"클라우드 털려도 증거 못 찾는다"…보안 실무자 77% "대응 체계 부재"

[서울=뉴시스]윤정민 기자 = 기업들이 데이터를 클라우드로 대거 옮기고 있지만, 정작 해킹 등 침해사고가 터졌을 때 디지털 증거를 확보할 체계는 턱없이 부족한 것으로 나타났다. 인공지능(AI)을 디지털 수사에 활용하는 시도 역시 분석 결과의 신뢰성을 확인하기 어려워 현장 적용에 한계를 겪고 있다.

31일 플레인비트가 발간한 '2026 DFIR(디지털 포렌식·사고 대응) 트렌드 보고서'에 따르면 조사 응답자의 76.84%는 조직 내 아마존웹서비스(AWS), 마이크로소프트 애저, 구글클라우드(GCP) 등 조직 내 클라우드에 대한 포렌식 증거 보존·분석 체계가 마련돼 있지 않다고 답했다.

슬랙이나 마이크로소프트365, 구글 워크스페이스, 컨플루언스 등 서비스형 소프트웨어(SaaS)도 상황은 비슷했다. 관련 증거를 확보할 포렌식 절차가 없다는 응답이 71.58%였다.

플레인비트는 디지털 포렌식·보안 실무자 약 300명을 대상으로 한 설문과 실제 사고 대응 사례 등을 토대로 이번 보고서를 작성했다.

실제 사고 조사에서는 로그 보존기간이 끝났거나 감사 로그를 미리 활성화하지 않아 계정 로그인과 설정 변경, 데이터 접근·반출 행위를 충분히 추적하지 못한 사례가 확인됐다.

플레인비트는 사고 후 증거를 찾는 데 그치지 않고 평소 필요한 로그가 생성·보존되는지 확인하고 긴급 수집에 필요한 권한과 담당자를 사전에 정해야 한다고 제언했다.

AI는 현재 참고자료 검색·문서 요약이나 파일·아티팩트 식별 등 보조 업무를 중심으로 활용되고 있다. AI가 가장 효과적으로 개선할 수 있는 업무로는 대량 파일·아티팩트 분류가 55.79%로 가장 많이 꼽혔다.

문제는 결과를 얼마나 신뢰할 수 있느냐다.

AI 활용이 어려운 이유로 42.86%가 'AI 분석 결과의 신뢰성 검증이 어렵다'고 답했다. 증거 데이터를 외부 AI에 올리기 어렵다는 보안·법적 제약도 42.11%였다.

플레인비트는 AI가 파일이나 아티팩트를 잘못 분류하거나 서로 관련 없는 행위를 하나의 공격 흐름으로 연결할 수 있다고 지적했다. 같은 데이터를 분석하더라도 모델과 버전, 프롬프트, 실행 조건에 따라 결과가 달라질 수 있는 만큼 분석 과정과 결과를 기록·검증하는 절차가 필요하다는 설명이다.

보고서에서 또 눈에 띄는 부분은 외부 협력사와 관리되지 않는 IT 자산에 대한 조사 결과다.

침해사고 대응 과정에서 원인을 파악하기 어려웠던 이유로 '유지보수·외부 협력사 단말 관리가 불투명하다'는 응답과 '로그 보존기간·수집 범위 부족'이 각각 30.77%로 가장 많았다.

공식적으로 등록·관리되지 않는 '섀도 자산'이 가장 많이 발생하는 곳 역시 협력사·용역업체 유지보수 단말로 46.15%를 차지했다.

관리되지 않는 테스트 서버나 원격접속 서비스, 장기간 변경하지 않은 계정정보 등 기존 관리 공백을 이용해 내부 시스템으로 침투하는 사례가 실제 사고 대응 과정에서 확인됐다는 게 플레인비트 측 설명이다.

김진국 플레인비트 대표는 "AI와 클라우드의 확산으로 분석 대상과 데이터는 빠르게 증가하고 있지만 결국 사고 대응의 성패를 결정하는 것은 새로운 기술을 얼마나 많이 도입했느냐가 아니다"라며 "보유한 기술을 실제 사고 대응에 활용할 수 있도록 지속적인 탐지·분석·대응 체계를 운영하는 역량이 더욱 중요해지고 있다"고 말했다.


◎공감언론 뉴시스 [email protected]