가트너가 경고한 7가지 사이버보안 격변
“보안은 더 이상 기술만의 문제가 아니다.“
글로벌 IT 리서치 기업 가트너(Gartner)는 지난 15일 발표한 보고서를 통해, 향후 조직의 보안을 위협하는 요인이 단순한 기술 문제가 아니라 정치, 경제, 사회, 규제, 신뢰, 환경 등다양한 외부 환경에서 기인할 수 있다고 경고했다.
가트너는 ‘2025년 사이버보안의 격변: 조직을 위협할 7가지 힘(Cybersecurity Turbulence in 2025: 7 Forces That Will Threaten Your Organization)’이라는 주제로, 기존 사이버 보안의 기준을 흔드는 7가지 구조적 변화 요인을 분석했다.
기술 – 통합되지 않은 보안 솔루션, 복잡성만 키워
가트너는 ‘베스트 오브 브리드(Best-of-Breed)’라 불리는 다양한 업체의 보안 솔루션을 각각 따로 도입하는 전략은 오히려 통합적인 위협 대응을 방해할 수 있다고 분석했다. 각 보안 솔루션은 개별적으로는 우수할 수 있지만, 통합되지 않은 상태에서는 효율성을 떨어트리며 보안의 허점을 만들 수 있다는 것이다.
가트너에 따르면, 대부분의 글로벌 조직이 평균 40개 이상의 보안 솔루션을 운영하고 있다. 글로벌 IT 매거진 비즈테크(BizTech)의 2024년 조사에 따르면, 소매 업종 조직의 68%가 10개 이상 보안 도구를 동시에 사용하고 있었으며, 일부 기업은 50개에서 70개 이상의 툴을 운용하는 것으로 나타났다. 이러한 현상은 단순한 중복을 넘어 ▲솔루션 간 해석의 차이 ▲구성 설정 오류 ▲운영자 실수 등으로 이어질 수 있다.
더욱이, 최근에는 인공지능(AI) 기반의 자동화된 공격이 이러한 복잡성을 역으로 이용하고 있다. 공격자가 통합되지 않은 툴 간의 설정 불일치 등 허점을 탐지해 침투하는 전략을 구사해, 전통적인 방어 체계로는 탐지하기 어렵다. 이런 이유로 가트너는 통합형 보안 플랫폼에 대한 수요가 증가하면서 통합적인 기능을 제공하는 멀티 보안 솔루션 업체들이 시장 점유율을 빠르게 가져갈 것으로 전망했다. 장기적으로는 주요 보안 벤더들이 인수·합병과 기능 통합을 통해 제품 수를 줄이는 방향으로 재편될 가능성이 높다는 것이다.
정치 – 흔들리는 미국의 사이버 위협 정보 주도권
가트너는 사이버 위협 인텔리전스 생태계가 2027년까지 미국 중심에서 민간 산업과 유럽·중동 중심으로 재편될 가능성이 높다고 전망했다. 이는 제2차 세계대전 이후 유지되어 온 미국 주도의 동맹 기반 정보 공유 체계가 점차 쇠퇴하고 있다는 분석이다.
기존에는 미 연방정부 산하 사이버보안청(CISA)과 같은 국가기관이 위협 정보의 주요 축이었다. 하지만 이제는 민간 보안 벤더나 기술 기업들이 국가 수준에 버금가는 수준의 위협 데이터를 확보하고 있으며, 정보 게이트키퍼의 역할이 민간으로 옮겨가고 있다는 것이 가트너의 진단이다. 실제로 지난 5월 CISA 내 주요 수뇌부가 대거 사임하고, ‘Secure by Design’ 캠페인이 중단 위기를 겪는 등 미국 내 내부 불안 요인은 이러한 흐름을 가속화하고 있다.
가트너는 이런 변화가 단기적으로 미국·영국·유럽연합(EU) 간 정보 공유 채널의 신뢰도 저하로 이어질 수 있으며, 보안 담당자들은 기존 정부 주도 체계를 넘어 다양한 정보 출처 확보에 나서야 한다고 조언했다. 특히 위협 인텔리전스를 다원화하고, 각 출처의 신뢰성을 자체적으로 검증하는 체계 구축이 중요하다고 강조했다.
경제 – 불확실한 경제에 발목 잡힌 보안 투자
정치적 변화뿐 아니라 글로벌 경제 불확실성도 보안 전략에 큰 영향을 미칠 변수로 지목됐다. 가트너는 미국의 보호무역 기조와 정책 급변이 보안 장비와 솔루션의 도입 시기를 늦추거나 중단시키는 주요 원인이 될 수 있다고 분석했다.
특히 트럼프 대통령의 관세 조정, 수출입 제한, 규제 변화 등이 겹치면서 기업의 보안 투자 결정이 늦어지고, 필수 솔루션의 품질·공급 문제로 접근 자체가 제한될 가능성도 제기됐다. 단기적으로는 예산 편성 지연, 장기적으로는 핵심 기술 확보 실패로 인해 보안 공백이 생길 위험이 있다는 것이다.
사회 – 직원 통제? 신뢰 없으면 보안도 무너져
가트너는 조직 내 신뢰도 보안 솔루션 도입 시 중요한 변수로 작용한다고 분석했다. 특히, 과도한 통제는 구성원의 저항을 유발해 보안 체계 전체의 응집력을 무너뜨릴 수 있다고 경고했다.
가트너는 원격·하이브리드 근무와 워라밸(일과 여가의 균형을 중시하는 문화) 확산이라는 시대 흐름 속에서 직원들이 사생활 존중과 투명한 통제을 기반으로 한 보안 전략을 요구하고 있다고 바라봤다. 이를 무시할 경우 직원들의 우회 시도 증가, 내부 인재 이탈, 개인정보 침해 등으로 회사의 이미지가 나빠지고, 벌금까지 내는 상황으로 이어질 수 있다. 이에 보안 리더는 단순한 통제를 넘어 신뢰와 협력을 기반으로 한 인간 중심의 보안 환경을 구축해야 한다고 가트너는 강조했다.
2023년 국내에서는 대법원이 근로자가 사전 동의 없이 설치된 CCTV를 가리는 행위가 정당하다고 판결한 사례가 있었다. 법원은 감시 목적이 명확하지 않은 CCTV가 직원들을 지속적으로 촬영한 것은 개인정보 보호 원칙에 어긋난다고 보고, 이를 가린 직원의 행동을 정당하다고 인정했다.
신뢰 – 허위 정보, 이제는 보안이 막아야 할 공격
허위 정보(Disinformation) 공격은 기업의 평판은 물론, 실질적인 주가 하락으로 이어질 수 있는 위협으로 부상했다. 가트너는 허위 정보가 이제 단순한 여론 조작을 넘어 기업의 이미지와 주가를 흔들 수 있는 위험 요소라고 경고했다.
실제 사례로, 2024년 발표된 하이덴버그 리서치(Hindenburg Research)의 보고서 발표 이후 폴란드 패션 기업 LPP의 주가는 하루 만에 약 28~36% 급락했다. 보고서는 LPP가 러시아 사업을 실제로는 철수하지 않았음에도 매각했다고 주장했다. 이는 허위 정보가 기업의 신뢰도와 주가에 미치는 영향을 보여준 사례로 주목받았다.
가트너는 2027년까지 25%의 글로벌 대기업이 허위 정보에 대응하는 보안 기업과 협업할 것이라 예측했다. 또한, 최고정보보호책임자(CISO)는 이제 PR·법무·위기대응팀과 함께 ‘내러티브 대응 전략’을 마련하고 관련 벤더와 협력해야 한다고 강조했다.
규제 – CISO, 기술보다 규제에 더 많은 시간 쓸 것
글로벌 보안 규제 개편의 흐름이 전세계적으로 강해지고 있다. 유럽연합의 ‘디지털 운영 복원력 법(DORA)’과 ‘NIS2 지침(사이버 보안과 관련해 유럽 전 지역을 아우르는 법안)‘은 금융·정보·인프라 분야에서 사이버 회복력과 위험 관리를 법제화하고 있다. 가트너는 이러한 흐름이 보안 리더의 업무에 추가될 수 있다고 분석하며, 2027년까지 CISO의 40% 이상이 규제 대응을 위한 작업에 투입될 수 있다고 전망했다.
환경 – 전력 끊기면 보안도 멈춘다
AI가 확산되면서 데이터센터 고밀도화로 인한 전력 수요가 증가하고 있다는 것도 새로운 보안 위협 요인 중 하나다. 가트너는 “2028년까지 정전으로 사이버 위협 대응 시간이 지연돼 막대한 피해가 발생할 것”이라고 경고했다. 이에, 기술 도입 시 에너지 소비량과 전력 우선순위를 평가 기준에 포함해야 하며, 정전 시나리오를 반영한 재해복구 계획이 필요하다고 조언했다.
국내에서 일어난 대표적인 사례로, 2022년 카카오 판교 데이터센터 화재 사건이 있다. 당시 전력 공급이 중단되면서 카카오톡 등 주요 서비스가 수 시간 동안 마비됐다. 사고 후, 카카오는 사고 보고서를 통해 “주요 인프라인 오브젝트 스토리지의 메타 정보 시스템과, 보안키 저장소는 판교 데이터센터에만 이중화 되어 있었기 때문에 시스템들이 정상적으로 재기동될 수 없었다”고 분석했다. 이는 재난 상황에서 ‘가용성’에 문제가 생기면, 보안 대응에도 차질이 생길 수 있다는 것을 보여준다.
가트너는 앞서 분석한 ‘7가지 힘‘이 단순한 기술 문제가 아닌, 조직을 둘러싼 복합적 구조적 변화의 결과”라고 분석했다. 이어 “보안 리더가 기술 대응에만 머물 경우 조직은 필연적으로 위기에 노출될 것”이라며 “이제 보안은 인사, 법무, 경영, 재무 등 전사적 협업 속에서 전략적으로 접근해야 할 문제”라고 강조했다.
글. 바이라인네트워크
<곽중희 기자>god8889@byline.network
