뉴스레터

[2026년 13호 뉴스레터] 우리회사 보안, 뚫린지 모르는 상태일 수 있어요 | SASE 시리즈 ①

등록일 2026-07-03

LG U+ Enterprise view letter 비즈니스의 핵심을 새롭게 읽는 시선. 사무실 밖으로 나간 보안

Intro

xhslqndls19780607, 무슨 뜻일까요?

같은 단어, 다른 세계. 세 명이 말하는 '보안'

혹시 이렇게 영어처럼 보이지만 한글 자판 그대로 눌러 만든 비밀번호를 쓰고 계신가요?

예를 들어 xhslqndls19780607. 얼핏 보면 복잡한 영문·숫자 조합 같지만, 한글 자판으로 풀면 ‘토니부인19780607’입니다. 만드는 사람 입장에서는 기억하기 쉽지만, 이런 패턴은 공격자에게도 너무 익숙한 방식입니다. 복잡해 보인다고 해서 안전한 것은 아니라는 뜻이죠.

대부분의 사람은 보안 사고를 ‘침입’의 문제로 생각합니다. 더 높은 벽, 더 튼튼한 자물쇠가 답이라고 믿죠. 하지만 실제 사고의 시작은 생각보다 훨씬 일상적인 장면에 숨어 있습니다. 추측하기 쉬운 비밀번호, 공용 와이파이 접속, 바쁘다는 이유로 넘긴 보안 알림 하나. 누가 억지로 침입한 것이 아니라, 이미 들어와 있었는데도 아무도 이상하다고 느끼지 못한 순간이 문제의 출발점이 되곤 합니다.

Intro

xhslqndls19780607, 무슨 뜻일까요?

같은 단어, 다른 세계. 세 명이 말하는 '보안'

혹시 이렇게 영어처럼 보이지만 한글 자판 그대로 눌러 만든 비밀번호를 쓰고 계신가요?

출처: KISA[모의침투 점검 기업 주요 취약점 사례집] (2026.03)

실제로 KISA(한국인터넷진흥원)가 2023년부터 2025년까지 주요 기업을 대상으로 모의침투 점검을 진행한 결과, 점검 기업의 약 89%에서 취약점이 발견됐습니다. 실제로 반복되는 침해 사고의 원인으로 자주 지목되는 것도 아주 정교한 신종 공격만은 아닙니다. 기본 계정 관리의 공백, 늦어진 패치, 느슨한 접근 권한 통제처럼 ‘기본이지만 계속 미뤄졌던 문제들’이 더 큰 틈이 되기도 합니다. 그래서 보안의 핵심은 더 강한 차단 장치를 하나 더 두는 데만 있지 않습니다. 누가, 어디서, 어떤 기기로, 어떤 권한으로 접속하고 있는지를 평소에 알고 있는가에 더 가깝습니다.

실제로 KISA(한국인터넷진흥원)가 2023년부터 2025년까지 주요 기업을 대상으로 모의침투 점검을 진행한 결과, 점검 기업의 약 89%에서 취약점이 발견됐습니다. 실제로 반복되는 침해 사고의 원인으로 자주 지목되는 것도 아주 정교한 신종 공격만은 아닙니다.

기본 계정 관리의 공백, 늦어진 패치, 느슨한 접근 권한 통제처럼 ‘기본이지만 계속 미뤄졌던 문제들’이 더 큰 틈이 되기도 합니다. 그래서 보안의 핵심은 더 강한 차단 장치를 하나 더 두는 데만 있지 않습니다. 누가, 어디서, 어떤 기기로, 어떤 권한으로 접속하고 있는지를 평소에 알고 있는가에 더 가깝습니다.

보안의 문제는 이제 '얼마나 막느냐'가 아니라, 누가 어디서 무엇을 쓰는지 를 아느냐입니다.

그렇다면 우리 회사의 보안은 잘 관리되고 있을까요?

지금 이 순간에도 우리는 집에서 노트북으로 회사 시스템에 접속하고, 카페에서 업무 메일을 확인합니다. 개인 휴대폰으로 팀 메신저에 답장을 보내고, 협력사 직원과 내부 문서 링크를 주고받기도 하죠. 심지어 퇴사한 직원의 계정이 며칠째 살아 있는 경우도 있습니다. 어느 순간부터 보안의 경계가 어디인지, 무엇까지가 안전한 접속이고 어디부터가 관리 사각지대인지 아무도 선뜻 말하기 어려워졌습니다.

보안을 이야기하기에 앞서, 아래 3가지 항목 중 우리 회사에 해당되는 것이 몇 개인지 먼저 확인해 보세요.

그렇다면 우리 회사의 보안은 잘 관리되고 있을까요?

지금 이 순간에도 우리는 집에서 노트북으로 회사 시스템에 접속하고, 카페에서 업무 메일을 확인합니다. 개인 휴대폰으로 팀 메신저에 답장을 보내고, 협력사 직원과 내부 문서 링크를 주고받기도 하죠.

심지어 퇴사한 직원의 계정이 며칠째 살아 있는 경우도 있습니다. 어느 순간부터 보안의 경계가 어디인지, 무엇까지가 안전한 접속이고 어디부터가 관리 사각지대인지 아무도 선뜻 말하기 어려워졌습니다.

보안을 이야기하기에 앞서, 아래 3가지 항목 중 우리 회사에 해당되는 것이 몇 개인지 먼저 확인해 보세요.

직원들이 재택근무, 미팅, 출장 등 다양한 외부 환경에서 회사 시스템에 접속하는 일이 잦다.
퇴사자 계정이나 불필요해진 접근 권한이 제때 정리되지 않는 경우가 있다.
IT 담당 인력이나 관리 체계의 한계로, 접속 현황을 실시간으로 파악하기 어렵다.

몇 개나 해당되셨나요?

체크하다가 잠깐 멈칫한 부분은 없으셨나요?

이번 레터에서는 같은 고민을 마주했던 현업 담당자들에게 같은 질문을 던졌습니다.

“본인이 생각하는 ‘보안’의 가장 중요한 부분은 무엇인가요?”

Interview #1

“경영진에게 왜 지금 바꿔야 하는지 이해시키는 것이요.”

최민준 | IT 기획자

최민준 씨는 오래전부터 회사의 보안 구조를 바꿔야 한다는 것을 알고 있었습니다. 무엇이 취약하고 어떻게 개선해야 할지에 대한 계획도 이미 갖고 있었습니다. 문제는 경영진 설득이었습니다. 사고가 아직 발생하지 않았다는 이유로, 경영진은 “그래서 지금 당장 무엇이 문제냐”라고 되물었습니다. 문제는 보안의 필요성이 아니라, 왜 지금 투자해야 하는지를 경영진에게 이해시키는 일이었습니다.

하지만 문제는 이미 현장 곳곳에 드러나고 있었습니다. 지사·물류센터·지점마다 접근 권한 관리 방식이 달랐고, 퇴사자 계정이 수개월째 남아 있는 경우도 있었습니다. VPN 승인이 늦어질 때마다 직원들은 개인 메신저나 외부 클라우드로 파일을 주고받았습니다. 규정을 어기려는 의도가 아니라, 느리고 불편한 절차가 비공식 경로를 만들고 있었습니다. 보안의 허점은 특정 사건이 아니라 반복되는 업무 방식 속에 있었습니다.

최민준 씨는 설명 방식을 바꿨습니다. 기술 용어 대신 지금 구조에서 실제로 통제가 끊기는 장면들을 보여주기 시작했습니다. 재택근무자가 집 와이파이로 접속하는 순간, 퇴사자의 계정이 그대로 남아 있는 상태, 승인이 지연돼 외부 도구로 업무가 우회되는 방식들을 하나씩 짚었습니다. 그제야 논의의 초점도 ‘사고가 났느냐’에서 ‘이미 통제되지 않는 구조를 언제까지 둘 것이냐’로 옮겨갔습니다.

오랜 설득 끝에 회사는 거점별로 따로 돌아가던 보안 구조를 하나로 통합하는 방향을 택했습니다. 그것은 단지 시스템 하나를 바꾸는 결정이 아니라, 사고 이후 대응이 아닌 사고 이전 통제 중심으로 관리 방식을 전환하는 결정이었습니다.

Interview #1

“경영진에게 왜 지금 바꿔야 하는지 이해시키는 것이요.”

IT 기획자 최민준

오랜 설득 끝에 회사는 거점별로 따로 돌아가던 보안 구조를 하나로 통합하는 방향을 택했습니다. 그것은 단지 시스템 하나를 바꾸는 결정이 아니라, 사고 이후 대응이 아닌 사고 이전 통제 중심으로 관리 방식을 전환하는 결정이었습니다.

경영진은 복잡한 기술 용어보다 구체적인 숫자가 익숙하잖아요 비용보다 왜 지금 바꿔야 하는지 설득하는 게 가장 힘들었어요.

*인터뷰 내용 이해를 돕기 위해 AI로 생성한 이미지를 사용했습니다.

Interview #2

“어디서 뭐가 돌아가고 있는지 한눈에 파악할 수 있어야죠.”

이도현 | IT/개발팀장

클라우드 기반으로 회사 시스템을 전환하기로 했을 때 이도현 씨의 기대는 컸습니다. 다양한 협업 툴을 활용하고 더 유연한 개발 환경에서 일할 수 있다고 생각했습니다. 실제로 전환 이후 업무 속도는 빨라졌고, SaaS 기반 협업 툴도 10개 이상 도입됐습니다.

하지만 툴이 늘어날수록 관리의 복잡성도 함께 커졌습니다. SaaS 툴마다 접근 권한을 따로 관리해야 했고, 어떤 서비스에 누가 접근하고 있는지, 데이터가 어디에 저장되는지 한눈에 파악하기 어려워졌습니다.

문제는 특정 사고가 아니라 관리의 사각지대가 점점 넓어지고 있다는 점이었습니다. 이도현 씨는 퇴사한 직원의 계정이 여러 서비스에 그대로 남아 있는 사실을 뒤늦게 발견했고, 해당 계정의 접근 이력을 확인하는 데도 적지 않은 시간이 걸렸습니다. 의도적인 보안 사고가 있었던 것은 아니었지만, 서비스가 늘어나는 속도를 관리 체계가 따라가지 못하고 있었던 것입니다.

그제야 이도현 씨는 문제의 본질이 클라우드 자체가 아니라, 클라우드 환경을 통합적으로 관리하고 통제할 수 있는 체계의 부재에 있다는 사실을 더욱 분명하게 인식하게 됐습니다.

Interview #2

이도현 | IT/개발팀장

클라우드 전환 이후 업무는 훨씬 빨라졌지만, 그만큼 접속 경로도 복잡해졌습니다. SaaS 툴이 10개 넘게 늘어나자, 누가 어느 서비스에 언제 접속하고 있는지 한눈에 파악하기 어려워졌습니다. 문제는 시스템이 많아진 데만 있지 않았습니다. 퇴사자 계정이 살아 있다는 사실을 뒤늦게 발견했을 때, 실제로 어디까지 접근했는지 이력을 추적하는 데도 적지 않은 시간이 걸렸습니다.

보안은 원래 ‘막아내는 기술’이라고 생각했는데, 현장에서는 점점 ‘보이지 않는 접속을 얼마나 빨리 알아차릴 수 있느냐’의 문제에 더 가까워지고 있었습니다.

예전에는 사무실 안이 경계였어요 물리적인 경계 안에 있으면 통제가 됐죠. 그런데 클라우드 환경으로 전환한 뒤로는 그 경계가 어디인지 저도 모르겠어요.

*인터뷰 내용 이해를 돕기 위해 AI로 생성한 이미지를 사용했습니다.

Interview #3

“현장에서 무슨 일이 일어나는지 누군가는 알고 있는 것 아닌가요?”

김지연 | 총무·운영팀장

김지연 씨는 오랫동안 보안을 IT팀의 책임 영역으로 인식해 왔습니다. 계정 관리나 접근 권한, 보안 정책은 모두 IT팀이 담당했고, 총무·운영팀은 직원들의 업무 환경을 지원하는 역할에 집중하면 된다고 생각했습니다. 실제로 보안 점검이나 관련 이슈가 발생해도 대부분 IT팀이 처리해 왔기 때문에, 그 역할 분담은 자연스럽고 당연한 것으로 여겨졌습니다.

하지만 개인 기기 사용과 외부 근무가 늘어나면서 상황이 달라지기 시작했습니다. 직원이 개인 노트북으로 업무 파일을 내려받거나, 개인 메신저로 고객 정보를 주고받는 사례가 발생하자 김지연 씨는 이를 보안 이슈로 인식해 IT팀에 전달했습니다. 그러나 돌아온 답은 예상과 달랐습니다. 직원 기기 관리와 운영 정책은 총무·운영팀의 역할 아니냐는 것이었습니다.

문제는 누가 맞고 틀리느냐가 아니었습니다. 누구도 책임을 회피하려는 것은 아니었지만, IT와 운영의 경계에 걸친 이슈가 발생했을 때 이를 주도적으로 관리할 주체가 명확하지 않았습니다. 그 과정에서 김지연 씨는 보안이 특정 부서만의 문제가 아니라, 조직 전체를 아우르며 책임과 기준을 정리할 체계가 필요하다는 사실을 깨닫게 됐습니다. 결국 진짜 문제는 보안을 담당하는 부서가 없는 것이 아니라, 그 문제를 끝까지 책임지고 관리할 주체가 조직 안에 부재하다는 점이었습니다.

Interview #3

김지연 | 총무·운영팀장

처음엔 보안은 IT팀의 일이라고 생각했습니다. 그런데 직원 개인 기기 사용, 외부 네트워크 접속, 협업 툴 사용 같은 문제가 하나둘 운영 이슈로 넘어오기 시작했습니다. 그 순간부터 IT팀과 운영팀 사이에는 아무도 명확히 책임지지 않는 회색지대가 생겼습니다.

누가 잘못해서가 아니었습니다. 일은 점점 더 유연해졌는데, 관리 기준은 그 변화를 따라가지 못했던 겁니다. 결국 현장에서는 무슨 일이 어디서 벌어지고 있는지, 누가 기준을 정해야 하는지조차 흐려지기 시작했습니다. 그때 깨달았습니다. 보안의 문제는 ‘기술이 부족한가’보다 ‘경계가 어디까지인지 조직이 함께 알고 있는가’에 더 가까울 수 있다는 것을요.