9월 11일 개인정보보호법 개정안이 시행됐다. 실무에 직접 영향을 미치는 변화는 크게 두 가지다. 하나는 유출 등의 범위 확대다. 지금까지는 분실·도난·유출만 유출 등에 해당했지만, 앞으로는 위조·변조·훼손도 포함된다. 랜섬웨어로 암호화만 됐어도 통지·신고 대상이 된다는 뜻이다. 다른 하나는 통지 시점이다. 유출 사실이 최종 확인되기 전이라도, 유출 가능성이 높다고 판단되면 72시간 이내에 알려야 한다. 결국 관건은 사고를 얼마나 빨리 알아차리고 상시 모니터링하는지다.
그렇다면 국내 기업들은 침해를 얼마나 빨리 알아차릴 준비가 되어 있을까. 현실적으로는 녹록지 않다. 포티넷의 2026년 위협 동향 보고서에 따르면 취약점 발견 후 실제 공격에 악용되기까지 걸리는 시간은 며칠에서 사실상 0일로 압축됐고, 한국인터넷진흥원(KISA)도 서비스형 랜섬웨어·초기 접근 브로커의 분업 구조로 대기업뿐 아니라 중소·중견기업과 협력사까지 표적이 되고 있다고 짚는다. 아울러 원격관리도구 악용이나 API·계정 탈취처럼 정상 트래픽과 구분이 어려운 공격도 늘고 있다.
72시간이라는 법정 기한 안에 유출 여부를 판단하고 통지하려면, 사람이 매번 로그를 들여다보는 수동 방식만으로는 한계가 있다. 이상 징후가 감지되는 즉시 격리와 추적이 자동으로 시작되는 체계를 갖춰야 골든타임을 사수할 수 있다. 담당자의 판단 부담을 줄이려면, 개별 경보를 일일이 검토하기보다 권한 상승, 대량 파일 접근 등의 여러 신호가 겹칠 때 자동으로 조사를 우선순위에 올리거나, 필요할 경우 격리까지 수행하는 자동화 체계를 갖추는 것도 방법이다.
다만, 단일 데이터 소스(외부 취약점 스캔 등)에만 의존하는 자동화는 오탐 위험이 있어, 보안팀이 자동 격리 조치를 선뜻 적용하기 어렵다는 한계가 있다. 내부 로그(EDR·SIEM)와 외부 노출 정보(CTEM·EASM)를 통합해 AI에 풍부한 맥락을 제공하면 위협 판별과 의사결정의 정확도를 끌어올릴 수 있다. 여기서 한 걸음 더 나아가, 기존 로그를 정규화하듯 AI의 분석 결과도 비정형 문장이 아니라 정형화된 스키마로 축적해두면 이후의 판단과 자동화에도 반복적으로 활용할 수 있다. 이런 구조가 '72시간 골든타임'을 지켜낼 수 있는 기술적 기반이 될 수 있다.
또한 이런 체계를 갖춰도 보안팀 성과 지표가 여전히 '경보 처리 건수'로 잡혀 있다면 실효성이 떨어질 수 있다. 개별 경보를 빠르게 닫는 데만 최적화되면 여러 신호를 묶어 보는 상관 분석에는 시간을 쓰기 어려워지기 때문이다. 포티넷의 위협 동향 보고서도 경보 건수가 아니라 탐지부터 격리까지 걸린 시간으로 지표 자체를 바꿔야 한다고 짚는다.
지금까지 짚은 것들을 정리하면, 상관분석 및 자동 대응 체계와 격리 시간 기준의 성과 지표 두 가지로 압축된다. 이 체계를 한꺼번에 갖추기는 어렵지만, 기업 규모와 여력에 맞춰 단계적으로 늘려가는 접근도 가능하다. 개인정보위 역시 상시 위험관리체계, 공격표면 관리 등을 감경 요소로 살펴보겠다고 밝힌 바 있는데, 이는 외부 노출 자산을 상시 점검하는 지속적 위협 노출 관리(CTEM) 체계와도 맞닿아 있다. 즉 내부 경보에 대응하기 전, 외부에 어떤 자산이 노출되어 있는지 '사전 가시성'을 먼저 파악해두는 것을 우선순위로 볼 수 있다.
한편, 개별 기업의 노력만으로는 한계가 있는 만큼, 업계 전체의 보안 역량을 함께 끌어올리는 노력도 필요하다. 과징금과 같은 사후 제재도 필요하지만, 전문인력과 투자 여력이 부족한 중소·중견기업 및 협력업체가 실질적으로 보안 수준을 높일 수 있도록 지원하는 방안이 병행돼야 한다.
포티넷도 이러한 문제의식 아래, 상대적으로 열악한 환경에서 보안을 담당하는 중소기업 실무자들과의 접점을 꾸준히 확대하고 있다. 정기 워크숍과 네트워킹 세션을 통해 현장의 고민과 대응 방안을 공유하고 있으며, 최근에는 스타트업을 대상으로 '오늘 하루 당신의 CISO가 되어드립니다'라는 콘셉트의 웨비나 및 컨설팅 프로그램을 운영하는 등 실질적인 지원에도 나서고 있다.
결국 강화되는 규제와 위협 환경에 대응하는 것은 개별 기업만의 과제가 아니다. 취약한 기업까지 함께 성장하는 산업 생태계를 만드는 노력이 뒷받침돼야 전체 보안 수준도 높아질 수 있다.