글로벌 CISO ‘AI 리스크 압박’ 표면화…한국 AI 보안 거버넌스 전환

글로벌 CISO, 생성형 AI 리스크 압박 본격 체감…한국 보안 거버넌스 전환 촉발

• 다크리딩은 최근 글로벌 CISO들이 생성형 AI 도입으로 데이터 유출, 규제 위반, 평판 손상을 동시에 우려하며 AI를 기존 보안 리스크 목록 안의 상시 관리 대상으로 공식 편입해야 한다고 지적한다.
• 기사에서 CISO들은 프롬프트 주입, 모델 오염, 합성 신원 악용 등 새로운 공격 벡터로 조직 의사결정과 코드 개발, 고객 대응에 사용되는 AI가 잘못된 정보와 편향을 확산시켜 경영진 책임과 법적 리스크를 급증시키는 구조를 경고한다.
• 전문 분석에 따르면 2025년 SANS·버라이즌 등의 자료에서 도난 자격증명이 전체 침해의 22%를 유발하고 AI 기반 딥페이크·소셜 엔지니어링이 급증함에 따라 CISO들은 AI 사용 현황 인벤토리, 데이터 흐름 맵, 최소한의 가드레일 정책을 요구해 왔다.
• 이 흐름은 한국에서도 KISDI 보고서와 NIST·ISO 기반 AI 보안 평가 프레임워크 도입 논의로 이어지고 있어 정부가 AI 보안 거버넌스 법제, 컨트롤타워, 공공부문 AI 활용지침을 선제 정비하면 국내 보안 산업의 AI 리스크 컨설팅·평가 시장을 조기에 형성할 기회가 된다.
• 반면 글로벌 CISO의 AI 리스크 인식은 공급망·서드파티·섀도우 AI까지 규제 시야에 넣어야 한다는 신호이므로 한국 정부가 공공·금융·통신의 AI 사용 실태 조사, 정체성 시스템 재설계 의무화, AI 오남용 사고보고 체계 구축을 서두르지 않을 경우 국가 핵심 인프라와 규제 신뢰도 동시 약화를 초래할 수 있다.

한국 정책 담당자는 AI를 별도 혁신 의제가 아닌 정보보호 기본 리스크로 규정하고, 공공·민간 AI 사용 인벤토리 의무화와 AI 보안 거버넌스 법제화 로드맵을 3년 내 가시조치로 설계할 필요가 있다.

주요 용어: CISO(기업 최고 정보보안 책임자), 생성형 AI(텍스트·이미지 등을 자동 생성하는 인공지능), 프롬프트 주입(명령문을 악의적으로 삽입해 AI 동작을 교란하는 공격), 모델 오염(학습 데이터나 파라미터를 왜곡해 AI 결과를 조작하는 공격), 섀도우 AI(조직 통제 밖에서 비공식적으로 사용되는 AI 서비스)

출처: Dark Reading