AI 확산 속 '사이버 복종국' 전락 위기… 90% 복원력 확보한 기업 단 4%

사이버 보안은 오늘날 기업들이 직면한 가장 중대한 리스크로 부각되고 있지만, 여전히 다수의 조직이 이에 충분히 대비하지 못하고 있는 것으로 나타났다. 최근 실시된 설문조사에 따르면, 응답 기업의 절반 이상이 지난 1년간 한 차례 이상의 사이버 공격으로 인해 금전적 또는 운영상 피해를 입었으며, 이 중 상당수는 반복적인 피해까지 경험했다. 그럼에도 불구하고 수많은 기업들이 보안 경고를 무시하거나 핵심 시스템의 완전한 복구를 보장하지 못하는 것으로 조사돼 위기 대응 역량에 심각한 결함이 있음을 드러냈다.

이번 조사를 주도한 더큐브리서치(TheCUBE Research)는 북미, 서유럽, 아시아 태평양 지역의 중대형 기업 600개사를 대상으로 NIST 사이버 보안 프레임워크 기반의 실제 복원력 수준을 진단했다. 응답자 중 대다수가 기업 IT 또는 보안 실무자였으며, 이들의 의견은 정보 기술 운영과 전통적인 보안 전략 간의 간극을 명확하게 보여줬다. 특히 응답자 중 44%가 데이터 보호 인프라가 공격받은 경험이 있다고 답변해, 사이버 공격자들이 기업의 ‘최종 방어선’을 정조준하고 있음을 시사했다.

설문 결과에 따르면, 운영 마비(38%)와 금전적 손실(33%)이 가장 중대한 피해 유형으로 나타났으며, 데이터 유출 및 손상도 30% 이상에서 관찰됐다. 특히 클라우드 서비스, 스토리지, 인증 시스템 등 모든 계층이 공격 대상이 되고 있다는 점에서, 사이버 복원력은 단일 시스템이 아닌 전사적 ‘통합 전략’이 요구된다는 메시지가 강하게 전달된다.

미국 최대 은행 JPMorgan의 최고경영자 제이미 다이먼(Jamie Dimon)도 이에 공감한다. 그는 최근 인터뷰에서 “내가 밤잠 못 이루는 이유는 사이버 위험”이라며, 매년 8억 달러(약 1조 1,500억 원) 이상의 예산을 투입해도 전력망, 통신망 등 국가적 기반 시설에 대한 위협에는 근본적인 위험이 여전하다고 경고했다.

더욱이 AI와 클라우드 확산에 따라 사이버 리스크의 전선은 과거보다 넓어졌다. 응답자의 45%는 클라우드 보안, 44%는 AI 기반 공격을 최우선 위협으로 꼽았다. AI는 지금까지의 방식보다 훨씬 빠르고 정교한 접근 방식으로 위협을 가하고 있으며, 동시에 방어 수단으로 활용되어야 하는 ‘양날의 칼’로 떠오르고 있다.

조직들의 대응력 결함은 경고 무시에서 가장 극명하게 드러난다. 전체 응답자의 절반 가까이가 보안 경고의 26~50%를 확인하지 않고 있으며, 20%는 아예 절반 이상을 무시한다고 답했다. 경고의 홍수 속에서 무엇이 진짜 위협인지 가려내지 못하는 현실은, 이미 기업 내부에 거대한 잠재적 취약 지대를 만들어 놓고 있는 셈이다. 이로 인해 사고 이후의 포렌식 분석조차 제대로 진행되지 않으며, 조직의 방어력 강화는 멈춘 채 위험은 누적되고 있다.

특히 미션 크리티컬 애플리케이션의 복원 신뢰도는 충격적이었다. 전체의 절반 이상이 주요 시스템의 절반조차 완전 복구가 어려울 수 있다고 인식하고 있으며, 단 4%만이 90% 이상의 복원력을 확보하고 있다고 응답했다. 이 같은 구조적 결함은 재무적 타격뿐만 아니라 규제 위반과 평판 훼손으로 이어질 수 있다.

설문 데이터는 또한 데이터 손실과 복구의 간극이 크다는 사실을 여실히 보여준다. 공격 때 한 번에 20~40%의 데이터가 유실됐다는 응답이 절반 이상이었으나, 복구율이 100%에 도달한 기업은 겨우 12%에 불과했다. 이는 단순한 기술 부족이 아니라, 복원 전략의 총체적 부실을 의미한다. 인력, 프로세스, 기술의 미흡한 연결 고리가 전체 복구를 가로막고 있는 것이다.

복구 시간 또한 심각한 문제로 지적됐다. 대다수 기업은 랜섬웨어 공격 발생 시 복원에 최소 4~15일이 걸린다고 응답했으며, 실제 공격을 경험한 기업들도 이 같은 소요 시간을 유사하게 보고했다. 이러한 지연은 신제품 출시 차질, 생산성 저하 및 고객 불만으로 이어져 조직의 전반적 성과에 치명적인 영향을 미친다.

한편 사이버 복원을 명분으로 몸값을 지불한 기업도 대부분 데이터를 완전히 복구하지 못했다는 사실 또한 주목할 만하다. 이 같은 현실은 특정 위협에 대응하는 ‘지름길’이 존재하지 않으며, 오히려 장기적 전략 없이는 반복되는 손실을 피할 수 없음을 암시한다. 최근 들어 보안 요건을 강화하는 보험사들이 많아지고 있는 점도 이 같은 기조를 뒷받침한다.

이에 따라 업계는 사이버 레질리언스를 데이터 보호, 보안, 거버넌스의 통합 전략으로 바라보는 시대로 접어들고 있다. 코히시티(Cohesity), 루브릭(Rubrik) 등 일부 순수 보안 솔루션 기업들이 빠르게 포지션을 전환했으며, 인공지능을 필두로 한 자동화 앱 통합이 다음 승부처가 될 전망이다.

궁극적으로 기업이 사이버 회복력을 통해 신뢰 기반의 경쟁력을 확보하려면, 인프라 전반에서 100% 수준의 복원력을 목표로 삼아야 한다. 이는 시간이 걸리는 과제지만, 데이터 지배력 없이는 AI 경쟁력도 없다. 그리고 AI가 새로운 산업 패러다임을 주도하는 시점에서, 사이버 회복력이야말로 기업 생존을 좌우하는 기준선이 될 것임은 분명하다.