공격은 자동화·방어는 수동… AI 확산에 클라우드 보안 공백, 대응 더뎌

인공지능(AI) 확산과 멀티클라우드 환경 보편화로 클라우드 공격 표면이 빠르게 확대되고 있지만 기업들의 보안 대응 역량은 이를 따라가지 못하고 있다는 분석이 나왔다. 공격자는 AI와 자동화를 활용해 공격 경로를 빠르게 탐색하는 반면, 방어 체계는 여전히 수동 작업에 의존하면서 '속도 격차'가 벌어지고 있다는 지적이다.

글로벌 네트워크 보안 솔루션 기업 포티넷이 22일 발간한 '2026 클라우드 보안 현황 보고서'에 따르면, 사람의 개입 없이 위협을 차단할 수 있는 완전 자동화 체계를 갖춘 기업은 11%에 불과했다. 응답 기업의 37%는 보안 자동화가 경고·알림 수준에 머물러 있다고 답했고, 10%는 보안 자동화를 아직 도입조차 하지 않은 상태였다. 이번 보고서는 글로벌 사이버보안 담당자 1163명을 대상으로 지난해 하반기에 진행한 설문조사를 기반으로 작성됐다.

이러한 속도 격차의 원인으로는 설정 오류, 권한, 데이터 노출 등 보안 영역 전반의 정보가 하나의 맥락으로 연결되지 못하는 구조적 한계가 지목됐다. 자동화된 조치가 실제로 어떤 영향을 미칠지 판단하기 어렵고, 보안팀 역시 자동 대응을 신뢰하지 못해 수동 검증에 의존하게 되는 악순환이 반복되고 있다는 분석이다.

클라우드 보안에 대한 기업들의 투자 의지는 뚜렷했다. 응답자의 62%는 향후 12개월 내 클라우드 보안 예산이 증가할 것으로 예상했다. 클라우드 보안은 전체 IT 보안 예산의 평균 34%를 차지하는 것으로 조사됐다.

다만 투자 확대가 곧바로 보안 성숙도 향상으로 이어지지는 않았다. 59%의 기업은 클라우드 보안 성숙도가 여전히 초기 또는 개발 단계에 머물러 있다고 응답했다. 다양한 보안 솔루션이 추가됐지만 이들 간 연계가 충분히 이뤄지지 않으면서 운영 부담만 커지고 있다는 분석이다.

멀티·하이브리드 클라우드 환경은 이제 예외가 아닌 표준이 됐다. 조사 결과 88%의 기업이 하이브리드 또는 멀티클라우드 환경을 운영하고 있으며, 이 중 81%는 두 개 이상의 클라우드 서비스 제공업체에 핵심 업무를 의존하고 있었다. 클라우드 환경이 확장될수록 계정, 권한, 설정, 데이터 경로가 복잡해지면서 보안 관리 난이도도 함께 높아지고 있다. 향후 가장 큰 클라우드 보안 리스크로는 ID·접근 권한 관리(77%), 클라우드 설정 및 보안 상태 관리(70%), 데이터 노출 위험(66%)이 꼽혔다.

이런 상황에서 정부도 정책 전환에 나섰다. 송경희 개인정보보호위원회 위원장은 개인정보 보호 체계를 '사후 제재'에서 '사전 예방' 중심으로 전환하겠다는 정책 기조를 제시한다.

송 위원장은 클라우드 환경의 변화, AI 에이전트 시대 초개인화 서비스의 등장, 개인정보 불법거래 증가와 한국의 구조적 취약성 등을 그 배경으로 꼽았다. 클라우드 전환으로 사고가 발생하면 짧은 시간 안에 대량의 정보가 외부로 확산되고, 이후 어디로 유통되고 어떻게 오용되는지 파악하기가 매우 어려운 환경이 됐다는 것이다. 사고 이후 조사·처벌 중심 대응으로는 이미 불법 유통이 끝난 뒤여서 실질적 피해를 막지 못한다는 판단이다.

송 위원장은 "기업이 선제적으로 개인정보 보호에 투자하고 예방 조치를 충실히 이행할 시 과징금 감경 등 인센티브 제도의 법적 근거를 확보해서 예방 중심 관리가 합리적인 선택이 되도록 하겠다"고 밝혔다.

기업들도 보안 전략의 전환을 모색하고 있다. 포티넷 보고서에 따르면 64%의 기업은 보안 전략을 새로 설계할 시 네트워크·클라우드·애플리케이션 보안을 통합한 단일 플랫폼 기반 접근 방식을 선호한다고 답했다.

김수영 포티넷코리아 상무는 "AI 확산으로 클라우드 환경은 복잡해졌지만 많은 기업의 보안 운영은 여전히 알림과 수작업 중심에 머물러 있다"며 "클라우드 보안 성숙도는 도입한 솔루션의 수가 아니라 분절된 신호를 연결해 실제 공격 경로를 사전에 차단할 수 있는 운영 구조를 갖췄는지의 여부로 평가받게 될 것"이라고 말했다.

홍주연 기자
jyhong@chosunbiz.com