보안 투자 늘려도 위험 커진다는 CISO의 경고

비자, 엘리 메이 등에서 CISO로 일한 셀림 아이시는 보안 도구를 계속 추가해도 근본적 복잡성은 해결되지 않고 오히려 보안 부채와 조직 위험이 커질 수 있다고 지적했다. 다계층 방어 체계가 합리적 수준으로 갖춰지면 그 이상의 투자는 과잉 지출이 될 수 있으며, 핵심위험지표(KRI)와 핵심성과지표(KPI)로 조직의 복원력 수준을 판단해야 한다고 강조했다. 이사회는 패치된 취약점 개수가 아니라 패치 미적용 시 발생할 비즈니스 영향을 알고 싶어 하므로 CISO가 비즈니스 언어로 소통해야 한다고 조언했다. AI 도입과 관련해서는 개발자가 소스코드를 AI에 공유해 유출되는 상황처럼 구체적인 비즈니스 위험을 이사회에 설명해야 한다고 덧붙였다.

이 일이 어디서 왔나

같은 시기 국내에서는 오픈AI가 AI 보안 도구 '데이브레이크'를 소개하고 유넷시스템즈가 버그바운티를 도입하는 등 보안 도구와 체계를 늘리는 흐름이 이어지고 있다. 이 기사는 그 흐름과 반대되는 지점에서, 도구를 계속 더하는 것 자체가 해법이 아니라 오히려 위험을 키울 수 있다는 CISO 출신 전문가의 경고를 전한다.