대표님, 보안은 IT가 아니라 경영입니다

"유난히 많아진 해킹 사고, 이대로 괜찮은가?"
AI가 해킹하는 시대, CEO가 알아야 할 보안의 모든 것

2025년부터 대규모 개인정보 유출 및 사이버 공격 사고가 잇따르며 산업 전반에 경각심이 고조되고 있다. 해킹은 핵심 산업 기술과 데이터가 외부로 빠져나가는 '국부의 유출' 통로이자, 국가 중요 공급망을 흔드는 '국가안보에 대한 중대한 위협'으로 직결된다.
게다가 엔트로픽의 '클로드 미토스(Mythos)'와 같은 초고성능 AI 모델이 등장하면서, 해커들은 이제 AI를 활용해 불과 몇 분 만에 수만 개의 보안 구멍을 탐색하고 시스템을 무력화하는 시대에 진입했다. 보안은 더 이상 IT 부서의 기술 업무가 아니라, 기업 생존을 지키기 위한 CEO의 핵심 경영 과제다.
이러한 위협 속에서 25년 경력의 보안·소프트웨어 전문 기자 김인순과 보안 솔루션 기업 수산아이앤티의 정은아 대표가 신간 《대표님, 보안은 IT가 아니라 경영입니다》를 출간했다. 저자들은 "대부분의 경영자가 보안을 해야 한다는 건 알지만, 정작 어디서부터 어디까지 무엇을 얼마나 해야 하는지는 전혀 모른다"며, "사이버 위협의 속도가 과거와 비교할 수 없을 정도로 빨라진 상황에서, '우리가 당하겠어'라는 착각이야말로 가장 비싼 대가를 치르게 하는 원인"이라고 경고한다.

기업부터 공공기관까지 속수무책,
해킹은 어떻게 이루어지는가?

책에서는 해킹이 정교한 첨단 기술보다는 지극히 단순하고 치명적인 '기본의 부재'에서 출발한다고 지적한다. 해커들은 특정 타깃을 수개월간 공들여 노리기보다, 자동화된 프로그램을 돌려 인터넷에 연결된 전 세계 서버 중 가장 허술한 곳을 '기회주의적'으로 침투한다. 실제로 발생한 다수의 침해 사고를 들여다보면, 그 경로에는 늘 관리되지 않은 허점이 존재한다.

ㆍ 퇴사자 및 외주 직원 계정 방치
ㆍ 암호키 및 인증 체계 소홀
ㆍ 기초 웹 취약점 악용

이는 해커가 특별히 천재라서가 아니라, 기업들이 '편하게 들어갈 수 있는 문'을 열어두었기 때문이다.

중소·중견기업과 자영업자가 타깃이 되는 이유

많은 경영자가 "뉴스에 나오는 건 대기업 이야기"라며 안도하지만, 통계에 따르면 해킹 피해 민간기업 중 중소기업의 비중은 60%에 달한다.
AI 해커는 대기업인지 중소기업인지 관심조차 두지 않는다. 단지 '무방비하게 열려 있는 곳'을 탐지하여 들어갈 뿐이다. 이로 인한 피해는 거대 대기업보다 대한민국 산업의 다수를 차지하는 중소기업, 중견기업, 자영업자들에게 훨씬 더 치명적으로 돌아간다. 또한 많은 경우, 보안이 허술한 중소기업을 해킹하여 얻은 내부 정보와 접속 계정이 더 큰 대기업이나 핵심 공급망을 뚫기 위한 강력한 '2차 공격 재료'로 악용된다.
문제는 해킹 사고가 터졌을 때 발생하는 후폭풍이다. 대기업은 법무·홍보팀 및 자체 자금으로 수습할 체력이 있지만, 중소기업은 과징금 부과 시 단 한 번의 사고로 연간 영업이익이 날아가거나 곧바로 파산 위기에 직면할 수 있다. 랜섬웨어로 인한 영업 중단, 거래처 신뢰 실추, 법적 책임이 한꺼번에 터지며 기업의 영속성을 완전히 흔들어 놓는다. 해킹에 취약한 회사일수록 가장 보안에 대해 안일하다는 사실이 바로 해커들이 노리는 지점이다.

해킹 방어, 이것만 알면 된다

저자들은 경영자가 복잡한 보안 기술을 다 알 필요는 없으며, 어느 수준까지 보안을 강화할지는 각 기업의 상황에 따라 선택할 몫이라고 설명한다. 하지만 AI 해커가 등장한 시대에는 대표가 보안을 단순한 기술 문제가 아닌 경영 의사결정의 문제로 바라봐야 한다. 고객 정보부터 서비스 연속성, 공급망, 내부 권한, 클라우드, 생성형 AI 사용에 이르기까지 기업의 모든 활동이 보안과 직결되기 때문이다.
따라서 경영진은 다음과 같은 질문을 던져야 한다.

"우리 회사는 어떤 자산을 지켜야 하는가?"
"보안 사고가 나면 누가 책임지는가?"
"AI가 취약점을 찾는 시대에 기존 점검 방식만으로 충분한가?"
"보안을 비용이 아니라 경영 전략으로 보려면 무엇부터 바꿔야 하는가?"

이 질문들의 답을 찾아가는 과정이야말로 이 책이 전달하는 핵심 메시지다.

모든 책임은 CEO를 향한다

두 저자의 시선은 서로 다른 각을 겨눈다. 김인순은 "AI는 기업의 생산성을 높이는 도구이지만, 동시에 공격자의 능력도 키우고 있다"며 "이제 대표가 보안을 모르면 회사의 가장 중요한 리스크를 보지 못하는 것과 같다"고 말했다. 이어 "이 책은 보안 담당자를 위한 기술서가 아니라, 회사를 책임지는 사람이 보안을 어떻게 이해하고 판단해야 하는지 알려주는 경영서"라고 설명했다.
공동저자인 정은아는 "보안 사고는 어느 날 갑자기 터지는 것처럼 보이지만, 실제로는 오랫동안 방치된 의사결정의 결과인 경우가 많다"며 "대표와 임원이 보안을 어렵고 먼 이야기로 느끼지 않도록, 실제 기업 현장에서 마주하는 문제를 쉽게 풀어내는 데 집중했다"고 밝혔다.

이 책은 보안 사고가 발생했을 때 기술 부서만 대응해서는 안 되는 이유, CEO가 평소 점검해야 할 보안 질문, AI와 클라우드 시대에 새롭게 생기는 위험, 보안 투자를 설득하는 방법 등을 경영자의 언어로 정리했다. 특히 중소·중견기업 대표, 스타트업 창업자, 대기업 임원, 이사회 구성원, CISO, CIO, 보안 담당자, 홍보·법무·컴플라이언스 담당자에게 실질적인 가이드를 제공한다. AI 해커 시대를 준비하는 경영진에게 가장 현실적인 출발점이다.

추천의 글
들어가며
프롤로그_ 해커는 더 이상 밤새 일하지 않는다

1. 우리가 착각하고 있는 보안의 현실
"보안은 대기업 이야기라는 착각이 회사를 멈추게 한다"
제1장 뉴스에 나오지 않는 피해자들
제2장 우리 회사의 보안 담당자는 누구인가
제3장 해커는 똑똑해서가 아니라, 편해서 들어온다

2. 사장이 보안을 맡는 순간
"결재란에 사인하는 순간, 책임도 함께 온다"
제4장 보안은 대표부터 챙겨야 하는 리스크 관리
제5장 과징금 7억의 무게
제6장 '이것 하나면 다 되나요?'라는 질문의 위험성
제7장 AI는 직원이 쓰고, 책임은 사장이 진다

3. 돈 없이도 당장 할 수 있는 것들
"완벽한 보안은 없지만, 최악은 피할 수 있다"
제8장 예산이 0원이어도 당장 할 수 있는 1급 보안
제9장 우리 회사의 '진짜' 자산 지도 그리기
제10장 우리 회사만의 'A4 한 장' 보안 정책

4. 보안은 결국 사람과 구조의 문제다
"뚫린 뒤에 살아남는 회사, 무너지는 회사의 차이"
제11장 CISO가 없어도 보안은 돌아가야 한다
제12장 보안 사고의 책임은 결국 대표에게 돌아온다
제13장 다시 일어설 수 있어야 진짜 실력이다
제14장 보안의 룰이 바뀌었다

마치며_ 더 단단한 보안 체계를 원한다면
참고문헌

김인순 기술과 보안, 경영을 함께 이해하는 테크 커뮤니케이션 전문가다. 테크 전문 미디어 〈전자신문〉에서 20년간 보안과 소프트웨어 분야를 깊이 있게 취재하며 사이버 공격, 소프트웨어 혁신, 디지털 전환, 기업 보안 전략의 변화를 현장에서 기록해왔다.
이후 실리콘밸리 미디어 스타트업 더밀크코리아 대표를 역임했다. 기술을 단순한 뉴스가 아니라 기업 전략과 경영자의 의사결정 관점에서 해석하며 시스코, 오라클, 레드햇, 지란지교소프트 등 국내외 기업에서 최신 보안 트렌드와 대응법을 강연했다.
미래에셋투자와 연금센터가 발행하는 〈세이지 인베스터〉에서 글로벌 테크 트렌드 작가로 활동 중이다. 저서로 《나노브랜딩 시대》 《파괴자들, ANTI의 역습》이 있다.