AI 위협은 방해 요소입니다. 진짜 문제는 바로 우리 가까이에 있습니다.

솔직히 말해서, AI 기반 사이버 공격은 끔찍한 전망입니다. 하지만 이것이 비즈니스에 가장 큰 위협은 아닙니다.

가장 큰 위협은 산만 그들은 창조한다.

15년 넘게 저는 똑같은 상황을 지켜봐 왔습니다. 경영진은 최신 "AI 초강력 위협"에 불안해하는 반면, 보안팀은 "가장 민감한 고객 데이터는 어디에 있나요?" 또는 "중요 시스템의 패치는 누가 담당하나요?"와 같은 기본적인 질문에도 여전히 답을 찾지 못하고 있습니다. 엔지니어들은 막판 컴플라이언스 훈련에 끌려가고, 심각한 취약점은 우선순위에서 밀려나는 동안, 우리는 반짝이는 새 도구에 매달립니다.

이것은 고전입니다 "스크린 도어에 멋진 자물쇠" 문제입니다. 기업들은 AI 기반 방어 체계 구축에 박차를 가하고 있지만, 공격자들은 규칙은 적고 민첩성은 더 높은 AI를 활용하여 프로세스, 소유권, 그리고 기업 문화의 근본적인 허점을 파고들고 있습니다. 특히 중견 기업의 경우, 기본 원칙을 무시하는 것은 또 다른 경고의 대상이 될 수 있습니다.

역동적인 세상에서 정적 방어가 실패하는 이유

제가 처음 경력을 시작했을 때 보안은 체크리스트에 불과했습니다. 백신, 패치, 그리고 강력한 방화벽이 전부였죠. 하지만 그런 세상은 이미 오래전에 사라졌습니다. 오늘날 다형성 악성코드는 시그니처를 피하기 위해 스스로를 변형하고, 봇넷은 인간이 대응할 수 있는 속도보다 훨씬 빠르게 공격을 감행합니다.

암호화된 트래픽은 적대 세력이 가장 선호하는 은신처가 되었습니다. Zscaler의 2024 ThreatLabz 보고서에 따르면 현재 맬웨어의 약 90%가 암호화된 채널을 통해 전달됩니다.즉, 10개 중 9개의 위협은 해당 트래픽을 검사할 수 없는 기존 도구로는 감지할 수 없습니다.

그러나 실제 병목 현상은 기술만이 아닙니다. 조직적 마찰훌륭한 보안팀들이 알려진 허점을 메우기 위해 몇 주 동안이나 동의를 구하는 모습을 보았습니다. 회의 일정을 잡는 동안 자동화된 공격자가 침투했다가 빠져나갈 수 있습니다. 더 이상 고정된 자세는 선택 사항이 아닙니다. 보안 프로그램은 상황 인식 기능을 갖추고 비즈니스의 빠르게 변화하는 부분에 집중해야 합니다.

사이버범죄의 산업화

이는 누구에게도 놀라운 일이 아닙니다. 공격자는 사업을 운영하는 기업가입니다. 그들은 단순히 ROI를 개선하기 위해 새로운 기술을 도입할 뿐입니다. 우리와 마찬가지입니다. AI는 그들의 운영을 산업화하는 데 도움을 주고 있습니다.

• 피싱 서비스, 더욱 강력해졌습니다: 피싱은 여전히 ​​가장 흔한 침투 경로입니다. FBI와 IBM은 피싱을 수년 연속으로 가장 흔한 초기 접근 벡터로 보고했습니다. 이제 "FraudGPT"와 같은 생성적 AI 도구를 통해 범죄자들은 ​​전례 없는 규모로 완벽하게 맞춤화된 문법 없는 피싱 캠페인을 제작할 수 있습니다.
• 목소리는 거짓말이다: 보이스 피싱("비싱")이 폭발적으로 증가하고 있습니다. CrowdStrike는 442의 % 증가 공격자들이 AI 복제 음성을 사용하여 임원을 사칭하고 직원들을 속여 자금을 송금하도록 하는 사례가 있습니다. 영국 에너지 회사가 $243,000 이렇게 하면 한 번의 통화로 가능합니다.
• 자동화된 적의 등장: CrowdStrike의 위협 탐지 담당자는 이제 AI가 생성한 이력서와 딥페이크 비디오 인터뷰부터 클라우드에서만 실행되는 악성 소프트웨어 없는 침입까지 종단 간 자동화된 캠페인을 확인할 수 있습니다.

방어자들은 최소한의 인간 감독으로도 적응하고 지속되는 위협에 직면해 있습니다. 공격자들은 수년간 자동화를 추진해 왔지만, AI는 그들의 워크플로를 초고속으로 전환했습니다.

이러한 추세에 발맞추기 위해, 규정 준수 및 사이버 보안에 대한 구식 체크리스트 중심의 접근 방식은 이제 버려야 할 때입니다. 시중에 나와 있는 최신 도구를 이용해 만병통치약을 찾는 것 역시 해답이 될 수 없습니다. 하지만 이는 기본으로 돌아갈 수 있는 절호의 기회입니다.

"우리는 규정을 준수하고 있는가?"라고 묻는 대신 "우리는 회복력이 있는가?"라고 물어보세요.

AI가 세상을 뒤바꿔 놓았지만, 대부분의 보안 침해는 여전히 기본적인 원칙을 간과했기 때문에 발생합니다. 물론 CEO의 목소리가 복제된 것은 사실이지만, 진짜 실패는 재무 승인 절차의 부실에서 비롯되었을 가능성이 높습니다. AI는 일련의 기본적인 원칙을 간과한 마지막 단계에 불과했습니다.

AI는 찾을 필요가 없습니다 제로 데이 익스플로잇 5년 된 패치되지 않은 서버나 모든 것에 대한 관리자 권한을 가진 개발자를 찾을 수 있을 때 말입니다. AI 기반 보안 도구를 새로 구입한다고 해서 망가진 기업 문화가 바로잡히는 것은 아닙니다. AI는 기존 프로세스를 대체하는 것이 아니라 강화해야 합니다.

리더십이 종종 실수를 하는 부분이 바로 여기입니다. 저는 이사회에서 "우리는 규정을 준수하고 있는가?"라는 질문을 받은 적이 있습니다. 더 나은 질문은 다음과 같습니다. "우리의 보안 프로그램이 사업을 더욱 강화하는가?"

규정 준수는 체크박스에 체크하는 것과 마찬가지입니다. 제품 팀은 전력 질주하고, 엔지니어들은 자원 없이 보안 업무를 맡고, 리더들은 감사가 제대로 이루어지면 비즈니스가 안전하다고 생각합니다. 하지만 사실은 그렇지 않습니다. 해결책은 더 많은 도구가 아니라, 하향식으로 더욱 강력한 기반을 구축하는 것입니다. 보안은 비즈니스 성장 및 제품 무결성과 직결되어야 합니다.

AI 시대를 위한 실용적인 플레이북

포춘 500대 기업들은 이 문제에 돈을 쏟아부을 수 있습니다. 중견 기업들은 더 현명해야 합니다. 그렇다면 실제로 무엇을 해야 할까요? do?

1. 먼저 기초를 고치세요. 다른 도구를 구매하기 전에 확실한 데이터 인벤토리, 철저한 액세스 제어, 실제로 작동하는 패치 프로세스가 있는지 확인하세요.
2. AI를 의제에 추가하세요. AI 기반 공격을 기반으로 한 모의 훈련을 실시하세요. 이를 이사회 보고에 정기적으로 포함시켜 IT 문제가 아닌 비즈니스 위험으로 간주되도록 하세요.
3. 정적인 신호만이 아니라 행동에 집중하세요. 알려진 맬웨어만 찾아내는 도구보다 이상한 활동(예: 사용자 계정이 전혀 건드리지 않은 데이터베이스에 갑자기 액세스하는 경우)을 감지하는 도구를 우선시하세요.

AI는 적이 아닙니다. 자만심이 적이에요.

AI는 양날의 검이 아니라 돋보기입니다. 좋은 프로세스는 효율을 높이고, 나쁜 프로세스는 재앙을 초래합니다.

공격자는 항상 새로운 도구를 갖게 될 것이다. 진짜 문제는 보안 전략이 탄탄한 복원력 기반 위에 구축되었는지, 아니면 그저 다음 번 유망한 보안 목표에 매달리는 것인지입니다. 설정만 해 두면 잊어버리는 보안의 시대는 끝났습니다. 보안 문화를 구축하고 기본 원칙을 철저히 지키는 조직은 자율적인 위협의 시대에도 승리할 것입니다.