지능화되는 사이버 공격, 거버넌스·신고·기록이 책임 가른다
사이버 공격이 인공지능(AI)의 발달로 더 정교해지면서 개인정보 유출이 기업 신뢰와 경영 리스크로 번지고 있다.
법무법인 바른(유한)은 10일 서울에서 ‘개인정보보호와 기업 사이버보안 대응 전략’ 고객 초청 세미나를 열고 공격의 최신 양상과 기업·기관·법률 대응 포인트를 공유했다. 이날 세미나는 해킹을 막는 기술보다 “공격자는 조직의 어떤 부분을 노리고, 조직은 해킹 사고가 나면 어떻게 대응해야 하는지”에 초점을 맞췄다. 공격이 ‘업무 절차’로 파고들수록 기술 대응만으로는 부족해, 거버넌스와 법적 대응이 사실상 피해 확산과 책임 관리의 핵심으로 떠올랐다는 진단도 나왔다.
최근 공격자는 취약점 하나를 찾는 데서 끝나지 않고, 채용·회의·협업 같은 다양한 업무 시스템을 공격의 범위를 넓히고 있다. 이에 기업은 보안을 IT 부서의 과제가 아니라 전체 조직의 습관으로 만들어야 하는 상황이다. 사고를 인지 순간부터 조직 전체가 어떻게 움직이느냐에 따라 사후 기업의 경영 리스크와 법적 책임 등이 달라진다는 것이다.
AI가 ‘사람·절차’까지 공격 표면으로 만들었다
조정현 엔키화이트햇 부사장은 최근 진행한 모의해킹 프로젝트 사례를 공유하며 “최근 공격자들은 고난도 취약점보다 예상하지 못한 구조적 허점을 노린다”고 설명했다. AI로 허위 이력서를 대량 제출해 채용 과정에 섞여 들어가고, 위장 취업을 통해 내부로 침투한 뒤 권한과 정보를 빼내는 방식이 대표 사례로 언급됐다.
AI의 발달로 가짜 콘텐츠를 만드는 게 쉬워지면서, 기업 입장에서는 채용 단계가 단순 인사 프로세스가 아니라 보안까지 검증해야 하는 단계로 바뀌었다.
온라인 회의도 공격자에게는 쉬운 통로가 됐다. 공격자들은 참가자를 가짜 페이지로 유도하고, 업데이트가 필요하다는 명목으로 설치를 유도해 악성코드를 심는다. 회의 초대, 일정 공유 같은 일상 업무에서는 직원들이 의심을 덜 하니, 보안 제품이 막기 전에 사람이 직접 문을 열어줄 수 있다는 점을 파고든다.
조 부사장은 “이런 유형의 공격은 최신 보안 장비가 있더라도, 업무 절차를 악용하기 때문에 발견하기 어렵다”며 “따라서 개발 단계부터 공격 가능성을 전제로 보안을 설계해야 한다“고 강조했다. 이어 ”기능 구현 이후 보안 제품을 붙이는 방식만으로는 구조적 취약점을 줄이기 어렵다“고 덧붙였다.
LG전자, 보안 기술 넘어 ‘조직의 습관’ 강조
공격이 지능화되면서 기업들의 대응 방법도 달라지고 있다. 최근 LG전자는 ‘보안은 특정 조직의 일이 아니라, 구성원 행동과 의사결정 구조가 만드는 결과’라는 기조를 중심으로 전사의 보안 시스템을 다시 점검하고 있다.
진형준 LG전자 정보보호담당 팀장은“ 임직원이 직접 취약점을 제보하면 포상하는 제도를 운영하는 등 구성원 참여를 통해 보안 문화를 조직에 정착시키고 있다”고 설명했다. 내부에서 먼저 문제를 드러내는 장치를 만들어, 외부 공격자가 발견하기 전에 수정하도록 속도를 끌어올린다는 설명이다.
그는 “이는 완벽한 예방이 아니라 보안 결함을 발견하고 수정하는 시간을 줄이는 전략에 가깝다”고 말했다. 진 팀장은 취약점 제보가 특정 시스템에 몰리는 현실적인 고민도 공유됐다. 그는 “제도는 한 번에 완성되지 않는다”며 “다만 조직이 취약점을 숨기지 않고 드러내도록 유도하면, 보안이 문서가 아니라 습관으로 남아 결국은 전사의 보안 수준이 높아질 것으로 기대하고 있다”고 강조했다.
진 팀장은 “보안을 중요시 하는 문화를 단순 사고 예방 차원을 넘어 고객 신뢰와 브랜드 가치를 지키는 문제”라고 말했다. 이어 “회사가 보안을 비용 항목으로만 생각하면 계속 문제가 발생한다”며 “하지만 신뢰의 문제로 인식하면, 의사결정의 우선순위가 달라질 수 있다”고 덧붙였다.
KISA, 초기 대응의 출발점은 ‘투명한 신고와 협조’
한국인터넷진흥원(KISA)은 보안 사고의 대응에서 가장 중요한 점은 기업의 신고와 협조라고 강조했다. 김주일 한국인터넷진흥원(KISA) 팀장은 “보안 사고는 언제든 발생할 수 있다는 전제에서 대응 역량을 갖춰야 하며, 사고 인지 시 신속한 신고와 협조가 피해 확산을 막는 출발점”이라고 말했다.
여기서 중요한 지점은 원인 규명이 아니라 ‘인지 시점’이다. 많은 기업이 사고를 확인하면 먼저 내부 분석부터 끝내려 한다. 하지만 신고와 통지 의무는 기업의 입장을 다 고려할 수 없다.
김 팀장은 “신고와 협조가 늦어질수록 피해 확산 위험이 커지고, 뒤이어 따라오는 법적 부담도 키워질 수 있다”며 “공조를 빨리 시작해야 기술 지원과 절차 안내를 받는 시간도 앞당겨진다”고 말했다.
이어 그는 “보안 사고가 발생한 현장에서는 신고를 기업의 약점을 공개하는 것으로 받아들이는 심리적 부담이 크다”며 “하지만 기관의 관점에서 신고는 비난을 위한 절차가 아니라 피해를 줄이기 위한 첫 단추다. 기업이 사고를 인지 즉시, 움직여 줘야 전체 사고의 규모를 줄일 수 있다”고 강조했다.
보안 사고의 법적 책임은 ‘대응 속도와 사고 기록’으로 결정
최진혁 법무법인 바른(유한) 변호사는 개인정보 유출이 발생하면 가장 먼저 추가 유출을 막기 위한 즉각적인 차단과 긴급조치가 필요하다고 강조했다. 이 과정에서 기업의 신속한 대응이 중요하다.
최 변호사는 “사고 이후 기업의 대응 속도와 방식에 따라 과징금과 손해배상 범위가 달라질 수 있다. 최근 과징금 상향 등 보안, 개인정보 유출 사고에 대해 기업의 책임을 높이는 법제화 움직임이 이런 추세를 보여준다”며 “법적 관점에서 좋은 대응은 멋지고 장황한 발표가 아니다. 조치의 타이밍, 의사결정 과정, 외부와 공유한 사실 관계가 일관되게 남아 있어야 한다”고 설명했다.
특히 사고 초기 단계에서 증적(기록)을 남기는 습관이 중요하다. 어떤 시스템을 차단했는지, 어떤 계정을 잠갔는지, 어떤 로그를 보존했는지, 고객과 기관에 무엇을 언제 안내했는지 같은 항목이 나중에 회사의 대응력을 보여주는 근거가 된다. 반대로 즉흥적으로 움직여 기록이 흩어지면, 대응을 해도 입증이 어렵다. 최 변호사는 사전 매뉴얼 마련과 법률 전문가의 조기 개입 필요성도 함께 제시했다.
최 변호사는 “사이버 공격이 기술적 취약점 넘어 사람과 업무 시스템 전체를 노리기 시작한 만큼, 기업도 보안 제품만으로는 방어하기 어려워졌다”며 “기업의 채용과 협업 등 업무 절차를 보안 거버넌스 관점에서 다시 설계하고, 내부 제보와 교육으로 발견 시간을 줄여 사고가 나면 즉시 신고해 공조를 시작하고, 초기 차단과 기록으로 책임의 폭을 관리해야 한다”고 강조했다.
글. 바이라인네트워크
<곽중희 기자> god8889@byline.network
