자동화 투자는 늘었는데, 자동 차단은 꺼져 있습니다
오늘날 보안 운영 환경에서 자동 대응 기능 자체는 더 이상 희소하지 않습니다. 탐지 이벤트에 연동해 세션을 끊고, 방화벽 정책을 바꾸고, 계정을 잠그는 기능은 SOAR(Security Orchestration, Automation and Response) 플랫폼과 개별 보안 장비에 널리 들어 있습니다. 그런데 실제 보안관제 현장을 보면 역설이 하나 있습니다. 탐지와 알림, 티켓 생성까지는 자동으로 흐르지만, 트래픽을 실제로 끊는 마지막 단계에는 여전히 사람의 승인이 남아 있거나 기능 자체가 꺼져 있습니다.
이 현상은 조사 데이터로도 확인됩니다. 2025년 발표된 취약점 대응 실태 조사에서는 응답 조직의 62%가 여전히 수동 조치 워크플로우에 의존하고 있으며, 완전 자동화에 이른 조직은 2%에 그쳤습니다(Mondoo 2025 State of Vulnerability Remediation Report 기준). 취약점 조치라는 인접 영역의 조사이지만, 탐지와 식별까지 자동화해 놓고 조치를 실행하는 마지막 단계에서 멈춘다는 구조는 자동 차단을 둘러싼 현실과 그대로 겹칩니다. 자동화가 필요하다는 인식과 자동 조치를 실제로 켜는 결정 사이에 뚜렷한 간극이 있습니다.
이 간극을 보수성으로 설명하는 것은 정확하지 않습니다. 보안팀이 자동 차단을 꺼두는 데에는 합리적인 계산이 있습니다. 이 글은 그 계산의 실체인 오차단의 비용, 자동 대응과 수동 대응의 속도와 비용 비교, 그리고 업계가 찾아가고 있는 단계적 자율화의 방향 순서로 다룹니다.
오차단 한 번의 비용: 시간당 수십만 달러의 다운타임
자동 대응의 오탐은 경보 단계의 오탐과 무게가 다릅니다. 경보가 잘못 울리면 분석가의 시간이 낭비됩니다. 차단이 잘못 실행되면 정상 업무가 멈춥니다. 업무 중단의 비용은 이미 숫자로 나와 있습니다.
다운타임 비용 조사에 따르면 중견기업과 대기업의 90% 이상이 시간당 다운타임 비용을 30만 달러 이상으로 잡고, 41%는 시간당 100만 달러에서 500만 달러 사이라고 답했습니다(ITIC 2024 Hourly Cost of Downtime Survey 기준). 고영향 장애로 범위를 좁히면 수치는 더 커집니다. 23개국 1,700여 명의 IT 실무자를 조사한 2025년 옵저버빌리티 실태 조사에서는 고영향 IT 장애의 중앙값 비용이 시간당 200만 달러로 나왔습니다(New Relic Observability Forecast 2025 기준).
이 수치를 자동 차단의 관점에서 다시 읽으면 이렇습니다. 오탐률이 낮지 않은 상태에서 자동 차단을 켜는 것은, 잘못된 판단 하나가 곧바로 시간당 수십만 달러의 손실이 되는 스위치를 켜는 것과 같습니다. 실제로 보안관제 현장의 경보 오탐 비율은 여전히 높습니다. 보안 분석가 350명을 대상으로 한 글로벌 조사에서 분석가가 받는 경보의 45%가 오탐으로 나타났고, 경보 과부하 탓에 응답자의 35%는 경보를 무시한다고 답했습니다(IDC InfoBrief, The Voice of the Analysts 2021 기준). 경보의 절반 가까이가 오탐인 환경에서 경보와 차단을 직결하면 어떤 일이 벌어질지는 계산할 필요도 없습니다.
결국 보안팀이 자동 차단을 꺼두는 것은 위험 회피가 아니라 비용 계산의 결과입니다. 문제는 그 계산의 반대편입니다. 대응이 늦었을 때의 비용도 함께 커지고 있습니다.
자동 대응과 수동 대응, 속도와 비용의 저울
공격 속도의 변화가 이 딜레마를 첨예하게 만듭니다. 공격자가 최초 침투 후 다른 시스템으로 횡적 이동을 시작하기까지 걸리는 평균 시간(breakout time)은 2025년 기준 29분으로, 전년의 48분에서 크게 짧아졌습니다. 가장 빠른 사례는 27초였고, 침투 4분 만에 데이터 유출이 시작된 침해도 관측됐습니다(CrowdStrike Global Threat Report 2026 기준).
사람이 경보를 확인하고, 조사하고, 승인하는 수동 대응 경로는 아무리 짧아도 분 단위가 아니라 시간 단위로 움직입니다. 29분 안에 확산이 시작되는 환경에서는 수동 승인 단계 하나가 방어 실패로 이어집니다.
자동화의 효과 역시 숫자로 확인됩니다. 2025년 데이터 침해 비용 보고서에 따르면, 보안 운영 전반에 AI와 자동화를 광범위하게 적용한 조직은 그렇지 않은 조직보다 침해 대응 기간을 평균 80일 줄였고, 침해 1건당 평균 190만 달러를 아꼈습니다. 전체 침해의 글로벌 평균 비용이 444만 달러라는 점을 감안하면 40%가 넘는 규모입니다(IBM Cost of a Data Breach Report 2025 기준). 두 대응 방식을 정리하면 다음과 같습니다.
이 비교가 보여주는 것은 어느 한쪽의 우위가 아닙니다. 자동 대응은 속도와 침해 비용 절감에서 압도적으로 유리하지만, 그 이득은 판단이 정확하다는 전제 위에서만 성립합니다. 판단 신뢰가 없는 자동화는 다운타임 리스크를 사는 것이고, 자동화 없는 신중함은 침해 비용을 사는 것입니다. 업계가 찾은 답은 이 둘 사이의 이분법을 깨는 것이었습니다.
업계의 방향: 전면 자율이 아니라 단계적 자율화
최근 보안 운영 시장에서 보이는 흐름은 자동 대응을 켜느냐 끄느냐의 양자택일이 아닙니다. 자율화 수준을 시나리오별로 나누어 단계적으로 올리는 접근입니다.
구체적으로는 이런 방식입니다. 오탐 가능성이 극히 낮고 조치의 부작용이 제한적인 시나리오, 예를 들어 알려진 악성 인프라와의 통신 차단부터 자동화를 적용합니다. 반면 정상 업무와 구분이 어려운 행위, 예를 들어 내부 계정의 대량 데이터 접근 같은 시나리오는 사람의 승인 단계를 유지합니다. 운영 데이터가 쌓여 특정 시나리오의 판단 정확도가 입증되면 그 시나리오의 자율화 단계를 올립니다. 자율화 수준의 결정권을 벤더가 아니라 도입 조직이 갖는 구조입니다.
이 접근이 퍼지는 배경에는 조직별, 산업별 수용도 차이가 있습니다. 규제 산업이나 무중단 서비스 환경에서는 오차단 비용이 커서 보수적인 단계 설정이 합리적이고, 반대로 침해 시 피해가 치명적인 환경은 높은 자율화 단계를 감수할 유인이 있습니다. 같은 조직 안에서도 네트워크 구간별로 다른 단계를 적용할 수 있습니다. 전면 자율이라는 단일 목표 대신, 신뢰가 쌓이는 만큼 자율 범위를 넓히는 로드맵이 현실적인 도입 경로로 자리 잡고 있습니다.
도입 조직 관점에서 이 흐름이 주는 시사점은 분명합니다. 자동 대응 솔루션을 평가할 때 물어야 할 질문은 어떤 조치를 자동화할 수 있는가가 아닙니다. 자율화 단계를 어떻게 나눌 수 있고 각 단계의 판단 정확도를 어떻게 검증할 수 있는가입니다.
자율화 단계를 올리는 근거는 맥락데이터에서 나옵니다
단계적 자율화의 흐름을 끝까지 따라가면 하나의 질문에 닿습니다. 자율화 단계를 올려도 되는지를 무엇으로 판단하는가. 관건은 조치의 근거를 검증할 수 있느냐입니다. 어떤 원본 트랜잭션/세션으로 위협을 확정했는지, 행위기준선 대비 무엇이 이탈이었는지, 왜 그 조치를 골랐는지가 탐지설명성(Explainability, XAI)으로 남아야 신뢰가 쌓입니다. 신뢰가 쌓여야 다음 단계로 갑니다. 경보와 로그 같은 상태정보만으로는 이 검증이 추정에 머뭅니다. 자동 대응의 오탐을 구조적으로 줄이는 일은 결국 판단에 입력되는 맥락데이터의 문제로 되돌아옵니다.
탐지에서 분석, 판단, 대응으로 이어지는 Closed-Loop 자동화, 즉 자율보안운영(Autonomous Security Operations)은 대응 기능을 쌓는다고 도달하는 목표가 아닙니다. 세 계층의 맥락데이터 위에서 판단의 정확도를 입증하고 자율화 단계를 올려가는 과정의 결과입니다. 자율보안운영의 경쟁력은 대응의 속도가 아니라 입력의 완전성에서 나옵니다.
자주 묻는 질문
Q. 자동 차단 기능을 도입하면 바로 켜도 되나요?
일괄 활성화보다는 시나리오별 단계 설정이 권장됩니다. 오탐 가능성이 낮고 부작용이 제한적인 시나리오부터 자동화하고, 판단 정확도가 운영 데이터로 입증된 뒤 범위를 넓히는 방식이 오차단 리스크와 대응 지연 리스크를 함께 관리하는 현실적인 경로입니다.
Q. SOAR 플레이북이 이미 있는데 단계적 자율화와 무엇이 다른가요?
SOAR는 대응 절차를 자동으로 실행하는 도구이고, 단계적 자율화는 그 실행을 어디까지 사람 개입 없이 허용할지 정하는 운영 체계입니다. 플레이북이 있어도 승인 단계가 모든 시나리오에 일괄 적용돼 있다면, 판단 신뢰도에 따라 시나리오별로 자율화 수준을 차등화하는 것이 다음 단계입니다.
Q. 자율화 단계를 올려도 되는지는 무엇으로 판단하나요?
해당 시나리오에서 조치의 근거를 사후 검증할 수 있는지가 기준입니다. 원본 트랜잭션/세션으로 위협이 확정되는지, 행위기준선 대비 이탈이 무엇인지, 조치 선택의 이유가 탐지설명성으로 설명되는지를 확인할 수 있어야 오탐률을 실측하고 신뢰를 쌓습니다.