RSAC 2025, AI 보안 ‘실전무대’로… CISO 위상이 달라졌다

에이전트 기반 인공지능(AI) 보안 플랫폼의 경쟁이 거세지는 가운데 보안 최고책임자(CISO)의 역할과 위상이 시장에 중대한 변화를 일으키고 있다. 미국 샌프란시스코에서 열린 RSAC 2025(세계 최대 보안 콘퍼런스)에서는 이전보다 진일보한 AI 기술 도입 외에도 CISO의 전략적 가치 상승이 핵심 화두로 떠올랐다. 전문가들은 이제 사이버 보안이 단순한 기술 이슈를 넘어 보드룸의 핵심 의제로 자리 잡고 있다고 강조한다.

사이버 보안 전문 투자사 스케일 벤처 파트너스가 공개한 '2025 사이버보안 전망 보고서'에 따르면, 전 세계 보안 역량 평균이 2023년 48%에서 올해 61%로 상승했다. 이는 에이전트형 AI 기술과 보안 자동화의 결합이 실제적인 성과로 이어졌다는 것을 의미한다. 보고서는 또한 70%의 보안 리더가 일반적인 피싱 공격으로부터 보호받고 있으며, 감염률은 28%에 불과하다고 진단했다.

주요 벤더들은 이번 행사에서 AI 요원 기술이 단순한 개념을 넘어 보안 플랫폼의 핵심 요소로 자리 잡고 있음을 강조했다. 다크트레이스, 팔로알토 네트웍스(PANW), 마이크로소프트(MSFT), 시스코(CSCO), 크라우드스트라이크(CRWD) 등은 각각의 플랫폼에 AI 기반 탐지와 자동 대응 기능을 탑재해 침투 시간을 40% 단축하고, 내부 확산 전에 피싱 기반 위협을 무력화하는 사례들을 소개했다. 특히 마이크로소프트는 AI의 생애주기 전반을 보호하는 6대 보안 전략을 발표하며, AI를 ‘기본적으로, 설계부터, 어디서나’ 안전하게 만들겠다는 비전을 제시했다.

기업들은 보안 운영센터(SOC) 내 경보 분석 업무에 AI 요원을 도입해 효율화를 도모하고 있다. 각 벤더는 자사 기술로 실제 시나리오를 재현하며, 보안 담당자의 부담을 줄이는 워크플로우를 시연하는 데 주력했다. 크라우드스트라이크는 실제 북한의 ‘조르리마’ 해킹 그룹이 미국 및 해외 기업에 침투하는 수법을 라이브 데모로 공개하며, AI 요원이 어떻게 실시간으로 탐지·차단하는지를 보여주는 데 집중했다.

이번 RSAC 2025에서 가장 주목받은 메시지 중 하나는 “AI는 마법이 아닌 수학”이라는 표현이다. 프로텍트 AI의 최고기술책임자 다이애나 켈리는 제너레이티브 AI의 허상을 걷어내며, 보안 담당자들이 반드시 방어해야 할 요소로 ‘모델 오염’과 ‘프롬프트 공격’, 허위출력 등을 꼽았다. 켈리는 OWASP가 선정한 생성형 AI 보안 리스크 'TOP 10'을 소개하며, AI 보안을 초기 설계 단계부터 고려해야 한다고 강조했다. 이에 발맞춰 팔로알토 네트웍스는 행사 당일 프로텍트 AI 인수 의향을 공식 발표하며 공격적인 AI 보안 역량 강화에 나섰다.

크라우드스트라이크의 조지 커츠 최고경영자(CEO)는 이번 콘퍼런스에서 “사이버 리스크는 이제 모든 이사회에서 가장 중대한 비즈니스 리스크”라고 선언했다. 그는 사이버 보안을 단순한 규제 대응이 아닌 ‘거버넌스 의무’로 규정하며, 현재의 증권거래위원회(SEC) 규제 변화가 CISO의 권한과 영향력을 실질적으로 끌어올리고 있다고 분석했다. 커츠는 “이사회에 이미 사이버 전문성을 원한다고 밝힌 기업이 72%에 달하지만, 실제로 해당 역량을 갖춘 임원은 29%에 불과하다”며 역설적인 현실을 지적했다.

그는 CISO들이 실제 비즈니스 흐름을 이해하고, 경영진 언어로 커뮤니케이션하며, 보안기술의 테두리를 넘어서야 한다고 조언했다. 커츠는 특히 2002년 사베인스-옥슬리법이 최고재무책임자(CFO)의 이사회 입성을 촉발한 것처럼, 2024년 시행된 SEC의 침해사고 공시 의무가 CISO에게도 유사한 기회를 제공할 것이라고 내다봤다.

AI 보안 솔루션이 이제 기술적 완성도보다 실제 결과로 입증받아야 한다는 점도 강조됐다. RSAC 2025는 ‘에이전트형 AI의 실전 테스트 무대’임을 분명히 했으며, 효과적인 대응 설계부터 경보 자동화, 멀웨어 침투까지 실제 해결책을 제시한 기업이 주목받았다. 더 이상 AI는 기대감만으로는 먹히지 않는 시대가 도래했고, 이제는 이사회와 고객 앞에서 신뢰할 만한 실질적 성과로 논의가 이뤄지고 있다.