2026년에는 기업 데이터 보안이 더 이상 “시간이 날 때”로 미룰 수 있는 문제가 아닙니다. 이탈리아에서는 2025년 상반기 동안 2,755건의 사이버 사고가 발생했는데, 이는 사상 최고치로 2024년 말 대비 36% 증가한 수치입니다. 또한, 2025년에 인용된 Clusit의 최신 보고서에 따르면, 2020년 이후 집계된 전체 공격의 약 5분의 1이 2025년 상반기에만 집중된 것으로 나타났습니다 (출처)에 따르면, 2025년 상반기에만 2,755건의 사이버 공격이 발생해 사상 최고치를 기록했으며, 이는 2024년 말 대비 36% 증가한 수치다. 또한 2020년부터 집계된 전체 공격의 약 5분의 1이 2025년 상반기 6개월 동안에만 집중되었다. 많은 중소기업에게 이는 관점을 바꾸게 하는 계기다. 단순히 바이러스 백신과 백업 시스템을 갖추는 것이 아니라, 피해가 실제 운영에 영향을 미치기 전에 미약한 신호, 이상 징후, 프로필에 맞지 않는 접속을 감지할 수 있어야 한다.
다행스러운 점은 많은 기업에서 이미 그 기반이 마련되어 있다는 것입니다. 2022년, 직원 수가 10명 이상인 이탈리아 기업의 74.4%가 최소 3가지 이상의 ICT 보안 조치를 시행하고 있었으며, 이는 EU 평균(74.0%)과 비슷한 수준입니다(ISTAT). 문제는 이러한 기반이 널리 확산되었다고 해서 완벽한 방어가 보장되는 것은 아니라는 점입니다. 통제 수단이 분리된 채로 남아 있다면, 데이터는 로컬 파일, 클라우드, 이메일, 개인 기기, 그리고 잊혀진 접근 권한 사이로 누출될 수 있습니다. 여기서는 단순한 예방뿐만 아니라 데이터의 수명 주기와 지속적인 모니터링에 중점을 둔 보다 실용적인 접근 방식이 필요합니다.
가장 유념해야 할 수치는 다음과 같습니다. 2025년 상반기 이탈리아에서 발생한 사이버 사고는 2,755건으로, 이는 사상 최고치를 기록했으며 2024년 말 대비 36% 증가한 수치입니다. 중소기업의 경우, 이에 대해 패닉에 빠질 필요는 없습니다. 중요한 점은 사이버 위험을 경영 연속성이나 이메일 가용성과 같은 수준으로, 운영의 안정적인 일부로 간주해야 한다는 것입니다.
많은 이탈리아 기업들이 이미 기본적인 보안 조치를 갖추고 있지만, 종종 이를 체계적이지 않게 분산시켜 운영하고 있습니다. 방화벽은 제대로 관리되지 않은 공유 파일을 막아주지 못하며, 백업은 과도한 권한이 부여된 계정을 보호하지 못하고, 바이러스 백신은 클라우드 환경의 설정 오류를 수정하지 못합니다. 그 결과, 서류상으로는 완벽해 보이지만 실제로는 매우 구체적인 침입 경로를 열어두는 보안 체계가 만들어집니다.
보안이 실패하는 이유는 종종 도구가 부족해서가 아니라, 도구와 사람, 그리고 프로세스 간의 조율이 부족하기 때문입니다.
중소기업은 업무가 사무실, 자택, 외부 컨설턴트, 개인 기기 등 여러 곳으로 분산되어 있을 때 특히 취약합니다. 이러한 환경에서는 공격이 성공하기 위해 정교할 필요조차 없습니다. 제대로 회수되지 않은 액세스 권한, 종료되지 않은 세션, 클라우드 폴더에 잊혀진 공유 파일 하나만으로도 충분합니다.
단순히 네트워크 경계만 보호하려는 방식은 더 이상 효과적이지 않습니다. 데이터는 여러 시스템 간에 이동하고, 복제되며, 재사용됩니다. 따라서 기업 데이터 보안은 공격 표면을 줄이고, 정상적인 패턴에서 벗어난 상황이 발생했을 때 즉시 이를 감지하는 능력으로 이해되어야 합니다.
아키텍처 및 규정 준수 방안을 검토 중인 분들에게도 유용한 참고 자료는 ‘NIS2: 기회인가, 장애물인가’에 대한 분석입니다. 여기서 얻을 수 있는 실질적인 교훈은, 규정 준수가 그 자체만으로는 충분하지 않다는 점입니다. 데이터는 단순히 문서화되는 것뿐만 아니라 지속적으로 보호되어야 하기 때문입니다.
사고의 상당 부분은 정교한 공격이 아니라 기본적인 실수에서 비롯됩니다. 데이터는 모두 같은 곳에 저장되어 있지 않으며, 보호 방식도 제각각입니다. 서버에 저장된 파일, 이메일로 전송된 청구서, 관리 시스템에서 열린 보고서는 각각 노출 면적, 접근 방식, 복사 가능성이 다르기 때문에 서로 다른 보안 조치가 필요합니다. 저장된 데이터, 전송 중인 데이터, 사용 중인 데이터를 구분하는 것은 겉보기에는 견고해 보이지만 실제로는 커버하는 범위가 좁은 일반적인 보안 조치를 피하기 위한 가장 유용한 출발점입니다.
저장된 데이터는 로컬 서버, 클라우드 저장소 또는 백업에 고정되어 있는 데이터를 말합니다. 여기서는 암호화, 접근 제어, 그리고 필요할 경우 비식별화 및 토큰화 같은 기술이 중요합니다(디지털 아젠다). 올바른 질문은 단순히 “파일을 저장해 두었는가?”가 아니라, “우리가 모르는 사이에 누가 그 파일을 열거나, 복사하거나, 이동할 수 있는가?”입니다.
중소기업(SME)의 경우, 이는 매우 구체적인 조치로 이어지며, 종종 운영의 간편성과 엄격한 통제 사이에서 진정한 절충점을 찾아야 하는 경우가 많습니다:
아카이브에 오래된 버전, 내보낸 파일 또는 잊혀진 첨부 파일이 포함되어 있다면, 아무도 눈치채지 못하는 사이에 위험이 커집니다. 이 경우 다크 데이터 관리는 현재 파일의 보호만큼이나 중요합니다.
전송 중인 데이터란 사용자, 애플리케이션 및 사업장 간을 오가는 데이터를 말합니다. 여기에는 SFTP, HTTPS, SSH, TLS (디지털 아젠다) 와 같은 보안 프로토콜이 필요합니다. 기업이 가격표, 고객 정보 또는 인사 문서를 전송할 경우, 보안 조치는 수신 서버에서 그쳐서는 안 됩니다. 전송 과정까지 포괄해야 하는데, 바로 그 과정에서 데이터 도청, 구성 오류 및 부적절한 전달이 집중적으로 발생하기 때문입니다.
현재 사용 중인 데이터는 애플리케이션, 브라우저 및 관리 시스템 내에서 열려 있는 데이터입니다. 이러한 상황에서 ‘최소 권한 원칙’은 매우 중요합니다. 이는 접근 권한을 승인된 사용자로만 제한하고, 계정이 해킹당했을 때의 영향을 최소화하기 때문입니다(디지털 아젠다). 영업 담당자가 필요한 것보다 더 많은 데이터를 볼 수 있다면, 이는 이론적인 위험이 아니라 실질적인 위험입니다. 왜냐하면 추가로 노출된 모든 데이터는 복사, 내보내기 또는 공유될 가능성이 있기 때문입니다.
실무상의 원칙: 데이터가 어떤 상태에 있는지 모른다면, 그 데이터를 어떻게 보호해야 할지 진정으로 알 수 없다.
효과적인 초기 점검은 세 가지, 즉 데이터가 어디에 있는지, 누가 데이터를 열람하는지, 어떤 시스템이 데이터를 이동시키는지 파악하는 것으로 이루어집니다. 이를 통해 허점이 즉시 드러나는데, 이는 종종 소프트웨어 자체보다 권한 설정이나 데이터 흐름에서 더 많이 나타납니다. 중소기업의 경우, 유용한 결과는 간단합니다. 고정된 데이터에 대한 노출을 줄이고, 이동하는 데이터의 불필요한 처리 단계를 줄이며, 매일 사용되는 데이터에 대한 접근 권한을 최소화하는 것입니다.
다크 데이터란 명확한 운영적 가치 없이 쌓여만 가는, 잊혀지거나 중복되거나 사용되지 않는 데이터를 말합니다. 많은 가이드에서 백업과 암호화에 대해 다루지만, 이 점은 간과하고 있는데, 이는 보호 조치가 적용되기 전부터 위험 범위가 종종 확대되기 때문입니다. 오래된 내보내기 파일, 첨부 파일, 로컬 사본, 프로젝트 아카이브 등이 여러 곳에 흩어져 버리고, 더 이상 그 위치나 누가 사용하고 있는지 정확히 아는 사람이 없습니다. TechRadar Italia는 이러한 데이터에 지적 재산권 및 민감한 기밀 정보도 포함될 수 있으며, 이를 관리하려면 데이터의 출처, 처리 과정, 사용처를 파악해야 한다고 강조합니다.
가장 흔한 실수는 “안전을 위해” 모든 것을 쌓아두는 것입니다. 실제로 데이터를 많이 보유할수록 잠재적인 접근 경로와 오류 발생 가능성이 늘어나며, 거버넌스 비용도 증가합니다. 기업 데이터 보안은 단순히 통제 수단을 추가하는 것보다, 더 이상 필요하지 않은 데이터를 줄이는 편이 오히려 개선되는 경우가 많습니다.
중소기업의 경우, 단순히 정리를 하는 것만이 중요한 것은 아닙니다. 어떤 데이터가 온라인에 남아 있어야 할지, 어떤 데이터는 아카이브로 옮겨야 할지, 그리고 어떤 데이터는 정보 유출이나 규정 준수 문제가 발생하기 전에 활성 시스템에서 삭제해야 할지를 결정하는 것이 중요합니다.
EDPB의 중소기업을 위한 지침은 데이터 최소화, 가명화 또는 익명화, 정기적인 권한 검토 및 암호화를 강조하고 있습니다(EDPB). 기업에서 종종 간과하는 부분은 이러한 원칙을 사용 빈도가 낮거나 잊혀진 데이터에 대한 데이터 수명 주기 관리 프로세스로 전환하고, 보존, 보관 및 삭제에 관한 명확한 규칙을 마련하는 것입니다.
간단한 기준이 추상적인 규칙보다 더 효과적입니다. 특정 데이터가 진행 중인 프로세스, 법적 의무 또는 정의된 운영적 복구 목적에 필요하지 않다면, 해당 데이터는 삭제되거나 통제된 방식으로 보관되어야 합니다. 반면, 비즈니스에 실제로 필요한 데이터라면 명확한 책임 소재를 정하고 정기적인 검토를 거쳐 활성 상태로 유지해야 합니다.
제가 담당하는 프로젝트에서는 이러한 실용적인 접근 방식 덕분에 “언젠가 필요할지도 모른다”는 이유로 파일을 두고 끝없이 이어지는 논쟁을 피할 수 있습니다. 습관적으로 폴더를 열어두는 경우, 그 위험은 이론적인 차원에 그치지 않습니다. 사본이 하나씩 늘어날 때마다 해당 파일을 열람하거나, 내보내거나, 전달할 수 있는 사람의 수가 늘어나며, 관리가 제대로 이루어지지 않은 아카이브가 하나씩 쌓일수록 민감한 데이터가 어디로 흘러갔는지 파악하기가 점점 더 어려워집니다.
다음과 같은 순서를 사용할 수 있습니다:
여기에는 두 가지 이점이 있습니다. 노출 위험을 줄일 수 있을 뿐만 아니라, 진정으로 중요한 것을 보호하는 과정을 단순화할 수 있습니다. 이러한 조치를 취하는 중소기업들은 종종 문제의 일부가 보안 조치의 부재가 아니라, 명확한 이유 없이 유통되고 있던 방대한 양의 데이터에 있었다는 사실을 깨닫게 됩니다.
효과적인 보안은 개별적인 수단에서 비롯되는 것이 아니라, 서로 유기적으로 연계된 통제 체계에서 비롯됩니다. 제가 자문하는 중소기업의 경우, 세션 자동 종료, 최신 상태의 방화벽 및 안티바이러스, 안전한 백업, 고유 식별자, 더 이상 필요 없는 권한 철회, 정기적인 접근 내역 점검 등이 여전히 가장 유용한 조치로 꼽힙니다. 원리는 간단합니다. 각 조치 자체만으로도 도움이 되지만, 서로가 서로의 사각지대를 보완할 때 비로소 진정한 도약이 이루어집니다.
‘다층 방어(defense in depth) ’의 논리는 각 단계가 이전 단계의 한계를 보완할 때 제대로 작동합니다. 암호화는 파일이 예상된 경계를 벗어나더라도 콘텐츠를 보호하며, 백업은 업무를 중단하지 않고 시스템을 재가동하는 데 도움이 되고, DLP는 무단 유출을 줄이며, MFA는 인증 정보의 악용을 어렵게 만들고, 접근 관리는 권한을 제한하며,시스템 강화 (hardening )는 노출 면적을 줄입니다. 이 중 하나의 계층이 빠지면, 방어 체계는 겉보기에 비해 훨씬 취약해집니다.
실질적인 핵심은 ‘목록’이 아니라 ‘통합’에 있습니다. 출처에서 언급된 문서는 민감한 데이터 보호가 Microsoft 365 환경에서 SaaS 서비스, 클라우드 및 온프레미스 저장소로 확대되어야 하며, 이를 위해 분류 및 데이터 유출 방지(DNCSRL)가 필요하다고 강조합니다. 중소기업의 경우 이는 매우 실질적인 문제입니다. 오늘날 업무에 필요한 데이터는 단일 시스템에만 존재하는 것이 아니며, 서로 안전하게 통신하도록 설계되지 않은 애플리케이션 간에 자주 이동하기 때문입니다.
바로 이 점에서 ‘제로 트러스트(Zero Trust)’ 기업 보안이 도움이 됩니다. 모든 액세스는 신원, 기기, 위치, 위험 수준 등 적절한 맥락에서 검증되어야 하며, 단순히 누군가가 이미 네트워크 내에 있다는 이유만으로 접근 권한이 유효하게 유지되지 않도록 해야 합니다.
하이브리드 근무에서 문제는 단순히 원격 접속뿐만 아니라, 관련되는 기기의 수에 있습니다. EDPB의 중소기업을 위한 가이드라인은 재택근무 정책, 개인 기기 보호, VPN, 자동 세션 종료 및 사용되지 않는 접근 권한 제거를 제안하고 있습니다. 많은 기업에서 핵심 문제는 기술적 측면보다 문화적 측면에 있습니다. 사무실 PC를 위해 고안된 규칙을 분산된 환경에 적용해 놓고는, 통제 체계가 제대로 작동하지 않는다고 놀라곤 합니다.
개인용 노트북은 기업 네트워크의 암묵적인 연장선으로 취급되어서는 안 됩니다. 암호화, 업데이트, 접근 권한 및 프로필 분리 등에 대한 명확한 기준을 마련하여, 이를 네트워크 진입점으로 관리해야 합니다.
어디서부터 시작해야 할지 고민하는 분들에게 있어, 우선순위는 도구를 무작정 모으는 것이 아닙니다. 제대로 된 백업은 여전히 유용하지만, 무질서한 권한 설정이나 너무 오랫동안 방치된 인증 정보를 상쇄해 주지는 못합니다. 기업 데이터 보안은 통제 수단들이 서로 연동될 때, 그리고 보안 범위가 종종 감지 범위 밖으로 빠져나가 가장 파악하기 어려운 위험을 초래하는 ‘잊혀진’ 데이터까지 포함할 때 비로소 견고해집니다.
인공지능은 데이터에 대한 관점을 변화시킵니다. 고정된 규칙에서 행동으로 초점을 옮기기 때문입니다. 중소기업(SME)의 경우, 사용자, 공급업체, 컨설턴트의 일상적인 활동 속에서 비정상적인 패턴이 종종 간과되기 때문에 이는 매우 귀중한 점입니다. 중소기업을 위한 AI 기반 데이터 분석 플랫폼인 ELECTE는 바로 이러한 자동화된 분석과 이상 탐지에 중점을 두고 있으며, 이러한 접근 방식은 지속적인 모니터링 환경에 잘 부합합니다.
기존의 보안 시스템은 대개 임계값, 서명, 그리고 이미 알려진 규칙에 기반을 둡니다. 이는 많은 상황에서 효과적이지만, 행동 양상이 미묘하게 변할 때는 대응하기 어렵습니다. 반면 AI 시스템은 비정상적인 접속, 이례적인 시간대, 평소와 다른 활동량, 혹은 개별적으로는 무해해 보이는 사건들의 조합을 감지할 수 있습니다.
실질적인 가치는 IT 팀을 대체하는 것이 아니라, 그들이 문제를 더 빨리 파악할 수 있도록 돕는 데 있습니다. CRM, ERP, 클라우드, 접속 로그 등 다양한 소스에서 데이터가 유입될 때, 수동 모니터링은 쉽게 사후 대응 방식으로 전락하기 마련입니다. AI를 활용하면 신호를 지속적으로 파악하는 방식으로 전환하기가 더 쉬워집니다.
중소기업의 경우, 유용한 자금 운용 방식은 매우 실용적입니다:
이와 유사한 분석은 데이터의 급증과 급감 현상을 관리하는 주제와도 잘 연결됩니다. 비즈니스 이상 현상을 파악하는 데 도움이 되는 논리가 보안 이상 현상을 식별하는 데에도 도움이 될 수 있기 때문입니다. 핵심은 단순히 데이터를 저장하는 데 그치지 않고, 데이터를 능동적으로 관찰할 수 있는 플랫폼을 갖추는 것입니다.
지속적인 모니터링이 이루어지면, 기업 데이터 보안은 더 이상 사고 발생 후 뒤쫓아가는 방식이 아닙니다. 대신, 사소한 이상 징후를 접근 권한 문제나 정보 유출로 발전하기 전에 미리 포착할 수 있는 역량이 됩니다.
중소기업을 위한 효과적인 계획은 이상적인 것이 아니라 단계적으로 진행되어야 합니다. 실질적인 개선을 이룬 기업들은 소수의 고효율 조치부터 시작한 뒤, 나머지 부분을 공고히 다집니다. 새로운 도구를 추가하기 전에 우선 체계를 정비하는 것이 중요합니다. 역할, 데이터, 접근 권한이 이미 명확하게 파악되어 있을 때 보안이 더 효과적으로 작동하기 때문입니다.
일주일 동안, 당장 노출을 줄여주는 부분에 집중해 보세요.
다음 달에는 구조와 통제 측면에 집중하세요.
3개월 이내에 보안 조치를 반복적으로 적용할 수 있도록 하는 것을 목표로 하고 있다.
가장 유용한 점검은 완벽한 점검이 아니라, 누군가가 매주 실제로 꾸준히 실천할 수 있는 점검입니다.
간단한 지표를 원한다면, 부당하게 차단된 접속 건수, 복구 성공률, 그리고 이상 징후가 대응 담당자에게 보고되는 속도를 측정해 보십시오. 이는 한 번만 작성하는 체크리스트보다 훨씬 더 유용한 지표들입니다.
기업 데이터 보안은 업무를 방해하지 않고 업무를 뒷받침할 때 비로소 제 역할을 합니다. 예를 들어 영업 부서에서는 팀이 기밀 환경에서 견적서와 가격표를 공유할 수 있으며, 협업이 종료되면 접근 권한이 자동으로 해제됩니다. 관리 부서에서는 민감한 문서에 대해 실제로 처리해야 하는 담당자만 접근할 수 있으며, 운영 부서에서는 생산이나 물류 데이터를 수시로 수동으로 점검할 필요 없이 모니터링할 수 있습니다.
차이를 만드는 것은 내부 문화입니다. 직원들이 보안 조치를 장애물로 인식한다면, 규정을 우회할 것입니다. 반면, 보안 조치를 업무 차질, 실수, 시간 낭비를 방지하는 수단으로 본다면, 더 쉽게 이를 받아들일 것입니다. 여기에는 단순히 문서화되어 있는 절차뿐만 아니라, 쉬운 설명, 구체적인 사례, 그리고 책임의 분산이 필요합니다.
목표는 IT 부서가 모든 것을 파악할 수 있게 하는 것이 아니라, 모든 것을 효과적으로 관리할 수 있게 하는 것입니다. 최고의 성과를 내는 기업들은 데이터를 운영 자산으로 간주하며, 판매 사이클, 청구 또는 고객 지원의 속도를 늦추지 않으면서도 데이터를 보호할 수 있는 통제 체계를 갖추고 있습니다.
ELECTE는 자동화된 분석과 이상 탐지 기능을 통해 중소기업이 원시 데이터를 이해하기 쉬운 정보로 전환할 수 있도록 지원하며, 이는 보안의 지속적인 모니터링에도 유용합니다. 정보 흐름을 보다 효과적으로 관리하고, AI 기반 접근 방식이 거버넌스와 이상 탐지에 어떻게 기여할 수 있는지 확인하고 싶다면, ELECTE를 방문하여 귀사의 업무 프로세스에 이를 어떻게 통합할 수 있는지 검토해 보시기 바랍니다.
.svg)
.svg)
.svg)
