전 세계 기업 3억개 vs CISO 3만명... “보안 사령관이 없다”

포춘 500대 기업 제외한 전 세계 90% 중소기업 보안 전담 인력 전무
MSP 및 MSSP 등 파트너사 활용한 서비스형 보안 리더십 도입 시급성 대두

[보안뉴스 김형근 기자] 전 세계 기업 수가 3억5900만 개에 달하지만, 활동 중인 정보보호 최고책임자(CISO)는 고작 3만5000명에 불과해 글로벌 보안 리더십에 심각한 경고등이 켜졌다.

글로벌 보안 기업 소포스(Sophos)와 사이버보안 전문 시장 조사기관 사이버시큐리티 벤처스(Cybersecurity Ventures)가 공동 발표한 ‘2026 CISO 보고서’는 세계적인 보안 리더십 부족 현상을 지적했다.

보고서에 따르면 2026년 현재 전 세계에서 활동 중인 CISO는 약 3만5000명으로 3억5900만개에 달하는 전체 기업 수에 비해 턱없이 부족한 실정이다. 포춘 500대 기업 등 대기업은 대부분 전임 CISO를 고용하고 있지만, 전 세계 기업의 90%를 차지하는 중소기업(SMB)은 전담 인력이 거의 없다시피 하다.

사이버 범죄로 인한 피해액은 2025년 10조5000억달러에서 2031년 12조2000억 달러까지 치솟을 것으로 전망되는 가운데, 보안 전문가의 역할이 그 어느 때보다 중요해졌다. 인력난의 대안으로 원격 보안 전략과 침해 대응을 지원하는 가상 CISO(vCISO) 모델이 부상하고 있으나, 물리적 한계는 뚜렷하다.

이에 보고서는 ‘관리형 서비스 제공업체’(MSP)와 ‘관리형 보안 서비스 제공업체’(MSSP)를 통한 보안 리더십 공백을 해소할 대안으로 제시했다. 보안 운영(MDR)이 서비스 중심으로 진화했듯 중소기업들이 CISO를 직접 고용하는 대신 서비스형 보안 리더십으로 보안 수준을 재고해야 한다는 것이다.

조 레비 소포스 CEO는 “보안 전문가 1명이 기업 1만개를 책임져야 하는 비율은 시장 실패”라며 “극심한 보안 리더십 공급 부족은 개별 기업을 넘어 글로벌 경제의 회복 탄력성을 위협하는 리스크”라고 말했다.

[김형근 기자(editor@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다