AI 시대 데이터 보안, "공격자는 침입하지 않는다. 로그인한다."

최근 기업에서는 Microsoft Copilot, Claude, Gemini 등 생성형 AI를 활용해 문서 작성부터 데이터 분석, 업무 자동화까지 다양한 업무를 수행하고 있어요. 이제는 단순히 질문에 답하는 AI를 넘어, 여러 시스템을 연결해 업무를 수행하는 AI Agent 시대까지 본격적으로 시작되고 있습니다.

AI 기술이 발전하면서 보안 환경도 빠르게 변화하고 있어요. 최근에는 Anthropic이 사이버보안 역량을 강화한 AI 모델 Claude Mythos Preview를 발표하며, AI가 소프트웨어의 보안 취약점을 분석하고 발견하는 단계까지 발전했음을 보여주었어요. 반면 공격자 역시 AI를 활용해 피싱 메일 작성이나 악성코드 생성 등 공격을 더욱 빠르고 정교하게 시도하고 있어요.

그래서 데이터시큐어와 폴라리스오피스는 'AI 시대의 데이터 보안' 세미나를 개최해 AI 시대 기업이 왜 데이터 거버넌스를 준비해야 하는지, 그리고 어떤 보안 전략이 필요한지 소개했습니다.

이번 세미나에서 가장 강조된 메시지는 AI가 새로운 보안 문제를 만드는 것이 아니라, 기존의 데이터와 권한 관리 문제를 더 빠르게 드러낸다는 점이었어요.

1. AI 시대, 왜 데이터 보안과 권한 관리가 중요해졌을까요?

AI가 등장하면서 보안 위협이 새롭게 생긴 것처럼 느껴질 수 있어요. 하지만 이번 세미나에서 전하는 메시지는 의외로 단순했어요.

"AI doesn't create new security problems. It amplifies existing ones." AI는 새로운 보안 문제를 만들지 않는다. 기존 문제를 증폭시킬 뿐이다.

예를 들어 Microsoft Copilot은 새로운 권한을 만드는 게 아니라, 사용자가 원래 접근할 수 있었던 데이터를 그대로 활용해 답변을 생성해요. 문제는 기업 내부에 오래전부터 방치된 과도한 권한, 잘못된 공유 설정, 분류되지 않은 민감 데이터가 AI를 통해 훨씬 쉽게 검색되고 활용될 수 있다는 점이에요. 세미나에서는 이를 이렇게 설명했어요.

"The data risk was already there. AI gave it a search bar."

데이터 위험은 원래부터 있었다. AI는 거기에 검색창을 하나 쥐어줬을 뿐이다.

결국 AI 자체가 위험한 게 아니라, 데이터를 관리하는 방식이 AI 시대에 맞지 않는 게 더 큰 문제라는 뜻이에요. 기업용 AI 역시 연결된 데이터와 접근 권한의 영향을 받지만, 구체적인 데이터 처리 방식과 권한 구조는 제품과 구축 환경에 따라 달라질 수 있어요.

여기에 사람의 실수가 더해지면 문제는 더 커져요. 세미나에서는 AI 시대에 가장 많이 발생하는 데이터 관리 실수를 세 가지로 소개했어요.

• Mislabeling — 민감한 문서에 올바른 보안 등급(Label)을 지정하지 않는 경우

• Misconfiguring — 공유 권한을 잘못 설정해 조직 전체에 문서가 노출되는 경우

• Misplacing — 민감한 파일을 누구나 접근 가능한 위치에 저장하는 경우

예전에는 이런 실수가 크게 드러나지 않을 수도 있었어요. 하지만 AI는 사람의 의도보다 권한(Permission)을 기준으로 데이터를 읽어요. 즉, 한 번의 공유 설정 실수가 AI를 통해 훨씬 많은 사용자에게 노출될 가능성을 만들 수 있어요.

이번 세미나에서 반복해서 등장한 문장도 같은 맥락이에요.

"Attackers don't break in. They log in."

공격자는 침입하지 않는다. 로그인한다.

최근 공격은 시스템을 강제로 뚫는 방식보다, 탈취한 정상 계정을 이용하거나 과도하게 부여된 권한을 악용하는 방식으로 이루어지는 경우가 많아요. AI 역시 새로운 권한을 만들지 않아요. 기존 사용자가 접근할 수 있는 데이터만 활용할 뿐이에요. 그래서 AI 시대에는 '누가 로그인했는가'보다 '누가 어떤 데이터에 접근할 수 있는가'를 관리하는 것이 더 중요해졌어요.

2. AI를 안전하게 활용하기 위한 데이터 보안 전략

AI를 안전하게 활용하려면 AI를 바꾸는 게 아니라, 데이터를 관리하는 체계부터 갖춰야 해요. 세미나에서는 이를 위한 AI Readiness Checklist를 여섯 단계로 소개했는데, 각 단계마다 실제로 무엇을 봐야 하는지도 함께 짚어졌어요.

① Discover — 우리 조직에 어떤 데이터가 있는지부터 찾아요

의외로 많은 기업이 자기 데이터가 어디에 얼마나 있는지 정확히 모르고 있어요. 오래된 프로젝트 폴더, 조직 개편이나 인수합병 과정에서 방치된 자료, 재택근무 이후 개인 클라우드나 로컬 PC에 흩어진 파일들처럼요. AI를 도입하기 전에 이런 '관리되지 않는 데이터'부터 찾아내는 게 첫 단계예요. 보이지 않는 데이터는 지킬 수 없으니까요.

② Classify — 찾은 데이터를 자동으로 분류하고, 라벨을 붙여요

찾아낸 데이터를 기밀·민감·공개 등 중요도에 따라 자동으로 분류해요. 분류된 정보는 문서의 메타데이터에 라벨로 저장되어, 접근 권한 설정이나 외부 공유 정책의 기준으로 활용돼요. 이렇게 데이터의 중요도를 미리 구분해 두면 AI가 민감한 정보에 불필요하게 접근하는 위험도 줄일 수 있어요.

③ Audit — 누가 왜 그 권한을 갖고 있는지 점검해요

'조직 전체(Everyone)' 공유, 익명 공유, 오래전에 만들어놓고 방치된 공유 폴더처럼 과도하게 열린 접근 권한을 찾아내는 단계예요. 사용자 본인도 자신에게 그 파일이 공유돼 있다는 걸 모르는 경우가 많아요. 문제는 AI는 이런 사정을 봐주지 않고, 접근 가능한 모든 데이터를 그대로 활용한다는 점이에요. 그래서 감사 단계에서는 '누가, 언제, 어떻게 권한을 받았는지'까지 로그로 남겨서 사후 추적이 가능하게 만들어야 해요.

④ Monitor — 실시간으로 이상 징후를 감지해요

권한 설정을 한 번 정리했다고 끝나는 게 아니에요. 새로운 공유 사이트 생성, 권한 변경, 파일 이동은 계속 발생하니까요. 짧은 시간에 수천 개 파일에 접근하거나, 평소와 다른 시간대에 관리자 계정이 로그인하거나, 퇴사 예정자나 휴면 계정이 갑자기 활동하는 경우 같은 이상 패턴을 실시간으로 탐지해야 해요.

⑤ Secure — 발견한 위험을 실제로 조치해요

과도한 공유를 해소하고, 불필요한 권한을 회수하며, 반복되는 노출 패턴에 대한 조치를 자동화해요.

⑥ Govern — 지속적으로 정책을 운영하고 증빙해요

접근 권한 검토와 정책 적용, 데이터 수명주기 관리를 반복하고 감사 및 컴플라이언스에 필요한 자료를 관리해요.

그리고 이 전체 사이클(Discover → Classify → Audit → Monitor → Secure)을 반복하면서 컴플라이언스 증빙 자료까지 자동으로 뽑아낼 수 있어야, 보안팀이 매번 로그를 뒤지지 않고도 지속적인 거버넌스를 유지할 수 있어요.

이러한 흐름 속에서 Netwrix 1Secure는 데이터와 아이덴티티 보안을 하나의 SaaS 플랫폼에서 통합 관리할 수 있도록 지원해요. DSPM을 통해 데이터를 발견하고, 분류하며, 과도한 권한과 이상 접근을 파악해 AI 환경의 데이터 위험을 지속적으로 관리할 수 있어요.

3. AI 시대 데이터 보안에 대한 FAQ

Q1. AI 시대에 데이터 보안이 더 중요해진 이유는 무엇인가요?

A. 생성형 AI는 사용자가 접근할 수 있는 데이터를 기반으로 답변을 생성합니다. 따라서 과도한 권한, 잘못된 공유 설정, 분류되지 않은 민감 정보가 있다면 AI를 통해 의도치 않게 노출될 가능성이 커질 수 있어요.

Q2. DSPM(Data Security Posture Management)이란 무엇인가요?

A. DSPM은 조직에 저장된 데이터를 찾아(Discover), 분류(Classify)하고, 권한을 분석(Audit)하며, 이상 행위를 모니터링(Monitor)해 데이터 보안 상태를 지속적으로 관리하는 솔루션이에요. AI 시대에는 데이터를 어디에 저장하고 있는지, 누가 접근할 수 있는지, 민감 정보가 적절히 보호되고 있는지를 한눈에 파악하는 것이 중요하며, DSPM은 이러한 과정을 자동화해 보안 위험을 줄이는 데 도움을 줘요.

Q3. Netwrix 1Secure는 어떤 보안 플랫폼인가요?

A. Netwrix 1Secure는 데이터 보안, 권한 관리, 사용자 행위 분석을 하나의 플랫폼에서 통합 관리할 수 있도록 지원하는 보안 플랫폼이에요. 데이터를 자동으로 검색·분류하고, 과도한 권한을 식별하며, 이상 행위를 탐지하고, 데이터 유출을 방지할 수 있도록 다양한 Netwrix 솔루션을 연계해 제공해요. 이를 통해 AI 환경에서도 조직의 데이터와 권한을 지속적으로 관리할 수 있도록 지원해요.

생성형 AI와 AI Agent의 활용 범위가 넓어질수록, 기업은 AI 도입 여부뿐 아니라 AI가 접근하는 데이터와 권한 관리 체계까지 함께 살펴봐야 해요.

우리 조직은 민감 데이터가 어디에 있는지, 누구에게 어떤 권한이 부여되어 있는지, 비정상적인 접근을 추적하고 대응할 수 있는 체계를 갖추고 있는지 점검해 보세요.

AI 활용이 일상이 된 지금, 우리 조직의 데이터 보안 수준을 진단하는 것부터 시작해 보시기 바랍니다.