스플렁크 “CISO 96%, AI 거버넌스 맡는다”

스플렁크는 ‘인공지능(AI) 시대 리스크에서 회복탄력성으로’ 보고서를 통해 ‘최고정보보호책임자(CISO)’의 역할이 보안 운영을 넘어 AI 거버넌스, 규제 대응, 디지털 회복탄력성, 인재 관리까지 넓어지고 있다고 분석했다.

이번 보고서는 2025년 7월과 8월 호주, 프랑스, 독일, 인도, 일본, 뉴질랜드, 싱가포르, 영국, 미국의 CISO 650명을 대상으로 진행됐다.

보고서에 따르면, CISO의 96%는 AI 거버넌스와 리스크 관리를 맡고 있다고 답했다. 안전한 소프트웨어 개발(DevSecOps)을 역할에 포함한 비율은 85%였다. 사물인터넷(IoT), 운영기술(OT), 산업제어시스템(ICS) 보안 통합까지 담당한다는 응답도 67%였다. 역할이 크게 복잡해졌다는 응답은 79%였다. CISO가 침해 대응 책임자를 넘어 조직의 AI 정책과 기술 확장 속도를 함께 관리하는 자리로 이동하고 있다는 의미다.

부담도 커졌다. 보안 사고에 따른 개인적 법적 책임을 우려한다는 응답은 78%였다. 이는 1년 전 56%보다 늘어난 수치다. CISO의 95%는 위협 행위자의 기술과 전술 고도화를 가장 큰 위협으로 꼽았다. 89%는 빠른 기술 변화 속도를 주요 과제로 봤다. 규제 요건 변화를 부담으로 본 비율도 76%였다.

AI 투자는 사실상 필수 과제로 자리 잡았다. CISO의 92%는 AI 기반 사이버보안 역량 투자를 핵심 우선순위로 꼽았다. 다만 실제 도입은 신중했다. 에이전틱 AI를 실제 활용 중이라는 응답은 6%에 그쳤다. 39%는 탐색 단계라고 답했다. 자동화는 기대 이상이라는 평가가 83%였지만, 생성형 AI는 14%, 에이전틱 AI는 22%에 머물렀다. AI 관련 우려로는 데이터 유출 78%, 에이전틱 AI의 환각 영향 83%가 제시됐다.

AI가 사람을 대체하기보다 보완하는 방향으로 쓰일 가능성이 크다는 분석도 나왔다. CISO의 60%는 “에이전틱 AI가 일부 레벨1 보안팀 기능을 대체할 것”이라는 주장에 동의하지 않았다. 대신 위협 헌팅, 엔지니어링 지원, 소프트웨어 개발, 네트워크·클라우드 아키텍처가 핵심 역량 격차로 지목됐다. 이를 메우는 해법으로는 기존 인력 역량 강화가 65%로 가장 높았다. 정규직 신규 채용은 28%, 외부 계약 인력 활용은 6%였다.

보안 성과를 경영 언어로 설명하는 일도 CISO의 새 과제로 떠올랐다. 다른 최고경영진의 낮은 사이버보안 이해도를 협업 장애로 꼽은 응답은 85%였다. 보안 투자수익률(ROI)을 리스크 완화나 복구 활동과 명확히 연결하지 못한다는 응답도 41%였다. 그럼에도 조직 전반에 보안 ROI를 설명할 때 가장 우선하는 지표로는 인시던트 감소가 82%를 기록했다.

스플렁크는 “AI 확산으로 CISO의 역할이 더 넓어졌지만, 해법은 기술 도입만이 아니다”라며 “자동화와 사람의 판단, 인재 육성, 경영진과의 공감대를 함께 갖춰야 조직의 회복탄력성을 높일 수 있다”고 말했다.