트, 마감 시한 중앙 추적, 의사결정 논리 기록 등을 통합적으로 제공하는 시스템 기반의 오케스트레이션 도입이 필수적이라고 강조했다.

[조재호 기자(zephyr@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다