[서울=뉴시스]윤정민 기자 = "죄송합니다. 업무가 밀려서 콜백이 늦었습니다."

최근 보안업계 관계자들에게 취재 연락을 돌리면 예년과 달리 가장 자주 돌아오는 답변이다.

업무 중 겨우 짬을 내 통화하거나 먼저 하던 일을 끝낸 뒤 밤늦게 다시 연락을 해오는 경우가 비일비재하다.

실제로 최근 웹 개발 언어 'PHP'의 보안 결함과 대응책을 묻기 위해 한 보안 스타트업 대표와 통화가 연결된 시간은 오후 10시를 훌쩍 넘긴 뒤였다.

기업들의 보안 점검 요청이 그야말로 쏟아지고 있다.

금융권을 겨냥한 인공지능(AI) 해킹에 이어 기업과 공공기관의 침해 사고가 잇따르면서, 사고 대응과 예방 진단을 찾는 수요가 한꺼번에 몰리는 분위기다.

3일 보안업계에 따르면 최근 모의해킹과 시스템 취약점 점검, 보안 솔루션 도입에 대한 기업들의 발걸음이 크게 바빠졌다.

사이버 위협 정보 분석 기업의 한 관계자는 "체감상 점검 요청과 문의가 확실히 늘었다"며 "모의해킹과 공격표면관리(ASM) 쪽 문의가 사방에서 들어오고 있다"고 현장 분위기를 전했다.

모의해킹은 기업의 허락을 받고 실제 해커처럼 시스템에 직접 침투해 보안 허점을 찾는 작업이다. 공격표면관리는 인터넷에 노출된 서버나 서비스 같은 위험 접점을 찾아 실시간 관리하는 기술이다.

최근 금융권 사고에서 외부 업무지원 시스템이 해커의 주요 침투 통로로 드러나면서 이 접점을 점검하려는 수요가 급증했다.

또 다른 보안업계 관계자는 "인증 및 접근통제 관련 보안 솔루션과 점검 문의가 전년 대비 30%가량 늘었다"며 "특히 AI를 활용해 취약점을 찾는 모의해킹에 대한 관심이 뜨겁다"고 설명했다.

◆"실제로 뚫어봐 달라"…형식적 점검 넘어 침투 검증 요구하는 기업들

문의가 급증하면서 기업들이 요구하는 점검의 질도 달라졌다.

모의해킹·보안 컨설팅 전문 기업 관계자는 "과거에는 정보보호 관리체계(ISMS) 인증이나 감사 통과 여부를 확인하는 서류 중심 문의가 많았다"며 "최근에는 외주 시스템이나 웹사이트로 침입한 해커가 실제 핵심 데이터까지 들어갈 수 있는지 직접 검증해 달라는 요청이 주를 이룬다"고 귀띔했다.

보안 시스템 구매 결정 속도도 눈에 띄게 빨라졌다.

한 보안기업 관계자는 "과거에는 사고가 터져도 견적만 묻거나 단기 모니터링에 그치는 경우가 많았다"며 "최근에는 AI 자동화 공격이 눈앞에 다가오면서 솔루션 도입을 신속히 결정하고 예산을 집행하는 적극성이 뚜렷하다"고 말했다.

가장 대표적인 분야가 엔드포인트 탐지·대응(EDR)이다. PC와 서버의 이상 행위를 24시간 감시하고 위협에 즉각 대응하는 솔루션이다.

이 관계자는 "공격자가 AI 에이전트를 동원해 사람의 대응 속도를 넘어서는 초고속·광역 탐색 공격을 벌이고 있다"며 "보안 시장 자체가 구조적 확장기에 접어들었다"고 분석했다.

금융권도 자금 보따리를 풀고 있다. KB국민은행은 내년 정보보호 예산을 1000억 원 이상으로 늘릴 계획이다. 우리은행도 관련 예산을 20% 이상 늘리는 방안을 검토 중이며, 신한은행 역시 내년 정보보호 예산을 업계 최고 수준으로 끌어올릴 방침이다.

◆"보안 전문가는 늘 5년 뒤 유망 직종…반짝 관심, 이번엔 아니길"

이렇게 높아진 관심이 꾸준한 투자로 이어질까. 업계가 이번에는 다를 것으로 기대하는 배경에는 연이은 사고와 빨라진 공격 속도가 있다.

지난 9~10월 개인정보 유출·침해사고가 공지되거나 보도된 국내 기업·기관은 위탁사 사고의 영향과 유출 정황까지 포함하면 90곳에 달한다. 금융뿐 아니라 교육·유통 등 여러 분야로 피해가 번졌다.

업계 한 관계자는 "1년에 한 번 일주일간 받는 일회성 컨설팅으로는 매주 코드가 바뀌는 환경을 지킬 수 없다고 보안책임자와 경영진이 체감하고 있다"고 말했다.

반면 과거처럼 관심이 오래가지 않을 수 있다는 우려도 남아 있다. 이 관계자는 "'보안 전문가는 늘 5년 뒤 유망 직종'이라는 뼈아픈 농담이 있다"며 사고 직후 경각심이 높아졌다가 잠잠해지면 관심이 식는 흐름이 반복돼 왔다고 전했다.

보안을 투자보다 비용으로 보는 인식과 최저가 중심 입찰 관행도 우려 요인으로 꼽았다. 사고가 없는 상태가 최선의 성과여서 평소 투자가 후순위로 밀리기 쉽다는 지적이다.

특히 인력과 예산이 부족한 중소기업은 필요성을 느껴도 선뜻 투자에 나서기 어렵다. 이에 정부는 문턱을 낮추는 작업에 나섰다. 과학기술정보통신부는 내년 예산안에 중소기업 1만곳의 AI 보안 솔루션 구독 지원에 500억원을 편성했다. 중소기업의 서비스 이용 부담을 덜고 AI 위협에 대응하도록 돕는 취지다.

지원이 끝난 뒤에도 기업들이 취약점을 고치고 정기적인 관리에 재투자하도록 유도하는 일이 과제로 남는다.

익명을 요구한 정보보호 분야 전문가는 "예방 단계부터 보안 체계를 갖추고 운영하도록 자문과 컨설팅을 지원해야 한다"며 "제재와 함께 기업의 대응 수준을 높이는 지원이 균형을 이뤄야 한다"고 말했다.


◎공감언론 뉴시스 alpaca@newsis.com