🕵️‍♂️ [캠페인] 공포·유행어 추격을 멈추고 ‘증거 중심 보안’으로

🛑 공포에만 기대는 보안을 멈추고,
⛔ 유행어를 따라다니는 보안을 멈추고,
💡 증거와 결과로 설명하는 보안으로 전환하자.

한 줄 선언
“우리는 더 이상 공포나 신종 제품 유행어만으로 보안을 말하지 않는다.
정의(Problem Definition) → 증거(Evidence) → 성과(Outcome)로 보안을 운영한다.”

---

1) 왜 지금 이 전환이 필요한가

보안 업계에는 오래된 습관이 있습니다.

• 위협을 과장해 예산을 따내고
• 새로운 유행어를 따라 제품을 교체하고
• 도입 자체를 성과처럼 말하고
• 실제 운영 품질과 대응력은 뒤로 미루는 습관입니다

이 방식은 단기적으로는 강해 보일 수 있습니다.
하지만 시간이 지날수록 문제를 남깁니다.

공포 마케팅의 부작용

공포는 사람을 움직일 수 있습니다.
그러나 공포만으로 움직인 조직은 종종 다음을 겪습니다.

• 불필요한 과투자
• 우선순위 왜곡
• 실제 리스크보다 슬로건 중심의 의사결정
• “도입은 했는데 운영은 안 되는” 구조

유행어 추격의 비용

보안 시장은 이름을 자주 바꿉니다.

SIEM → SOAR → ZTA → SASE/SSE → SaAT …

물론 기술은 진화합니다.
하지만 이름이 바뀐다고 해서
조직의 핵심 리스크가 자동으로 해결되지는 않습니다.

현장의 피로

도구가 전략을 지배하면
운영자는 점점 더 많은 대시보드와 알림 속에서 일하게 됩니다.

그 결과 남는 것은 종종 이것입니다.

• 사고의 본질은 흐려지고
• 증거는 흩어지고
• 운영자는 대시보드 노동에 매몰되는 구조

그래서 이제 필요한 것은
또 다른 유행어가 아니라,
증거 중심 보안(Evidence-based Security) 입니다.

즉,

• 측정 가능한 위협 가설을 세우고
• 로그·텔레메트리·사건 기록으로 검증하며
• 서비스 수준 목표(SLO)로 책임지는 보안입니다

---

2) 우리가 멈춰야 할 것들

이 캠페인의 핵심은 단순합니다.
무엇을 새로 시작할지 말하기 전에,
먼저 무엇을 멈출지 분명히 하자는 것입니다.

1. 공포만 앞세우는 설명

“XX 안 하면 망한다”는 식의 메시지는
짧게는 강할 수 있지만,
길게 보면 신뢰를 약하게 만듭니다.

앞으로는
위험 시나리오, 발생 빈도, 영향 범위를
가능한 한 계량치와 사례로 설명해야 합니다.

2. 유행어 중심의 도입

제품군 명칭이 먼저 나오고
정작 해결할 문제가 뒤로 가는 방식은 멈춰야 합니다.

무엇을 도입할지가 아니라
무슨 문제를 해결할 것인가가 먼저여야 합니다.

3. 도구 주도 전략

“이 제품 기능이 있으니 도입하자”가 아니라
공격자 모델, ATT&CK 맵, 운영 시나리오가 먼저 와야 합니다.

즉, 도구는 전략의 결과여야지
전략의 출발점이 되어서는 안 됩니다.

4. 미탐·오탐을 숨기는 문화

탐지 실패와 오탐은
부끄러운 것이 아니라 개선의 출발점입니다.

내부적으로라도
탐지 갭 리포트를 정기적으로 공개하고,
개선 목표를 분기 SLO로 관리해야 합니다.

5. 지표 없는 “AI/지능형” 주장

탐지 리드타임, 차단율, MTTR 없이
“AI 기반”, “지능형”, “자동화”만 반복하는 주장은
이제 설득력이 약합니다.

지표가 없으면 주장도 약해야 합니다.

---

3) 대신 무엇을 시작할 것인가 — 3단 분해 운영

증거 중심 보안은 거창한 철학이 아닙니다.
실무에서는 아래 3단으로 정리할 수 있습니다.

A. 정의(Problem Definition)

먼저, 무엇이 가장 중요한 위험인지 정의해야 합니다.

• 상위 5개 비즈니스 프로세스 식별
• 각 프로세스의 공급망 의존성 식별
• 각 프로세스별 가장 경제적인 공격 경로 정의
• ATT&CK 기반으로 실제 침해 흐름 표시

예시 SLO:

“우선순위 #1 공격 경로에 대한 탐지까지 시간(TTD) 90p를 7분 이내로 유지한다.”

---

B. 증거(Evidence)

다음은
그 위험이 실제로 존재하는지,
그리고 탐지·대응이 가능한지를 증거로 보여야 합니다.

• 웹/WAF + EDR + OS/클라우드 로그를 하나의 타임라인으로 연결
• 탐지 실패, 오탐, 과탐을 월간 리포트로 정리
• 최근 사고와 재현 테스트 결과를 함께 축적

예시 SLO:

오탐 비율 ≤ 2.5%
미탐 재현 테스트 통과율 ≥ 95%

---

C. 성과(Outcome)

마지막은
그 증거가 실제 운영 개선과 연결되었는지를 봐야 합니다.

• 사건 스토리보드 작성
• 재발 방지 변경점을 CMDB/정책 변경과 연결
• MTTR, 차단 성공률, 동일 경로 재발률 추적

예시 SLO:

MTTR 90p ≤ 60분
동일 경로 재발 ≤ 1건/분기

---

4) 유행어 대신 쓰는 요구사항 템플릿

보안 요구사항은 더 간단하고 명확해질 수 있습니다.

문제 정의 → 증거 → 성과

1. 문제
   “협력사 웹 서비스 경유 공급망 침투(T1190/웹 취약점 악용) 위험이 중간 이상이며, 월 3회 수준으로 재현된다.”

2. 증거
   “지난 60일간 WAF 미탐 4건이 EDR/OS 로그 상 RCE 흔적으로 검증되었고, 관련 IoC 18건이 축적되었다.”

3. 성과
   “증거 기반 상관분석과 재현 테스트를 주 1회 자동화하여 TTD 7분, 차단율 99%를 목표로 운영한다.”

이 템플릿의 장점은
보안을 제품 설명이 아니라
운영 가능한 문장으로 바꾼다는 데 있습니다.

---

5) 실행 체크리스트(주간·월간)

증거 중심 보안은
결국 반복 가능한 운영 습관으로 남아야 합니다.

주간·월간 체크리스트

• 탐지 갭 리포트 발행
  미탐/오탐/과탐과 원인·개선 계획 기록

• 재현 테스트 세트 운영
  최근 사고 5종을 릴리즈 후 자동 실행

• 아웃바운드 통제 점검
  차단 규칙·허용 리스트 드리프트 탐지

• 공급망 가시성 확인
  계정·API·SSH 키 사용 흔적 상관

• 사건 스토리보드 작성
  모든 P1/P2 사건을 ATT&CK 타임라인으로 정리 후 지식화

이 항목들은 특별한 구호가 아니라
실제로 운영팀이 바로 적용할 수 있는 최소 단위입니다.

---

6) 측정 지표(SLO/북극성)

측정 없는 보안은 설명하기 어렵고,
설명할 수 없는 보안은 개선하기 어렵습니다.

권장하는 핵심 지표는 다음과 같습니다.

• 탐지까지 시간(TTD) P90 ≤ 7m / P99 ≤ 15m
• 대응까지 시간(TTR) P90 ≤ 30m
• 오탐 비율(FPR) ≤ 2.5%
• 미탐 재현 통과율 ≥ 95%
• 차단 전 데이터 유출 바이트 P90 = 0
• 협력사 가시성 커버리지 ≥ 85%

중요한 것은
이 숫자가 절대 기준이냐가 아니라,
우리 조직이 무엇을 측정하고 무엇에 책임질 것인가를 분명히 한다는 점입니다.

---

7) 증거 중심 보안을 구현하는 플랫폼은 어떻게 봐야 할까

증거 중심 보안은
특정 제품 이름보다 먼저
구조를 봐야 합니다.

예를 들어 플랫폼을 평가할 때는
다음 질문이 먼저 나와야 합니다.

• 웹 진입면과 호스트 내부 행위를 연결해서 볼 수 있는가?
• 단일 이벤트가 아니라 사건 타임라인으로 재구성되는가?
• 재현 테스트와 운영 지표를 붙일 수 있는가?
• 탐지 후 차단, 기록, 정책 개선이 하나의 흐름으로 이어지는가?

이 기준에서 보면
PLURA-XDR 같은 통합 플랫폼은
증거 중심 보안을 구현하는 하나의 현실적 예시가 될 수 있습니다.

예를 들면 다음과 같은 구조입니다.

• 웹 진입면
  WAF 탐지와 원시 로그를 XDR 상관분석으로 연결

• 호스트면
  EDR 프로세스·파일·네트워크 이벤트를 웹 이벤트와 교차 분석

• 증거 묶음
  사건별 타임라인 카드, 해시, ATT&CK 태그, 관련 지표를 자동 저장

• 재현 테스트 연계
  최근 미탐 페이로드를 테스트 파이프라인에 연결해 배포 전후 비교

중요한 것은
이름이 아니라 증거를 남기고 운영으로 이어지게 하는 구조입니다.

---

8) 메시지 가이드(내부·대외)

증거 중심 보안은
말하는 방식부터 달라야 합니다.

금지

• “최신 위협 무조건 위험”
• “XXX 안 쓰면 뚫린다”
• “AI가 다 해결한다”

권장

• “우리의 최상위 위험 시나리오는 X이며, 최근 60일간 Y로 입증되었다. 현재 SLO는 Z다.”
• “최근 3건의 미탐을 기준으로 재현 테스트를 운영 중이며, 이번 분기 목표는 TTD 단축이다.”
• “기능보다 운영성과를 기준으로 보안 체계를 평가한다.”

한 문장 버전

우리는 공포와 유행어 대신, 정의·증거·성과로 보안을 말합니다.

---

9) 포스터/배너 문구

• 공포 말고 증거
• 유행어 말고 성과
• 도구보다 문제정의부터
• 설명보다 입증
• 대시보드보다 대응

---

10) FAQ

Q. “SIEM/SOAR/ZTA 안 쓰면 위험” 아닌가요?

A. 기술은 수단입니다.
우리의 위험 시나리오에 대해 측정 가능한 개선이 없다면,
도입 이유는 다시 써야 합니다.

Q. 영업에 불리하지 않나요?

A. 오히려 신뢰를 얻을 수 있습니다.
공포가 아니라 TTD·MTTR·차단율·재현 테스트 결과로 설득하기 때문입니다.

Q. 제품 없이 철학만으로 운영이 되나요?

A. 아닙니다.
다만 제품은 철학의 대체물이 아니라 실행 도구여야 합니다.
좋은 제품은 증거 중심 운영을 더 쉽게 만들고,
좋은 철학은 제품 선택을 더 정확하게 만듭니다.

---

정리하며

이 캠페인의 목적은
단지 강한 문구를 던지는 것이 아닙니다.

보안을 다시
정의 → 증거 → 성과의 언어로 옮겨 놓자는 제안입니다.

공포는 사람을 움직일 수 있지만,
증거만이 조직을 바꿉니다.

유행어는 예산을 움직일 수 있지만,
성과만이 운영을 바꿉니다.

이제는
공포를 더 키우는 보안이 아니라,
실제로 입증하고 반복 개선할 수 있는 보안으로 넘어가야 합니다.

그 전환이 시작되는 순간,
보안은 더 이상 슬로건이 아니라
조직이 학습하는 운영 체계가 됩니다.