국내 기업 가운데 사이버보안 위협에 충분히 대응할 준비가 된 '성숙 단계'에 이른 곳은 단 3%에 그친 것으로 나타났다. 인공지능(AI)을 활용한 위협은 갈수록 정교해지고 있지만, 기업들의 인식과 대응은 여전히 부족하다는 평가다.

뉴시스 보도에 따르면, 시스코는 8일 '2025 사이버보안 준비 지수' 보고서를 통해 국내 기업의 보안 대비 수준이 전반적으로 낮은 수준에 머물러 있다고 밝혔다.

이번 보고서는 독립적인 제3기관이 한국을 포함한 전 세계 30개국의 민간 보안 및 비즈니스 리더 8000여 명을 대상으로 실시한 이중맹검 방식(조사자와 응답자 모두 조사 목적을 알지 못한 상태에서 진행) 설문 조사를 기반으로 작성했다.

조사 대상 기업들은 각 솔루션의 도입 여부와 구현 단계를 상세히 응답했으며, 시스코는 이를 바탕으로 기업의 사이버보안 준비 수준을 ▲초기(Beginner) ▲형성(Formative) ▲발달(Progressive) ▲성숙(Mature)의 네 단계로 분류했다.

조사에 따르면 국내 기업의 보안 수준은 ▲성숙3% ▲발달 17% ▲형성 52% ▲초기 28%로 집계됐다. 전년도 대비 성숙 단계는 1%p 감소했고, 초기 단계는 3%p 증가해 전반적인 준비 수준이 후퇴한 모습이다. 특히 응답자의 46%는 "1~2년 내 보안 사고로 인해 비즈니스에 차질이 발생할 것"이라고 예상했다.

?

◆AI 보안 위협 커지는데…인식과 대응은 여전히 부족

AI 기반 보안 위협은 기업 환경 전반에 빠르게 스며들고 있지만, 실제 인식과 대응은 부족하다는 점도 드러났다.

먼저 기업들은 사이버보안 전략 전반에 AI를 적극 도입하고 있는 것으로 나타났다. 78%의 기업이 위협을 더 잘 이해하기 위해, 83%는 탐지, 65%는 대응과 복구에 AI를 활용하고 있다고 응답했다.

그러나 생성형 AI 도구의 확산은 새로운 리스크가 될 전망이다. 전체 직원 중 49%가 승인된 서드파티 AI 도구를 사용 중이나, 20%는 공개 생성형 AI에 제한 없이 접근 가능한 것으로 나타났다. 게다가 IT 부서의 79%는 직원의 생성형 AI 사용 여부조차 인지하지 못하고 있어 관리 사각지대 우려가 제기됐다.

특히 83%의 기업은 비인가된 AI, 즉 '섀도 AI(Shadow AI)'를 탐지할 자신이 없다고 밝혔으며, 이는 사이버보안 및 데이터 프라이버시 측면에서 중대한 위험 요소로 작용할 수 있다.

아울러 81%의 기업은 하이브리드 근무 환경 속에서 관리되지 않는 디바이스로 인한 보안 위험이 커지고 있다고 응답했으며, 보안 예산을 IT 인프라 대비 충분히 배정하지 못하는 현실도 확인됐다.

실제로 전체 기업의 93%가 IT 인프라 업그레이드를 계획하고 있지만, 사이버보안에 IT 예산의 10% 이상을 투입한 기업은 33%에 불과했다.

◆시스코, 'AI 중심 보안 전략' 강조…섀도 AI·인력 부족 통합 대응 필요

시스코는 사이버보안 과제에 효과적으로 대응하기 위해서는 AI 기반 보안 솔루션에 대한 투자 확대와 함께 복잡한 보안 인프라의 간소화, 그리고 직원들의 AI 위협 인식 제고가 필수적이라고 강조했다.

특히 위협의 탐지부터 대응, 복구에 이르는 전 과정에서 AI를 중심에 둔 전략적 접근이 요구되며 인력 부족 문제를 해소하고, 관리되지 않는 디바이스 및 섀도 AI로 인한 리스크를 통합적으로 관리하는 것 또한 중요하다고 밝혔다.

최지희 시스코코리아 대표는 "이제는 단순 방어를 넘어, 위협 발생 이후의 복구와 회복을 아우르는 보안 회복탄력성을 갖추는 것이 필수"라고 강조했다.

이어 "올해 사이버보안 준비 지수 결과에서도 확인할 수 있듯, 국내 기업들의 대비 수준은 아직 충분하지 않은 상황"이라며 "AI 기반 위협 대응 역량을 강화하고, 관리되지 않는 디바이스와 섀도 AI 등 새로운 리스크까지 포괄하는 전략적 보안 포트폴리오에 대한 투자가 그 어느 때보다 절실하다"고 설명했다.