2026년 4월 28일 화요일

과징금이 달라졌다 — 공정위, 담합의 값을 다시 매기다

공정거래위원회가 「과징금 부과 세부기준 등에 관한 고시」를 개정해 2026년 4월 30일부터 시행한다. 이번 개정의 핵심은 크게 세 가지다. 먼저 부과기준율 하한을 대폭 올렸다. 담합 적발 시 최소 부과기준율이 기존 0.5%에서 10%로, 중대한 담합은 3.0%에서 15%로 상향되며, 부당지원·사익편취의 경우 하한이 20%에서 100%로, 상한은 160%에서 300%로 올라 지원금액 전액 환수도 가능해진다. 다음으로 반복 위반에 대한 가중이 강화된다. 과거 5년 내 위반 전력 1회만으로도 최대 50%(기존 10%)까지 가중되고, 담합은 10년 내 전력이 있으면 최대 100%까지 가중된다. 마지막으로 감경 요소도 대폭 줄었다. 조사·심의 협조 감경 한도는 20%에서 10%로 축소되고, 자진시정 감경률은 최대 30%에서 10%로 낮아지며, 가벼운 과실에 의한 감경 규정은 아예 삭제된다. 공정위는 이번 개정을 통해 법 위반을 기업 전략으로 삼는 관행을 차단하고, 민생침해 담합을 근절하는 데 실질적인 효과가 있을 것으로 기대하고 있다.

공정거래위원회



2026년 4월 25일 토요일

셸(Shell)은 왜 전 세계 법정에서 동시에 싸우고 있는가

세계 최대 에너지 기업 중 하나인 셸(Shell, LSE: SHEL)이 요즘 법정에서 눈코 뜰 새 없이 바쁘다. 네덜란드, 영국, 미국, 나이지리아 — 대륙을 가리지 않고 7건 이상의 기후·환경 소송이 동시다발로 진행 중이다. 이 소송들은 단순히 한 기업을 겨냥한 법적 공방이 아니다. 화석연료 산업 전체의 미래, 그리고 우리가 기업의 책임을 어디까지로 봐야 하는지에 대한 시대적 질문이다.


1. 가장 중요한 소송 — 법정에서 기후 과학을 이긴 날

2021년 5월 26일, 네덜란드 헤이그 지방법원은 역사에 남을 판결을 내렸다. 환경단체 밀리우데펜시(Milieudefensie, Friends of the Earth 네덜란드)와 17,000명 이상의 시민이 제기한 소송에서, 법원은 셸에게 2030년까지 탄소배출량을 2019년 대비 45% 감축하라고 명령했다.

민간 기업에게 구체적인 탄소 감축 수치를 강제한 것은 인류 역사상 처음 있는 일이었다. 법원은 이렇게 밝혔다. "셸은 혼자서 이 전 지구적 문제를 해결할 수 없다. 그러나 그렇다고 해서 셸이 통제하고 영향력을 행사할 수 있는 범위 안에서 개별적 부분적 책임을 지지 않아도 된다는 의미는 아니다."

셸은 즉각 항소했고, 2024년 11월 헤이그 항소법원은 구체적인 45% 수치는 부과할 수 없다며 원심을 파기했다. 언론은 셸의 승리라 보도했지만, 실상은 달랐다. 항소법원은 중요한 단서를 달았다. "셸과 같은 대형 에너지 기업도 기후 보호 의무를 진다"는 원칙 자체는 인정한 것이다. 더 나아가, 새로운 유전에 대한 투자가 셸의 주의 의무와 충돌할 수 있다고 암시하기도 했다.

밀리우데펜시는 2025년 2월 네덜란드 대법원에 재상고했고, 5월에는 셸의 신규 유전 700개 개발 계획을 근거로 새 소송까지 준비 중이다. 싸움은 끝나지 않았다.


2. 이사진을 직접 법정에 세우려 했던 시도

2023년, 환경법 전문 NGO 클라이언트어스(ClientEarth)는 전례 없는 도전을 했다. 셸의 주주 자격으로 셸 이사회 전원을 피고로 하는 파생소송을 영국 고등법원에 제기한 것이다.

핵심 주장은 이랬다. 셸의 기후 전략이 워낙 허술해서, 이사들이 영국 회사법상 자신들에게 주어진 리스크 관리 의무(fiduciary duty)를 위반했다는 것이다. 애널리스트들은 셸의 당시 계획대로라면 2030년까지 순배출량이 고작 5%밖에 줄지 않는다고 지적했다. NEST, 스웨덴 연금 AP3 등 기관투자자 1,200만 주 보유자들이 소송을 지지했다.

결과는 기각이었다. 하지만 이 사건이 남긴 메시지는 강렬하다. 기업 이사진이 기후 리스크를 소홀히 관리했다는 이유로 직접 법정에 서야 할 날이 올 수 있다는 것을 세상에 알렸다. 앞으로 유사한 소송이 더 많이 제기될 것이라는 점은 의심의 여지가 없다.


3. 30년 묵은 상처 — 나이지리아 오염의 진실

시간을 1995년으로 돌려보자. 나이지리아 군사정권이 환경운동가 켄 사로-와이와(Ken Saro-Wiwa)를 포함한 '오고니 9인(Ogoni Nine)'을 교수형에 처했다. 이들의 죄목은 셸의 니제르 삼각주 석유 개발에 반대한 것이었다.

사로-와이와 가족은 셸이 군에 물자와 정보를 지원하고 증인을 매수했다는 혐의로 1996년 미국 법원에 소를 제기했다. 12년 뒤인 2009년, 셸은 1,550만 달러(약 200억 원)를 지급하는 조건으로 합의했다. 책임은 인정하지 않았지만, 숫자가 말해주었다.

오늘날 니제르 삼각주의 상황은 더 복잡하다. 오갈레와 빌레 공동체 주민 약 5만 명이 현재 런던 고등법원에서 셸을 상대로 싸우고 있다. 2011년 유엔환경계획(UNEP) 보고서가 밝힌 오갈레 지역의 지하수 벤젠 농도는 WHO 기준의 900배였다. 2025년 6월, 영국 법원은 셸의 절차적 항변을 기각하고 본안 심리로 나아갔다. 이 소송은 이제 본격적인 막이 오른 셈이다.


4. 광고 한 편이 불러온 나비효과

2022년, 셸은 친환경 이미지를 강조하는 TV·유튜브 광고를 방영했다. 풍력발전, 전기차 충전소, 미래 에너지 — 화면은 온통 녹색이었다. 하지만 같은 해 셸 전체 투자의 약 68~70%는 여전히 석유·가스에 쏠려 있었다.

시민단체 '광고금지도시(Adfree Cities)'의 신고로 영국 광고표준청(ASA)은 조사에 나섰고, 2023년 6월 광고 방영 금지를 명령했다. 소비자들이 셸의 저탄소 활동 비중을 실제보다 훨씬 크게 오해하게 만들었다는 이유였다.

셸은 2024년 광고에서는 투자 비중을 자막으로 표시하는 방식으로 바꿨고, ASA는 이번엔 문제없다고 판정했다. 하지만 시민단체들은 여전히 납득하지 못한다. 셸의 실제 재생에너지 투자 비율은 13.3%인데, 광고에서는 23%라고 표기했다는 게 이들의 주장이다.

그린워싱은 이제 광고의 문제가 아니라 법적 리스크가 됐다. EU의 기업지속가능성공시지침(CSRD)이 본격 시행되면, 이 전선은 더욱 확대될 것이다.


5. 모든 소송이 던지는 하나의 질문

이 7개의 소송을 관통하는 공통된 질문이 있다.

기업은 자신이 만들어낸 기후 위기에 대해 법적으로 책임져야 하는가?

10년 전이라면 황당한 소리로 들렸을 이 질문이, 이제는 세계 최고 수준의 법학자들이 진지하게 다투는 법정의 쟁점이 됐다. 그리고 법원들은 조금씩, 하지만 분명하게 "그렇다"는 방향으로 답을 내놓고 있다.

2021년 네덜란드 판결은 파기됐지만, 항소법원조차 "셸은 기후 보호 의무를 진다"는 원칙은 인정했다. 나이지리아 오염 소송은 다국적 기업이 해외에서 일어난 일에 대해 본국에서 책임질 수 있다는 판례를 만들어가고 있다. 이사회 소송은 기각됐지만, 기관투자자들은 이미 기후 리스크를 주주가치와 직접 연결해서 보기 시작했다.


6. 투자자가 주목해야 할 세 가지

첫째, 소송 비용은 빙산의 일각이다. 직접적인 벌금이나 합의금보다, 불확실성이 기업 가치에 미치는 할인 효과가 더 크다. 소송이 장기화될수록 셸의 신규 사업 투자 결정이 불확실해지고, 이는 중장기 수익성에 영향을 준다.

둘째, 규제 환경이 빠르게 바뀌고 있다. EU CSRD, 영국 회사법 해석 변화, 각국 기후 소송 판결 축적 — 이 모든 것이 에너지 기업의 영업 환경을 재편하고 있다. 셸이 오늘 짜는 사업 계획이 5년 후에도 유효하다는 보장이 없다.

셋째, 에너지 전환의 속도가 관건이다. 셸이 재생에너지 투자를 얼마나 진지하게, 얼마나 빠르게 늘리느냐가 향후 소송 리스크를 줄이는 가장 현실적인 해법이다. 광고로 이미지를 관리하는 시대는 지나가고 있다.


마치며

셸의 기후 소송 사례들은 ESG가 단순한 마케팅 용어가 아님을 보여주는 생생한 증거다. 환경·사회·지배구조 리스크를 제대로 관리하지 못한 기업은 어느 날 갑자기 법정에 서게 될 수 있다. 그것도 한 나라가 아니라, 지구 반 바퀴를 돌아다니며 동시에.

셸이 지금 법정에서 어떤 답을 내놓느냐는, 앞으로 수십 개의 에너지 기업들이 따라가야 할 길을 만들어갈 것이다.


본 포스트는 공개된 법원 자료, 환경 단체 보고서, 언론 보도를 바탕으로 작성되었습니다. 투자 조언이 아니며, 구체적인 투자 판단은 전문가와 상담하시기 바랍니다.

참고: Milieudefensie, ClientEarth, Corporate Accountability Lab, Amnesty International, ASA, Climate Case Chart (Columbia Law School)


사이버 범죄 세계 3위 경제대국, 우리는 무엇을 하고 있는가

Munich Re Global Cyber Risk and Insurance Survey 2026이 드러낸 불편한 진실


사이버 범죄를 하나의 국가로 가정하면, 그 경제 규모는 세계 3위에 해당한다. 2028년까지 글로벌 사이버 범죄 피해 비용은 14조 달러에 달할 것으로 추산되는데, 이는 독일·일본·인도의 GDP를 합산한 규모를 넘어선다. 이 숫자를 처음 접했을 때 느끼는 감각은 충격이라기보다 일종의 무감각에 가깝다. 너무 크기 때문에 실감하기 어렵다. 그러나 Munich Re가 20개국 9,500명 이상의 C레벨 임원을 대상으로 실시한 「Global Cyber Risk and Insurance Survey 2026」은 바로 그 무감각이 얼마나 위험한지를 정밀하게 포착하고 있다.


AI는 기회이자, 새로운 공격 벡터다

이번 조사에서 가장 두드러진 변화는 AI의 부상이다. 2026년 기준, C레벨 응답자의 71%가 AI를 비즈니스에 유의미한 기술 트렌드로 꼽았다. 2024년의 62%에서 또 한 번 상승한 수치다. 클라우드(52%), 데이터 애널리틱스(53%), 블록체인(24%)을 제치고 AI가 독보적 1위를 차지한 것은, 단순한 유행이 아니라 경영 전략의 핵심 축이 실질적으로 이동했음을 의미한다.

흥미로운 것은 AI에 대한 태도다. 응답자의 66%가 AI가 자사에 긍정적 영향을 미칠 것이라 예상했고, 62%는 기술 자체를 신뢰한다고 답했다. 이미 57%의 기업이 운영에 AI를 도입했다. 그러나 이 낙관론 이면에 묻혀 있는 숫자가 있다. AI 도입과 관련한 최대 우려 사항으로 데이터 보안 및 프라이버시(52%), 부정확한 결과(42%), 사이버 공격(42%)이 나란히 상위를 차지했다.

특히 주목해야 할 것은 사이버 공격의 맥락이다. Munich Re 전문가들은 AI 툴의 대중화로 인해 사이버 범죄가 점점 더 자동화되고 '민주화'될 것이라고 경고한다. 고도의 기술 없이도 정교한 공격을 감행할 수 있는 환경이 만들어지고 있으며, 이는 특히 중소기업에 대한 위협을 증폭시킨다. "우리 회사는 너무 작아서 공격 대상이 되지 않는다"는 인식은 이미 시효가 만료된 논리다.


우려는 높고, 대비는 낮다

전 세계 C레벨 임원의 60%가 자사에 대한 사이버 공격 가능성을 "우려" 또는 "매우 우려"한다고 답했다. 인도와 남아프리카공화국에서는 이 수치가 80%에 달했고, 일본(70%), 프랑스(71%)도 높은 편이었다. 한국은 59%로 글로벌 평균과 비슷한 수준이다.

그러나 더 충격적인 숫자는 따로 있다. 전 세계 C레벨 응답자의 89%가 자사의 사이버 보안 보호 수준이 "충분하지 않다"고 자평했다. 이 수치는 2021년 81%에서 해마다 꾸준히 상승해 왔다. 위협에 대한 인식은 높아지는데, 정작 방어 태세에 대한 자신감은 오히려 하락하고 있다는 역설이다.

방어를 가로막는 주된 장애물로는 직원들의 낮은 보안 인식(40%), 전문 인력 부족(31%), 보안 솔루션 간 통합 및 상호운용성 부재(30%)가 꼽혔다. 기술의 문제가 아니라 사람과 조직의 문제라는 점이 반복적으로 드러나고 있다. 아무리 정교한 방어 시스템을 갖추더라도, 피싱 메일 하나에 속는 직원 한 명이 그 모든 것을 무력화할 수 있다.

실제 피해 경험 데이터도 이를 뒷받침한다. 데이터 침해(25%), 비즈니스 중단(27%), 클라우드 서비스 장애(16%), 랜섬웨어(16%) 등 다양한 유형의 사이버 인시던트를 실제로 경험한 기업 비율이 상당하다. 그리고 이 수치와 '우려' 수치 사이의 격차는 점점 좁혀지고 있다. 즉, 막연한 불안이 아니라 현실적 경험이 우려를 만들어내기 시작한 것이다.


클라우드 의존도, 눈에 보이지 않는 단일 장애점

AI 도입률이 57%라면, 클라우드 서비스 의존율은 98%에 달한다. 오늘날 기업 운영의 사실상 전 영역이 클라우드 위에 구축되어 있다는 의미다. 그리고 이 의존도는 새로운 유형의 시스템 리스크를 만들어낸다.

단 하루의 클라우드 서비스 중단이 일별 매출의 26~50%에 해당하는 손실을 초래할 것이라는 응답이 27%였고, 11%는 51~90%에 달하는 대규모 손실을 예상했다. 클라우드 제공업체 하나의 장애가 수천 개 기업에 동시에 영향을 미칠 수 있는 구조, 즉 누적 리스크(accumulation risk)의 시대가 도래한 것이다. 악의적 공격이 아닌 단순한 기술 오류 하나가 글로벌 경제에 연쇄 충격을 가할 수 있다.


보험 시장의 역설: 수요는 충분한데, 공급은 닿지 않는다

이 모든 우려와 취약성에도 불구하고, 사이버 보험 시장에는 여전히 거대한 공백이 존재한다. 2026년 조사에서 절반이 넘는 응답자(52%)가 자사에 사이버 보험이 제안된 적이 없다고 답했다. 보험사가 시장에 접근조차 하지 못하고 있다는 뜻이다.

반면 수요 신호는 강렬하다. C레벨 임원의 43%가 사이버 보험 가입을 적극적으로 검토 중이라고 밝혔다. 이 수치는 2021년 35%에서 꾸준히 상승해 왔다. 기업들이 사이버 보험을 구매하는 주된 이유는 비즈니스 중단으로 인한 재정 손실 보전(48%), 배상책임 손실 보전(48%), 전문 대응 서비스 접근(43%) 순이다. AI 리스크를 커버하는 보험에 관심 있다는 응답도 63%에 달했다. 이는 단순한 리스크 전가 수단이 아니라, 사고 발생 시 전문적인 위기 관리 역량을 확보하려는 수요임을 보여준다.

문제는 유통과 투명성이다. 많은 의사결정자들이 사이버 보험 상품의 보장 범위나 가치를 충분히 이해하지 못한 채 구매를 망설이고 있다. 보험사 입장에서 이것은 위협이 아니라 기회다. 15년 이상 사이버 보험 시장을 이끌어온 Munich Re가 이 보고서를 통해 강조하는 메시지도 바로 이 지점이다. 사이버 리질리언스는 단순한 기업 경쟁력의 문제가 아니라 사회경제적 과제이며, 보호 격차(protection gap)를 좁히는 것이 보험 산업 전체의 임무라는 것이다.


결론: "If"가 아니라 "How"의 문제

Munich Re 보고서의 표제가 "Not If, But How"인 것은 우연이 아니다. 사이버 공격이 발생할 것인가의 문제는 이미 해결되었다. 질문은 언제, 얼마나 자주, 그리고 그때 우리가 어떻게 대응하느냐로 넘어간 지 오래다.

디지털화의 가속, AI의 확산, 클라우드 의존도의 심화는 동시에 사이버 공격의 표면적을 넓히고 있다. 그리고 조직의 89%가 스스로 "충분히 보호받지 못하고 있다"고 인정하는 현실에서, 사이버 보안과 사이버 보험은 더 이상 IT 부서의 전담 과제가 아니다. 이것은 경영진의 전략적 의제이자, 이사회가 정기적으로 논의해야 할 리스크 관리의 핵심 항목이다.

기술은 계속 진화한다. 위협도 함께 진화한다. 그 속도를 방어 태세가 따라가지 못하는 구조적 간극을 메우는 것이 지금 이 시대 기업 리더들에게 주어진 과제다.


본 글은 Munich Re의 「Global Cyber Risk and Insurance Survey 2026」을 바탕으로 작성되었습니다. 조사는 Statista가 2025년 12월 20개국 9,500명 이상의 응답자를 대상으로 실시했으며, Munich Re 내부 전문가들이 2026년 1~2월에 분석을 완료했습니다.


2026년 4월 21일 화요일

AI 워싱: 과장된 기술 주장이 만드는 법적·경영적 리스크

AI 워싱이란 무엇인가

AI 워싱(AI Washing)은 기업이 실제 AI 기술 수준을 부풀리거나, 심지어 존재하지도 않는 AI 역량을 보유한 것처럼 속이는 기만적 마케팅 행위를 가리킨다.

기업들은 "차세대 인공지능이 우리 비즈니스를 혁신했다"는 식의 대담한 선언을 쏟아내지만, 실상은 허위이거나 심각하게 과장된 경우가 많다. AI라는 단어가 투자 유치와 브랜드 가치에 직결되면서, 마케팅 팀이 기술적 현실을 한참 앞질러 달리는 구조가 굳어진 것이다.

비즈니스 컨설턴시 Cruxy의 CEO Carrie Osman은 AI 워싱을 "과대 선전에 사로잡히고 비판적 검토가 결여된 시장의 증상"이라고 진단하며, 이사회가 "AI로 뭔가를 해야 한다"는 압박에 시달리면서 문제가 심화된다고 지적한다.

컴플라이언스 자문사 De Risk Partners의 Ravi de Silva는 "모든 기업이 AI를 활용한다고 말하고 싶어하지만, 과대 선전이 진실을 앞지르기 시작했다"며 "이전 기술 사이클에서도 이런 패턴을 목격했다. 큰 약속, 빠른 자금 유입, 그리고 불충분한 감독이 반복된다"고 경고한다.


이 리스크가 부각된 계기: 실제 사례들

AI 워싱이 단순한 과장이 아니라 형사 기소와 집행 조치로 이어지는 심각한 리스크임을 보여준 사건들이 잇달아 터졌다.

SEC의 첫 AI 워싱 집행 조치 (2024년 3월) SEC는 두 투자사가 독자적인 딥러닝 AI 모델을 기반으로 투자 전략을 운용한다고 고객과 잠재 투자자를 수년간 오도했다는 혐의로 첫 AI 워싱 집행 조치를 발표했다. 사실상 해당 모델은 존재하지 않았다.

AI 채용 스타트업 Joonko CEO 기소 (2024년 6월) SEC는 현재 폐업한 AI 채용 기업 Joonko의 CEO Ilit Raz를, 기술 역량에 대한 허위 증언으로 투자자들로부터 최소 2,100만 달러를 편취한 혐의로 기소했다. SEC 집행국장은 이를 두고 "'인공지능', '자동화' 같은 신조어를 동원한 구식 사기"라고 직격했다.

전자상거래 앱 Nate의 CEO 기소 (2025년 4월) FBI와 연방검찰은 전자상거래 기업 Nate의 전 CEO Albert Saniger를, 쇼핑 앱의 AI 역량을 과장해 투자자들로부터 4,000만 달러를 편취하려 한 혐의로 기소했다. Saniger는 Nate 앱이 "AI 기반으로 완전 자동화되어 인간의 개입 없이 온라인 거래를 처리할 수 있다"고 홍보했지만, 실제 자동화 수준은 사실상 0에 가까웠고 필리핀 콜센터 직원 수백 명이 수동으로 거래를 처리하고 있었다.

아마존 Just Walk Out 논란 (2024년) Amazon Fresh·Amazon Go 매장에 도입된 'Just Walk Out' 기술은 AI 센서가 고객의 구매 물품을 자동 인식하고 청구한다고 알려졌지만, 실제로는 인도 직원 약 1,000명이 거래의 4분의 3 가까이를 수동으로 검증하고 있었다는 보도가 나오며 비판을 받았다.

FTC의 'Operation AI Comply' (2024년 9월) FTC는 AI를 내세운 허위 광고와 사기를 단속하는 'Operation AI Comply'를 개시하고, 가짜 리뷰 생성 AI 도구, 'AI 변호사' 서비스, AI 기반 수익 창출을 표방한 사기 업체 등에 법적 조치를 취했다. 당시 FTC 위원장은 "AI 도구를 사용해 사람들을 속이는 행위는 불법이며, AI라는 이름 아래 법 적용이 면제되지 않는다"고 못 박았다.


한국 기업들에게 주는 메시지

이 일련의 사태는 미국만의 이야기가 아니다. 한국 기업들에게도 직접적으로 시사하는 바가 크다.

첫째, "AI"라는 단어는 이제 법적 책임을 수반한다.

투자 설명 자료, IR 보고서, 제품 마케팅 어디서든 AI를 언급하는 순간 그 주장은 검증의 대상이 된다. 법무법인 Pierson Ferdinand의 파트너 Maryam Meseha는 "기업의 공시 자료가 AI의 역할을 실질적으로 잘못 표현한다면 증권 사기, 소비자 기만, FTC 위반으로 법적 책임을 질 수 있다"고 경고한다. 한국 상장사나 미국 시장에 투자를 유치하는 기업이라면 이 리스크는 실질적이다.

둘째, 임원 개인도 책임에서 자유롭지 않다.

AI 관련 허위 진술에 대해 기업뿐 아니라 임원 개인도 소송, 과태료, 기타 규제 제재의 대상이 될 수 있다. Nate CEO가 직접 기소된 사례가 이를 단적으로 보여준다.

셋째, EU AI Act는 한국 기업의 유럽 진출에도 적용된다.

2026년 8월 전면 시행되는 EU AI Act는 'AI' 또는 'AI 기반'이라고 표현된 제품을 규제 대상 AI 시스템으로 간주한다. 유럽 시장을 겨냥하는 한국 기업이 제품에 성급하게 'AI' 딱지를 붙였다간 막대한 컴플라이언스 비용과 규제 의무를 떠안게 된다.

넷째, 과장 광고는 기술 투자 자체를 망친다.

Park Place Technologies의 CTO Chris Carriero는 "과대 선전된 솔루션을 쫓다 보면 진정으로 효율과 혁신을 이끌 수 있는 실질적 AI 기술을 간과하게 된다"고 지적한다. AI 워싱은 외부 신뢰만 갉아먹는 게 아니라 내부의 기술 판단력과 투자 효율성도 훼손한다.

실천적 대응 방향

전문가들은 'AI 기반(AI-powered)' 대신 'AI 보조(AI-assisted)'와 같이 현실을 정확히 반영하는 표현을 사용하고, AI가 실제로 무엇을 하고 무엇을 하지 않는지 투명하게 공개할 것을 권고한다. 또한 마케팅·법무·컴플라이언스 기능이 공개 발표를 사전 검토하고, AI 모델의 개발·검증·통합 과정에 대한 내부 문서를 체계적으로 유지해야 한다.

결국 핵심 질문은 단순하다. "우리가 AI라고 부르는 것이 실제로 스스로 학습하고 판단하는가?" 이 질문에 자신 있게 답할 수 없다면, 그 단어는 아직 쓸 준비가 안 된 것이다.


2026년 4월 14일 화요일

조직 분절이 초래하는 보안 리스크의 실체

팀 윌리엄스, 핑커턴 부회장 기고 요약

현대 기업의 보안 실패는 외부 공격보다 조직 내부의 단절에서 더 자주 발생한다는 점을 팀 윌리엄스는 강조한다. 그는 감사, 사이버, 물리보안, 인사, 컴플라이언스 등 핵심 기능이 하나의 체계로 작동하지 않을 때 가장 큰 취약점이 발생한다고 지적한다.

내부 단절이 만든 실제 사고들

  • 내부 감사팀과 보안팀이 동일 직원을 서로 다른 혐의로 추적하면서 협업이 이루어지지 않아, 해당 직원이 핵심 지적재산권을 가지고 이탈한 사건이 발생했다.
  • 시설 부서가 비용 절감을 이유로 검증되지 않은 장비를 설치해 네트워크 백도어가 생겼고, 결국 해킹으로 이어진 사례도 소개된다.

이 두 사례는 부서 간 사일로와 소통 부재가 직접적인 보안 사고로 이어질 수 있음을 보여준다.

해결을 위한 네 가지 전략

윌리엄스는 조직이 단편적 대응을 넘어 통합적 보안 체계를 구축해야 한다고 제안하며, 다음 네 가지 축을 제시한다.

  1. 목적 기반 설계
    보안 아키텍처는 기술이 아니라 조직의 핵심 목표에서 출발해야 한다.

  2. ROI에서 ROV로의 전환
    비용 중심의 ROI가 아닌, 조직 목표 보호의 가치를 기준으로 한 ROV 관점이 필요하다.

  3. AI의 중추신경계화
    부서별 개별 도입이 아닌, 다양한 데이터를 통합적으로 연결하는 AI 구조가 요구된다.

  4. 인간의 역할 재정립
    기술이 탐지 속도를 높여도, 분석·판단·윤리적 결정은 숙련된 인력이 수행해야 한다.

기고의 핵심 메시지

보안의 미래는 더 많은 기술이 아니라 조직 내부의 균열을 치유하는 리더십에 달려 있다.
윌리엄스는 부서 간 협력 권한을 가진 중앙 리스크 리더십의 필요성을 강조하며, 현대 위협은 조직도를 존중하지 않기 때문에 방어 또한 기존의 경계를 넘어야 한다고 말한다.