지난 30년간 사이버 보안 업계는 위험을 제거하기보다 그 주변에 보호막을 덧대는 ‘레이어링’ 습관에 빠져있었다. 이는 시스템 복잡성을 증가시키고 사용자 불편을 초래해 오히려 보안 취약점을 낳는다. 애플리케이션 계층 암호화와 같은 근본적인 해결책으로 전환하여 한국 기업들도 불필요한 비용을 줄이고 진정한 보안 경쟁력을 확보해야 한다.
전문가 통찰 및 한줄평 (Insight)
지난 30년간 보안 업계는 문제의 핵심을 제거하기보다 그 주변에 보호막을 덧대어 왔다.
이러한 보안 시스템 복잡성 문제 해결은 단순히 기술적인 도전을 넘어, 기업 문화와 인식의 변화를 요구한다.
지금이라도 근본적인 위험 제거에 집중한다면, 국내 기업들은 불필요한 비용을 절감하고 진정한 보안 경쟁력을 확보할 수 있을 것이다.
매년 기업들은 사이버 보안 예산을 늘려가지만, 정작 데이터 유출 사고는 끊이지 않는다.
너무나 많은 보안 솔루션이 존재하고, 각 솔루션은 저마다의 콘솔을 통해 관리되며, 이 모든 것이 사용자에게는 마찰(friction)로 다가와 궁극적으로는 보안 정책을 우회하는 ‘편법’을 낳게 된다.
이러한 현상은 비단 해외 이야기만이 아니다.
한국의 수많은 기업 현장에서도 유사한 고민과 좌절이 반복되고 있다.
핵심 이슈 및 배경: ‘레이어링’의 함정
최근 Cybersecurity Dive에 실린 기사(Security’s 30-year habit: layering around the problem)는 지난 30년간 사이버 보안 업계가 답습해 온 잘못된 습관, 즉 ‘레이어링(Layering)’의 문제점을 날카롭게 지적한다.
핵심은 위험을 제거(removing) 하는 대신 관리(managing) 하는 데만 집중했다는 것이다.
예를 들어, 한 간호사가 환자의 시술 승인을 위해 서류를 처리하는 과정에서 겪는 비효율성을 상상해보라.
지난해 설정했던 계정 정보를 잊어버리고, 파일을 업로드해도 IT 티켓으로 변환되며, 데이터 유출 방지(DLP) 시스템은 전송을 차단한다.
결국 그녀는 익숙한 Outlook을 통해 이메일로 상세 정보를 전송한다.
정책을 몰라서가 아니라, 모든 보안 통제가 오히려 업무를 방해하기 때문이다.
이러한 현상은 SFTP, SharePoint, OneDrive, 심지어 이메일에 이르기까지 산업 전반에서 관찰된다.
SFTP는 30년 가까이 세계 규제 파일의 상당 부분을 전송하고 있지만, 정적 자격 증명(static credential)이라는 근본적인 약점을 안고 있다.
이는 추측, 피싱, 재사용에 취약하다.
이 약점을 직접 해결하지 않고 방화벽, 허용 목록(allowlists), 잠금 카운터 등 겹겹이 레이어를 추가하는 방식이 주를 이룬다.
더욱이 Verizon의 2026년 보고서에 따르면 악용(exploit)이 훔쳐낸 자격 증명을 앞질렀지만, 여전히 공격은 시스템 내부에 있는 SSH 키, 서비스 비밀번호, API 토큰 같은 ‘서 있는 비밀(standing secrets)’을 수확하는 데 집중한다.
유효한 자격 증명을 이용한 침해가 전체 침해의 39%를 차지하며, 악성코드 없는 침입(malware-free intrusions)이 대다수라는 CrowdStrike의 2025년 보고서는 이러한 현실을 뒷받침한다.
그럼에도 업계의 대응은 여전히 다중 인증(MFA)이나 하드웨어 기반 키, 만료되는 자격 증명 도입보다는 또 다른 레이어 추가에 머무르는 경향이 있다.
상세 비교 분석: ‘레이어링’ vs. ‘근본 해결’ 접근법
기존의 보안 ‘레이어링’ 방식과 문제의 ‘근본 해결’ 방식을 비교하면 그 차이점과 비효율성이 명확히 드러난다.
특히 한국 기업 환경에 대입하여 살펴보면 더욱 의미 있는 시사점을 얻을 수 있다.
| 기준 | 기존 ‘레이어링’ 방식 | ‘근본 해결’ 방식 (애플리케이션 계층 암호화 등) |
|---|---|---|
| 접근 방식 | 문제 주변에 보호막 및 탐지 시스템 추가 | 문제 자체 제거, 취약점 원천 차단 |
| 핵심 목표 | 위험 관리 및 규제 준수 | 위험 제거 및 사용자 편의성 확보 |
| 해결 노력 | 복잡한 솔루션 도입, 관리 콘솔 증가, 경고 홍수 | 아키텍처 개선, 데이터 흐름 단순화, 보안 내재화 |
시장 파급 효과 및 전망: AI 보안 솔루션의 양날의 검
최근 등장한 생성형 AI는 또 다른 ‘레이어링’의 유혹으로 작용하고 있다.
업계는 이제 탐지를 AI 프롬프트로 보고 모든 데이터를 모델에 보내 분석하는 방식을 제안한다.
하지만 민감 정보(PHI)를 PHI인지 확인하기 위해 모델로 보내는 행위 자체가 혁신이 아닌, 또 다른 데이터 이동과 잠재적 위험을 초래할 수 있다.
SFTP의 약한 비밀번호를 MFA 대신 방화벽으로 막듯이, 이제 그 방화벽에 LLM을 붙이는 격이다.
근본적인 비밀번호 문제는 해결되지 않은 채, LLM은 단지 누출을 더 나은 어휘로 ‘지켜보고’ 있을 뿐이며, 그에 대한 비용을 청구할 뿐이다.
이러한 방식은 진정한 의미의 보안 강화를 가져오기 어렵다.
오히려 새로운 공격 벡터를 생성하거나, 잘못된 보안 인식을 심어줄 위험도 크다.
시장은 이제 더 많은 탐지 기능보다는 위험을 원천적으로 제거하는 솔루션에 집중해야 한다.
즉, 메시지를 자유롭게 흐르게 하되, 그 안에 담긴 보호된 콘텐츠를 제거하거나, 애플리케이션 계층에서 암호화하여 특정인에게만 열리고 만료되는 링크 형태로 제공하는 방식이다.
이는 새로운 계정이나 포털 비밀번호 없이, 1년 뒤에도 탈취될 염려 없는 안전한 경로를 제공한다.
암호학의 기본적인 가정처럼 ‘공격자가 이미 키를 가지고 있다’는 전제 하에 시스템을 설계하는 것이 장기적으로 훨씬 현명한 접근 방식이다.
한국 시장에서의 시사점: 규제와 혁신 사이
한국 시장은 ‘레이어링’ 보안 관행이 특히 뿌리 깊은 곳이다.
개인정보보호법, 정보통신망법 등 강력한 규제 환경은 기업들로 하여금 규제 준수를 위해 새로운 솔루션을 추가하는 방식을 선호하게 만들었다.
이는 흔히 ‘망분리’와 같은 복잡한 인프라 구축으로 이어지기도 한다.
하지만 이러한 접근 방식은 종종 사용자 편의성을 저해하고, 우회 경로를 통해 오히려 보안 취약점을 야기하는 역설적인 상황을 초래한다.
- 국내 유사 기업/서비스: 네이버, 카카오 등 국내 빅테크 기업들은 강력한 자체 보안 인프라를 갖추고 있지만, 계열사나 협력사 간 데이터 연동 시에는 유사한 ‘레이어링’ 문제에 직면할 수 있다. 중소기업이나 스타트업의 경우, 비용 문제로 인해 제한된 보안 투자를 단순 솔루션 추가로 해결하려는 경향이 더욱 강하다.
- 직장인/개발자/투자자 영향: 한국의 직장인들은 업무 효율을 저해하는 과도한 보안 통제에 늘 불만을 제기한다. 개발자들은 복잡한 보안 솔루션과의 연동 및 통합에 많은 시간을 소모하고, 이로 인해 개발 생산성이 저하되는 경험을 자주 한다. 투자자 관점에서는, 단순히 ‘보안 솔루션’ 기업에 투자하기보다는 ‘근본적인 위험 제거’ 기술을 제공하는 기업이나, 자체 보안 아키텍처를 혁신하는 기업에 주목해야 할 시점이다.
- 지금 당장 활용하거나 대응할 수 있는 전략:
- 사용자 경험 중심의 보안 설계: 보안은 더 이상 업무를 방해하는 장애물이 아니라, 업무 흐름에 자연스럽게 녹아들어 생산성을 높이는 요소가 되어야 한다. 안전한 파일 전송 및 협업 도구를 구축할 때, 사용자가 Outlook 같은 기존 도구보다 더 빠르고 편리하게 보안 기능을 활용할 수 있도록 UX를 최적화해야 한다.
- 애플리케이션 계층 암호화 및 토큰화 도입: 민감 정보(PHI, 개인정보 등)는 시스템에 영구적으로 저장되기보다, 사용 시점에만 복호화되는 암호화된 토큰 형태로 관리하고, 외부 공유 시에는 만료되는 보안 링크를 활용하는 전략을 적극 도입해야 한다. 이는 국내 개인정보보호법 준수에도 유리하며, 데이터 유출 시 피해 범위를 획기적으로 줄일 수 있다.
결론
30년간 이어져 온 ‘레이어링’ 중심의 보안 접근 방식은 이제 한계에 봉착했다.
편리함과 보안은 더 이상 상충하는 가치가 아니다.
오히려 사용자에게 더 편리하고 효율적인 ‘안전한 길’을 제시할 때, 비로소 보안은 내재화되고 성공할 수 있다.
근본적인 위험을 제거하고, 민감 정보가 불필요하게 시스템에 잔류하지 않도록 하는 보안 시스템 복잡성 문제 해결이 핵심이다.
이러한 패러다임 전환이야말로 불필요한 비용을 줄이고, 직원 생산성을 높이며, 궁극적으로 기업의 진정한 디지털 경쟁력을 확보하는 길이다.
자주 묻는 질문 (FAQ)
Q: 보안 시스템 복잡성 문제 해결이 왜 중요한가요?
A: 시스템이 복잡해질수록 관리 비용이 증가하고, 사용자들은 불편함을 느껴 보안 정책을 우회하게 됩니다.
이는 결국 예상치 못한 경로로 인한 데이터 유출 위험을 높여, 오히려 보안 투자 대비 효과가 떨어지는 결과를 초래하기 때문입니다.
Q: 애플리케이션 계층 암호화는 구체적으로 어떻게 작동하나요?
A: 애플리케이션 계층 암호화는 데이터가 생성되는 시점부터 암호화되어 전송되고 저장되며, 오직 인가된 사용자만이 애플리케이션 내에서 이를 복호화하여 볼 수 있도록 합니다.
이는 전송 중 또는 저장된 데이터가 유출되더라도 암호화되어 있어 내용을 파악하기 어렵게 만듭니다.
Q: AI 기반 보안 솔루션은 효과가 없다는 뜻인가요?
A: AI 기반 보안 솔루션 자체의 유용성을 부정하는 것은 아닙니다.
하지만 AI가 기존의 근본적인 취약점을 해결하지 않고 단순히 또 하나의 ‘탐지 레이어’로만 추가된다면, 이는 본질적인 보안 강화로 이어지기 어렵습니다.
AI는 기존 아키텍처의 약점을 보완하는 도구로 활용되어야 합니다.
Q: 한국 기업들은 이러한 변화에 어떻게 대응해야 할까요?
A: 한국 기업들은 규제 준수만을 위한 ‘덧대기식’ 보안에서 벗어나, 데이터 흐름과 사용자 경험을 고려한 근본적인 보안 아키텍처 재설계에 집중해야 합니다.
특히 민감 정보의 라이프사이클 전반에 걸쳐 암호화 및 접근 제어를 강화하고, 제로 트러스트 원칙을 도입하는 것이 중요합니다.
출처: https://www.cybersecuritydive.com/spons/securitys-30-year-habit-layering-around-the-problem/830105/
— 이 글과 관련된 추천 서비스 —
* 이 포스팅은 제휴 마케팅 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받을 수 있습니다. *