[한국정보공학기술사 보안을 論하다-36] 사이버사고는 왜 반복되는가: AI 시대, 인간심리와 조직의 선택

반복되는 사이버사고는 우연이 아니라 조직 선택의 결과
AI 시대의 사고는 인간심리를 외면한 조직 구조에서 시작해

[보안뉴스= 박기현 기술사] 사이버사고가 발생했을 때 우리는 가장 먼저 기술적인 문제부터 바라본다. 시스템에 취약점이 있었는지, 보안 체계는 적절했는지, 정책에 문제는 없었는지 단계별로 점검한다.

지난해 SK텔레콤, 쿠팡, 롯데카드, 위믹스 같은 사고들의 조사결과도 외부에 공개됐다. 그러나 문제를 거슬러 올라가 보면 사고의 출발점은 대부분 사람인 경우가 적지 않다. 내부 직원이 실수하거나, 개발자가 방치한 취약점이거나, 심지어 보안 담당자의 설정 오류인 경우도 있다. 실제로 많은 조직에서 사고가 발생하면 가장 먼저 ‘누가’ 사고의 원인인지 의심한다. 개인의 실수로 사고가 발생할 수는 있다. 그러나 같은 실수가 조직마다 반복된다면, 단순히 개인의 문제로만 단정하기는 어렵다.

사고를 유발하는 사람의 실수를 역할 관점에서 나누어 보면 크게 내부 직원, 시스템 개발자, 보안 담당자로 구분할 수 있다. 세 가지 관점 모두 다른 시각과 생각을 하고 있지만, 같은 조직 환경 안에서 의사결정과 행동이 좌우된다. 이들의 실수가 개인의 일탈이라기보다는 조직에서 충분히 예측 가능한 범위로 볼 수 있다는 이야기다. AI 시대를 배경으로, 각자의 관점에서 발생하는 실수가 어떻게 보안 사고로 이어지는지 살펴보고자 한다.

“수없이 알려줘도, 왜 직원들은 계속 속을까?”
사람을 대상으로 하는 사회공학 공격은 사이버 공간이 등장한 이래 꾸준히 발생해 왔다. 인간은 본질적으로 불완전하고, 개인의 주의력과 판단력에는 한계가 있다. 보안이 중요하다고 교육해도 그 순간이 지나면 자연스레 희미해진다. 익숙한 것에는 의심이 줄고, 형식적인 절차에 쉽게 피로감을 느낀다. 특정 개인만 그런 것이 아닌 누구나 공통으로 작용하는 인간의 특이다.

AI 시대에서 개인을 겨냥한 공격은 한층 고도화되었다. 과거에는 공격자의 숙련도에 따라 공격의 정밀도, 공격 범위, 시도 횟수가 제한적이었다면, 지금은 누구나 AI 도구를 통해 개인화된 공격을 시도할 수 있다. 특히 2025년 발생한 쿠팡 개인정보 유출, SKT 유심 정보 유출 같은 사건을 보면 AI 기반 사이버 공격이 학습할 수 있는 현실 데이터가 얼마나 풍부한지 쉽게 알 수 있다.

이런 환경에서 직원의 실수로 발생하는 사고를 단순히 개인의 문제로 보는 것이 적절할까? 이는 사회공학 공격에 취약한 인간의 특성이 그대로 드러나는 결과이며, 조직은 사고에 노출되는 인간 심리를 전제로 보안 설계를 고민해야 한다.

“보안 담당자의 실수는 업무 태만일까?”
지난해 4월 SK텔레콤에서 약 2,300만 명 분량의 대규모 민감 정보가 유출됐다. 장기간 잠복한 악성코드(BPFDoor)가 공격 경로로 지목되었고, 정부 조사 결과에서는 사용자 인증, 민감 데이터 관리 부실 및 과거 침해 대응 기록의 반복적 실수가 주요 지적 사항으로 언급됐다.

이 사고를 단순히 보안 담당자의 태만으로 볼 수 있을까? “사고가 없었으니, 앞으로도 안전하다”라는 정상성 편향은 사고 발생 전까지 조직들이 가지는 대표적인 심리다. 실제 현업에서는 AI 기반 공격 고도화와 AI 활용 확대로 인해 보안 담당자가 관리해야 할 공격 표면과 위험 범위가 기하급수적으로 증가했다. 그러나 이러한 변화가 이미 현실화됐음에도 불구하고, 보안 조직에 대한 지원·권한·체계는 크게 달라지지 않는 경우가 대부분이다.

AI 부서가 신설되고, AI 기술이 들어간 사업을 우선하는 현상 속에서 보안 담당자의 판단은 조직의 영향을 받을 수밖에 없다. 보안이 늘 중요하다고 언급되지만, 조직의 우선순위에 들기란 아직은 요원한 일처럼 보인다.

“개발자의 실수는 개인의 역량 문제일까?”
AI 시대에 개발자의 역할은 큰 화두이다. 감성 기반의 이른바 ‘Vibe Coding’ 기술을 활용해 비전문가가 느낌만으로 결과물을 만들 수 있게 됐다. 반면, 전문가인 개발자에게는 더 빠른 성과와 높은 품질의 산출물을 요구받는다. 이 과정에서 보안 적용은 자연스레 후순위로 밀리며, 시큐어 코딩은 그저 추가 업무로서 선택사항이 되고 만다.

작년 위메이드 WEMIX 토큰 탈취 사고가 대표적인 보안 인식 부재 사례이다. 인증키를 코드 저장소에 공유, 저장한 개발자의 실수로 해커는 장기간 시스템 내부를 탐색할 수 있었고, 90억 원가량의 코인이 유출됐다. 늘 해오던 방식대로, 빠른 성과를 우선시한 개발이 장기적 보안 취약점을 그대로 노출한 것이다. AI 도구의 등장으로 개발 속도는 빨라졌으나, 검증은 생략되고 현재의 작은 보상에 가치를 두는 현재 편향만 증가한 셈이다.

이제 다시 질문으로 돌아가 보면, 그래서 사람이 문제일까? 조직의 입장에서 사람의 실수는 개개인의 문제로 분리하여 생각한다. 보안 교육을 실시했고, 정책도 마련했으며, 관리적 보안을 이행했다는 이유로 실수가 개인의 책임으로 귀결된다. 그러나 보안 교육을 받더라도 해킹 메일은 열람할 수 있으며, 한 번 설정된 정책은 시간이 지나며 정책표류(Policy Drift)가 발생하기 마련이다. 개발자에게 요구되는 보안 패치와 수준도 시간이 지남에 따라 당연히 변화하고 증가한다. 사람은 불완전하며 반드시 실수한다. 실수한 사람을 탓하기 전에 인간 심리를 전제로 한 조직의 보안 체계가 마련되어야 할 이유다.

실수를 전제한 체계 설계와 AI의 보조적 활용
조직이 선택해야 할 방향은 분명하다. 보안 조직에 대한 실질적 권한과 자원을 분배하고, 보안이 개인의 판단과 권고가 아닌 조직 차원에서 강제되어야 한다. 특정 기술에 국한되지 않고, 조직의 의사결정 구조를 어떻게 설계할지 고민해야 한다.

개발 단계에서는 ‘DevSecOps’를 통해 보안 점검 절차를 자동화하여 시큐어 코딩과 취약점 점검이 개발자 의도와 무관하게 수행되도록 한다. 무신뢰 원칙을 기반으로 한 ‘ZeroTrust’ 모델로 접근 통제를 설계하여 최소 권한과 지속적 검증을 기본값으로 삼는다. AI 시대에 급증하는 라이브러리는 ‘SBOM’(Software Bill of Materials)으로 공급망 통제를 이행하고, 시간의 흐름 속에서 사각지대가 되는 정책들은 ‘정책표류’(Policy Drift) 탐지를 통해 지속적으로 관리해야 한다.

실수는 언제든 발생한다는 전제로 ‘심층 방어 체계’(Defense in Depth)를 구성하고, 사고로 이어지더라도 신속한 복구와 업무 연속성을 보장하는 ‘사이버 복원력’(Cyber Resilience)까지 고려되어야 한다. 사람의 실수는 예외가 아니란 생각으로, 실수가 사고로 이어지지 않도록 설계하는 것이 조직의 역할이다.

또, 조직의 선택에 따른 보안 설계를 지속적으로 유지하기 위해 AI 기술을 적극 활용할 수 있다. 사람의 판단과 주의에 의존하여 발생하던 실수를 AI 기반으로 상시 모니터링할 수 있다. 예를 들어 ‘UEBA’(User and Entity Behavior Analytics)와 같은 AI 기반 행위 분석을 통해 보안 운영 과정의 이상 징후를 식별하고, 설정 오류, 정책 이탈과 같은 정책표류를 조기에 탐지할 수 있다. AI 기반 ‘SOAR’(Security Orchestration, Automation and Response)는 반복적으로 발생하는 침해 사고 유형과 조직의 대응 이력을 학습하여 초기 대응 속도를 향상하는 데 활용할 수 있다.

이러한 활용은 사람을 AI로 대체하겠다는 의미가 아니라, 사람이 실수하더라도 기존의 보안 설계가 흔들리지 않도록 보조할 수 있다는 이야기다. AI는 새로운 해답은 아니지만, 인간에게 의존하던 보안 체계를 지속적으로 유지할 수 있는 현실적인 도구다.

돌고 돌아, 보안의 완성은 결국 ‘인간에 대한 이해’

돌고 돌아, 사람은 가장 오래되었고 가장 위험한 약점이다. 동시에 모든 보안의 출발점이자 기준점이기도 하다. AI 시대에서 보안은 기술 고도화 자체가 아닌, 인간 심리를 전제로 한 설계와 조직 이해가 함께할 때 완성된다.

결국 반복되는 사이버 사고란 새로운 공격 기법보다는, 인간 심리에 따른 사람의 실수를 전제하지 않은 조직 선택의 결과다. 각각의 이해관계자 관점에서 기저에 놓인 인간 심리를 이해하고, 이를 바탕으로 조직과 체계를 설계할 때 비로소 보안이 작동한다.

사람의 실수가 사고로 이어질지는 조직의 선택에 달려 있다. 모든 사고를 막을 수는 없을 것이다. 다만 반복되는 사고를 줄일 선택지는 분명히 존재할 것이다.

[글_ 박기현 기술사]

필자소개_
정보관리기술사
정보시스템수석감리원
한국정보공학기술사회 미래융합기술원 보안분과 위원

우리나라 정보보호 수준 향상을 위해 이재명 정부에게 가장 바라는 점은 무엇인가요?
	ISMS 등 보안 인증 제도 실효성 개선
	AI 보안, 양자보안 등 보안 기술 연구개발 지원 확대
	중소 기업 보안 지원 확대
	기업 보안 예산 비율 의무화
	국가 정보보호 거버넌스 체계 정비
	기타(댓글로)