보안책임자 87%, 2027년 보안 지출 증가 예상

강이안 기자 2026.10.30 10:51

안드리센호로위츠가 직원 1000명 초과 기업의 보안책임자 100명을 조사했다. AI 보안관제 도구를 실제 운영하는 응답자는 18%였고, 45%는 12개월 안에 사내 AI 에이전트 보안 제품을 새로 사거나 크게 개선할 계획이라고 답했다.

토포AI로 이 기사 더 깊이 읽기

패치 검증 화면을 살피는 분석가의 손, AI 생성 이미지 / TokenPost.ai

직원 1000명 초과 기업의 보안책임자 87%가 2027년 보안 지출이 늘 것으로 예상했다. 응답자들이 2027년 주요 과제로 꼽은 상위 7개 항목은 모두 AI 관련 분야였다.

안드리센호로위츠(Andreessen Horowitz)는 28일 공개한 ‘새로운 보안 의제’ 보고서에서 기업 최고정보보호책임자(CISO) 100명을 조사했다고 밝혔다. 예산과 보안 업무 우선순위, 2027년 구매 계획을 물었다.

예산 증가분은 주로 보안 도구에 쓰일 것으로 조사됐다. 응답자 거의 절반은 보안 인력도 늘릴 것으로 봤고, 또 다른 절반가량은 인력을 유지할 것으로 예상했다. 감축을 예상한 응답자는 4%였다. 추가 지출은 밀린 보안 경보를 조사하고, 사내 애플리케이션을 점검하며, 취약점을 더 빨리 고치는 데 투입될 것으로 나타났다.

응답자들이 기억한 2026년 주요 과제는 공격 노출·취약점 관리와 보안정보·이벤트 관리(SIEM)였다. 2027년에는 보안관제센터(SOC) 자동화가 가장 많은 1순위 표를 받았다. 사내 AI 에이전트 보안과 공격자 관점의 보안 점검도 우선순위가 크게 올랐다.

구매 계획과 실제 도입 사이에는 차이가 있었다. AI 보안관제 도구를 운영 환경에서 사용한다는 응답은 18%였다. 반면 45%는 12개월 안에 사내 AI 에이전트 보안 제품을 새로 사거나 크게 개선할 계획이라고 답했다. 공격자 관점의 보안 점검은 42%, AI 사용·관리 도구는 38%가 같은 기간 구매하거나 개선할 계획이었다.

기업 내 AI 도입도 보안 대상의 확대로 이어지고 있다. 직원용 생성형 AI 도구를 제한적으로라도 운영 환경에 도입한 기업은 92%, 코딩 보조 도구나 에이전트를 도입한 기업은 83%였다. AI 에이전트와 애플리케이션을 연결하는 MCP 서버 등 연동 도구를 운영하는 비율은 55%였다.

응답자 47%는 직원이 AI 도구에 민감한 정보를 넣는 일을 주요 우려로 꼽았다. 46%는 에이전트가 권한을 넘거나 침해되는 일을 걱정했고, 29%는 프롬프트 인젝션이나 AI 애플리케이션을 통한 정보 유출을 들었다. 보안 검토와 승인 절차, 특정 용도 제한 등으로 AI 도입이 일부 늦어지고 있다는 응답은 63%였다.

공격 속도도 보안 우선순위를 바꾸는 배경으로 제시됐다. 안드리센호로위츠 보고서가 인용한 베인(Bain)의 추산은 AI가 일반적인 공격 절차를 약 4주에서 약 18시간으로 줄일 수 있다고 봤다. 응답자 83%는 보안 상태를 더 자주 시험하는 일이 중요하다고 답했으며, 54%는 이를 매우 중요하게 평가했다.

현재 공격 보안 시험을 운영 자산에 상시 적용한다는 응답은 18%였다. 52%는 1년 안에 상시 적용이 가능할 것으로 예상했다. 5년 뒤에는 44%가 코드나 인프라 변경을 계기로 보안 시험이 CI/CD 과정에 포함될 것으로 봤다.

취약점을 찾는 속도만으로는 보안 업무가 끝나지 않는다는 지적도 나왔다. 보고서에 참여한 핀테크 기업 CISO는 “AI 도구로 취약점을 더 빨리 찾을 수 있지만, 패치까지 빨라지는 것은 아니다”라고 말했다. 응답자 70%는 수정한 취약점을 다시 시험하고 해결 여부를 확인하는 기능을 원했고, 67%는 실제 악용 가능성을 기준으로 수정 우선순위를 정하길 바랐다. 자동 수정안이나 작업 지시 생성을 원하는 응답은 57%였다.

AI 에이전트에 어느 정도 자율성을 줄지도 과제로 남았다. 응답자 36%는 현재 에이전트가 저위험 조치를 자율적으로 수행하는 데 동의할 수 있다고 답했다. 12개월 뒤에는 60%가 같은 수준의 자율성을 받아들일 것으로 예상했다. 대부분의 상황에서 에이전트의 자율 행동을 허용하겠다는 응답은 7%였다.

AI 보안 기능을 구매할 때는 기존 업체가 먼저 검토 대상에 오르는 경향이 있었다. 응답자 44%는 기존 보안 플랫폼에서 기능을 찾겠다고 했고, AI 전문 보안업체를 먼저 보겠다는 비율은 21%였다. 다만 기존 업체가 해결하지 못하는 기능 공백이 있다면 신생 업체를 선택할 수 있다는 응답도 47%였다.

제품을 비교하는 과정은 쉽지 않다. 일부 AI 보안 분야에는 업체가 최대 43곳에 이르며, 한 글로벌 의류업체 CISO는 실증 평가 대상으로 7~8개 업체를 3개로 좁혔다고 전했다. 구매자들은 제품이 사람의 개입 없이 실제로 처리하는 업무량과 분석가의 후속 작업, 운영 환경에서 에이전트에 부여되는 권한, 판단 과정의 감사 가능성을 살펴야 한다.

가상자산 업계에서도 AI 기반 사기와 계정 탈취 위험을 경고한 솔라나 재단 CISO의 발언을 본지가 전한 바 있다. 이번 조사는 직원 1000명 초과 기업의 CISO를 대상으로 했으며 업종별 결과를 따로 제시하지 않아, 87%를 국내 가상자산 기업의 예산 계획으로 일반화할 수 없다.