한국 보안 거버넌스의 다행위자 균형과 변화 경로

— 평가가 잘못된 행동을 보상하고 있다

이 글은 AI 시대 한국 보안 거버넌스 시리즈의 1편입니다.

출발점

이 글은 처음에 단순한 질문에서 시작됐다. 국정원의 역할을 승인자에서 조정자로 바꾸자는 논의가 의미가 있는가?

이 질문은 김승주 고려대 교수가 다스뵈이다 방송에서 미국식 거버넌스 분리 모델을 참고하자고 제안한 데 대해, 윤두식 대표가 LinkedIn에서 응답한 글 — 법 개정 전에 운영 방식을 바꾸는 쪽이 현실적이라며 “승인자에서 조정자로"라는 표현을 제시한 — 에서 출발했다. 이 글은 그 제안에 동의에서 시작해 어디까지 가야 하는지를 다시 짚는다.

방향에는 동의한다. AI 도구, Agent, MCP, 코드 생성, 자동 대응의 속도가 빨라지는데 매번 중앙 승인과 유권해석을 기다린다면 현장은 수동적이 될 수밖에 없다. 승인자가 아닌 기준 제공자, 통제자가 아닌 조정자로 가자는 주장은 타당하다.

그런데 이 답에 만족할 수 없었다. 명칭이 바뀌어도 정보가 중앙에 묶여 있으면 현장은 빨라지지 않는다. 그래서 처음에는 정보 공개 체계가 더 중요하다고 정리했다. 국정원이 가진 위협 정보와 취약점 정보를 현장이 쓸 수 있는 형태로 빠르게 풀어야 한다는 주장이었다.

여러 번의 검토를 거치며 이 주장은 깨졌다. 정보를 풀어도 해석할 인력이 없거나 조치 권한이 없으면 현장은 그대로다. 그래서 정보·역량·권한·책임이 함께 필요하다고 확장했다가, 다시 항목 나열에 그친다는 비판을 받고 책임 구조 하나로 좁혔다. 그리고 책임만 풀린다고 움직이는 것은 아니라는 비판에 부딪혀 다시 흩어졌다.

이 진동을 끝낸 것은 두 가지 깨달음이었다.

첫째, 이건 국정원만의 문제가 아니다. 둘째, 이건 표준 준수 vs 자율 판단의 문제만이 아니라 시간의 문제다.

이건 국정원만의 문제가 아니다

ISMS-P를 보자. 통제항목은 고정되어 있고, 피감기관은 그 항목에 맞춰 증빙을 만든다. 자체 위협 환경 판단으로 통제를 추가·변형하는 것은 인증 심사에서 가산점이 되지 않는다. 오히려 표준 외 활동은 “왜 했는지” 설명 부담이 된다.

즉, 인증 체계 자체가 자율 판단을 비용으로 만든다.

  • 표준 항목을 따른 결과 → 인증 통과
  • 자체 판단으로 추가 통제 → 인증과 무관, 감사 시 추가 설명 부담
  • 자체 판단으로 표준 항목 변형 → 인증 미달 위험

이건 국정원이 조정자가 되든 승인자가 되든 바뀌지 않는다. KISA의 ISMS, 개인정보보호위원회의 영향평가, 행안부의 정보보안 관리실태 평가, 국정원의 보안 정책 모두 같은 구조로 작동한다. 한 기관의 통제 스타일이 아니라, 국가 보안 거버넌스 전체가 표준 준수형 평가 체계로 설계되어 있고, 이 체계 안에서는 자율 판단이 제도적으로 보상받지 않는다.

여기서부터 핵심 문장이 나온다.

평가가 행동을 만든다.

평가 항목에 없으면 하지 않는다. 평가에서 불리하면 피한다. 평가에서 인정하면 움직인다. 한국 보안 현장이 느린 이유는 담당자가 게을러서가 아니라, 평가 체계가 그렇게 행동하도록 만들기 때문이다. 표준 밖으로 나가지 마라, 자율 판단은 네가 설명해야 한다, 평가 항목에 없는 것은 보상받지 않는다 — 이 메시지가 모든 인증·감사·법률·지침에서 일관되게 나온다.

이 구조에서는 현장이 혁신하지 않는 것이 비합리적인 게 아니다. 오히려 제도 안에서는 합리적 선택이다.

AI가 비용 구조를 바꿨다

여기까지가 거버넌스 분석이라면, 지금부터는 시간 분석이다.

해외 보안 기업과 연구자들은 이미 AI를 단순 문서 작성 도구가 아니라 코드 분석, 퍼징, 취약점 검토, 익스플로잇 작성, 패치 검증의 보조 파이프라인으로 활용하고 있다. 공격자도 정찰·취약점 탐색·페이로드 생성에 AI를 쓴다.

이 문제를 단지 이론적으로 보는 것이 아니다. 직접 만든 분석 도구로, 특정 코드 패턴을 기준으로 취약 가능 경로를 분류하고 유사 구조를 묶어 검토하는 작업에서, 일반 분석가가 1년, 숙련 전문가가 1개월 걸릴 수 있는 작업이 하루 단위로 줄어드는 것을 확인했다. 물론 모든 취약점 분석이 하루로 줄어든다는 뜻은 아니다. 그러나 반복적인 코드 경로 분류, 유사 취약 패턴 탐색, 후보군 축소 같은 작업에서는 이미 시간 단위가 바뀌고 있다.

이 정도 변화가 개인 수준에서도 가능하다면, 조직적 자원을 가진 해외 보안 기업과 공격자 집단의 속도는 이미 다른 차원에 있다고 봐야 한다.

KISA 버그바운티를 하면서 비슷한 감각을 받았다. 취약점 정보는 접수되지만, 그 정보가 현장의 실행 지식으로 전환되는 속도는 충분히 빠르지 않았다. 이게 이 문제의식의 출발점이었다.

여기서 시간 차원의 비대칭이 드러난다.

  • 공격자·해외 보안 기업: 하루 단위의 분석·검증 사이클이 가능해지고 있음
  • 국내 공공 방어: ISMS 갱신 주기, 보안공지 배포 주기, 유권해석 회신 주기로 움직임

이 두 사이클의 차이는 한 자릿수가 아니라 두세 자릿수다. 그리고 이 격차는 따라잡히는 종류가 아니다. AI 능력이 매년 향상되면 공격 측 속도는 더 빨라지고, 방어 측이 표준 준수형 거버넌스 안에 있는 한 그 속도는 거버넌스 사이클에 묶인다. 격차의 절대값이 아니라 격차의 가속도가 문제다.

이 시간 격차는 해외 정책과 연구에서도 이미 중요한 지표로 다뤄지고 있다. 미국 CISA의 Known Exploited Vulnerabilities Catalog와 BOD 22-01은 실제 악용 취약점에 대해 지정 기한 내 조치를 요구한다. 공지에 그치지 않고 반응 시간을 제도 안으로 끌어들인 구조다. 같은 방향에서 Google Project Zero의 Project Naptime은 LLM 기반 취약점 연구 프레임워크가 기존 벤치마크 성능을 크게 끌어올릴 수 있음을 보였고, DARPA AI Cyber Challenge는 AI 기반 취약점 발견·패치 자동화를 정책 의제로 만들었다. 핵심은 하나다. 이제 보안 평가는 “무엇을 갖췄는가"가 아니라 “새 위험에 얼마나 빨리 반응했는가"를 물어야 한다.

가장 비틀린 곳, 민간

여기서 가장 아이러니한 지점이 나온다. 정부 쪽은 그렇다 치자. 민간은 어떤가.

  • 보안팀에 AI를 충분히 쥐어주지 않는다 — 데이터 반출, 외부 SaaS, 책임 소재 우려 때문
  • 규제로 강제하지도 않는다 — 평가 체계가 AI 기반 분석 역량을 명시적으로 요구하거나 보상하지 않으니, 하지 않아도 불이익이 크지 않다
  • 그런데 경영진은 이미 AI로 인력·비용을 줄이고 있다 — 보안팀 포함

국내 민간에서는 AI가 보안 역량 강화보다 비용 절감의 언어로 먼저 소비되고 있다. 이 흐름이 방치되면 보안팀은 더 적은 인력으로, AI 도구도 없이, 더 넓어진 공격면을 방어하게 된다.

이게 단순한 경영 판단의 실패가 아니라 거버넌스가 만든 결과다. 평가가 행동을 만든다. 평가 항목에 없는 것은 기업이 안 한다. 안 해도 통과되니까. AI 보안 활용이 평가 항목에 없으면, 민간 보안팀이 AI를 도입할 제도적 동기가 없다.

동시에 정보 통제 때문에 위협 인식이 만들어지지 않는다. 중앙이 위협 정보를 통제 공유하면, 민간 경영진은 AI 시대 공격 속도 변화를 체감하지 못한다. 체감하지 못하니 AI는 효율화 도구로만 보이고, 비용 절감 대상에 보안팀이 들어간다.

보안팀이 “AI 도구를 도입해야 합니다"라고 주장해도, 그게 ISMS 가산점이 되지 않으면 경영진을 설득할 근거가 없다. 자체 도입했다가 사고 나면 “왜 표준 외 도구를 썼느냐"는 책임이 돌아온다.

정부 쪽은 표준 준수형 평가 안에서 느리게 움직이는 형태로 문제가 나타난다. 민간 쪽은 같은 평가 안에서 AI를 비용 절감 쪽으로만 흘리는 형태로 나타난다. 양상은 다른데 원인은 같다.

잘못된 방향으로 가속되고 있다

지금 한국 보안 생태계에서 동시에 진행되고 있는 일을 네 줄로 정리하면 이렇다.

  1. 공격자는 AI로 가속 중
  2. 해외 보안 기업도 AI로 가속 중
  3. 국내 정부 방어는 표준 준수 사이클에 묶여 있음
  4. 국내 민간 방어는 평가에 없으니 AI 도입의 제도적 동기가 없고, 그 사이 경영진은 AI를 비용 절감으로 소비

한국 보안이 AI 시대 진입에서 한 박자 늦고 있는 게 아니다. 잘못된 방향으로 가속되고 있다. 공격 측은 빨라지는데 방어 측은 인력이 줄어드는 방향으로.

이 구조가 만들어진 이유는 한 기관의 통제 스타일 때문이 아니다. 인증·감사·법률·지침이 모두 같은 방향으로 작동한 결과다. 자율 판단이 제도적으로 손해가 되도록 설계된 거버넌스 안에서, 정부와 민간 모두 합리적으로 행동하면 이 결과가 나온다.

평가가 보상하는 행동을 바꿔야 한다

그래서 무엇이 필요한가. 국정원의 역할 조정은 의미가 있지만, 여기까지 오면 그게 핵심 의제가 될 수 없다는 게 분명해진다.

진짜 의제는 이것이다.

평가·인증 체계가 AI 시대의 속도와 자율 판단을 보상하도록 재설계될 수 있는가.

여기서 한 가지 오해를 미리 막아야 한다. 표준 준수가 불필요하다는 뜻이 아니다. 표준은 최소선이어야 한다. 그런데 지금의 평가 체계에서는 최소선이 사실상 목표가 된다. 기관은 표준을 넘어서는 위험 판단을 해도 보상받지 못하고, 표준에서 벗어나면 설명 부담을 진다. 그러면 합리적 행위자는 최소선에 정확히 머문다. 더 가지 않고, 덜 가지도 않는다.

이게 표준 준수형 체계가 만드는 진짜 문제다. 표준이 나쁜 게 아니라, 표준이 천장으로 작동하는 구조가 문제다. AI 시대에 필요한 것은 표준을 버리는 것이 아니라, 표준을 넘어서는 적응 행동을 평가 안으로 끌어들이는 것이다.

또 하나 예상되는 반론이 있다. “AI 활용을 평가 항목에 넣으면 또 다른 체크리스트가 되지 않겠는가? AI 도구 도입 증빙, 사용 절차 문서, 로그 샘플, 교육 이수 기록으로 환원되어 결국 또 증빙 게임이 되지 않겠는가?”

맞다. 그렇게 될 수 있다. 그러나 이건 평가 재설계를 포기할 이유가 아니다.

모든 평가는 결국 게임화된다. 문제는 게임화 자체가 아니라 무엇을 게임하게 만들 것인가다. 지금 체계는 표준 항목을 빠짐없이 맞추는 행동을 보상한다. AI 시대에는 신규 위협을 얼마나 빨리 해석하고, 영향 범위를 판단하고, 임시 완화책을 만들고, 그 결과를 다음 통제에 반영했는지를 보상해야 한다. 완벽한 평가는 불가능하지만, 잘못된 행동을 보상하는 평가는 바꿀 수 있다.

여기서 AI는 목적이 아니라 수단이다. “AI를 썼는가"가 아니라 “AI 시대의 속도에 맞는 적응 능력을 갖췄는가"가 평가 대상이어야 한다. AI 사용 자체를 항목화하면 다시 형식화된다.

최소 출발점 세 가지

이 재설계는 한 번에 완성되지 않는다. 그러나 출발점은 분명하다. 평가 체계는 ‘무엇을 보유했는가’보다 ‘새로운 위험이 들어왔을 때 어떻게 판단하고 움직였는가’를 봐야 한다. 이 원칙에서 최소한 세 가지가 따라온다.

첫째, 표준 항목 충족 여부뿐 아니라 신규 위협에 대한 영향 분석과 임시 대응 시간을 평가해야 한다. 어떤 기관이 새로운 취약점 정보를 받았을 때 영향 범위를 며칠 만에 판단했는지, 임시 완화책을 얼마나 빨리 적용했는지가 평가 안에 들어와야 한다. 지금은 이 모든 것이 평가 밖에 있다.

둘째, 표준 외 자율 조치가 합리적 근거와 사후 기록을 갖춘 경우 감점이 아니라 가산 또는 우수 사례로 인정되어야 한다. 자율 판단이 손해가 되는 구조가 풀리려면, 자율 판단이 보상받아야 한다. 사고가 나도 합리적 절차를 거쳤으면 보호되고, 사고를 막은 자율 판단은 우수 사례로 공유되어야 한다.

셋째, AI 도구 사용 여부가 아니라 AI 시대의 분석 속도에 맞는 대응 체계, 검증 절차, 로그 기반 재탐색 능력을 평가해야 한다. 도구 도입 증빙은 의미가 없다. 신규 패턴이 들어왔을 때 자체 환경에서 재탐색이 가능한지, 그 결과를 검증할 절차가 있는지, 그게 다음 통제에 반영되는지가 평가의 대상이다.

세 가지 모두 공통점이 있다. 새 항목이 아니라 시간 변수라는 점이다. 언제 들어왔고 언제 판단했고 언제 적용했는가를 보는 것이지, “AI 분석 도구를 갖췄는가"를 묻는 게 아니다. 항목으로 환원되는 순간 같은 함정에 빠진다.

이건 기존 보안 거버넌스 패러다임의 이동을 요구한다. 준수 능력에서 적응 능력으로, compliance에서 adaptation으로.

물론 이 재설계는 한 기관이 할 수 있는 일이 아니다. 국정원, KISA, 개인정보보호위원회, 행안부, 그리고 감사원과 입법부까지 걸려 있다. 그래서 어렵다. 그러나 어렵다는 게 안 해야 한다는 뜻은 아니다. 시간이 가속되고 있고, 격차도 가속되고 있다.

정책 담당자에게 묻는다

이 글의 끝에 한 가지 질문을 남기고 싶다.

지금의 평가·인증 체계는 기관이 새로운 위험을 먼저 발견하고 조치했을 때 보상하는가, 아니면 표준 항목에서 벗어난 이유를 설명하게 만드는가?

AI 시대에 이 질문에 답하지 못하면, 방어자는 계속 느려지고 공격자는 계속 빨라질 것이다. 그리고 그 사이에 상당수 민간 보안팀은 AI를 방어 역량으로 충분히 활용하지 못한 채, 비용 절감 압력만 먼저 받게 될 것이다.

참고할 만한 해외 흐름

한 줄 결론

AI 시대에 한국 보안 거버넌스가 바꿔야 할 것은 한 기관의 역할 명칭이 아니라 평가가 보상하는 행동이다. 표준 준수만 보상하고 자율 판단을 손해로 만드는 체계가 계속된다면, 공격은 AI로 빨라지고 방어는 증빙과 비용 절감 속에 더 느려질 것이다. 이제 평가는 “정해진 항목을 지켰는가"를 넘어, “새로운 위험을 얼마나 빨리 판단하고 개선했는가"를 물어야 한다.