플랫폼 보안의 다음 기준은 차단 건수가 아니라 ‘설명 가능한 통제’다

사이버보안과 플랫폼 정책은 흔히 서로 다른 분야로 취급된다. 하나는 침입을 막는 기술이고, 다른 하나는 콘텐츠와 이용자 보호의 규칙이라는 인식 때문이다. 그러나 대규모 온라인 서비스에서는 두 과제가 같은 질문으로 수렴한다. 누가 어떤 위험을 판단했고, 어떤 기준으로 조치했으며, 그 판단이 사후에 검증될 수 있는가다. 유럽연합 사이버보안청(ENISA)의 2025년 위협 동향은 2024년 7월부터 2025년 6월까지의 4,875건을 분석했다. 디도스 공격이 보고된 사고 유형의 77%를 차지했고, 침투의 주요 진입점으로는 피싱 60%, 취약점 악용 21.3%가 제시됐다. 대규모 플랫폼은 공격 표면이 넓을 뿐 아니라, 보안 대응과 콘텐츠·계정 조치가 신뢰에 직접 영향을 주는 구조에 놓여 있다.

사고 유형의 비중과 피해의 크기는 같은 지표가 아니다

ENISA 자료에서 디도스가 많은 비중을 차지한다는 사실은 중요하지만, 그것만으로 보안 우선순위를 정할 수는 없다. ENISA는 랜섬웨어를 가장 큰 영향을 주는 위협으로 지목한다. 짧고 반복적인 서비스 교란은 사건 수를 크게 만들 수 있는 반면, 계정 탈취·취약점 침해·데이터 유출은 발생 건수가 상대적으로 적어도 이용자와 공급망에 더 긴 복구 시간을 남길 수 있다. 따라서 ‘차단한 공격 건수’는 운영 현황을 보여 주는 한 지표일 뿐, 회복력 자체를 뜻하지는 않는다.

플랫폼 사업자는 이 차이를 지표 설계에 반영할 필요가 있다. 탐지 건수, 조치까지 걸린 시간, 동일 원인의 재발 여부, 외부 공급자에서 시작된 영향, 이용자 통지와 복구의 속도는 서로 다른 질문에 답한다. 예를 들어 자동 탐지 건수가 늘었다고 해서 방어가 약해졌다고 단정할 수는 없다. 관측 범위가 넓어졌거나 분류 체계가 세밀해진 결과일 수도 있다. 반대로 건수가 줄어도 신고·탐지 경로가 막혔다면 좋은 소식이 아니다. 분석의 초점은 숫자의 높고 낮음보다 숫자가 어떤 통제 과정을 거쳐 만들어졌는지에 있어야 한다.

보안 거버넌스가 운영팀의 업무로만 남기 어려운 이유

미국 국립표준기술연구소(NIST)의 사이버보안 프레임워크 2.0은 기존의 식별·보호·탐지·대응·복구에 더해 ‘거버넌스(Govern)’ 기능을 별도로 두었다. 이는 보안 위험의 허용 범위, 책임과 권한, 정책, 공급망 위험을 경영 차원의 의사결정으로 다루라는 뜻이다. 기술팀이 경보를 처리하는 능력과 경영진이 위험을 받아들이거나 완화할 기준은 대체 관계가 아니라 서로를 보완하는 관계다.

플랫폼 정책에서도 이 관점은 유효하다. 계정 제한, 콘텐츠 노출 축소, 광고·추천 체계의 조정은 기술적으로 자동화될 수 있지만, 오류가 났을 때 누가 검토하고 어떤 근거를 남기는지가 신뢰를 가른다. 보안에서 로그와 변경 이력이 필요한 것처럼, 정책 집행에도 판단 근거와 이의 제기 경로가 필요하다. 이 둘을 따로 관리하면 보안팀은 서비스 영향과 이용자 권리를 충분히 보지 못하고, 정책팀은 악성 행위자의 전술 변화를 제때 반영하기 어렵다.

유럽의 투명성 규칙이 던지는 실무적 질문

유럽연합 집행위원회는 디지털서비스법(DSA)에 따라 매우 큰 온라인 플랫폼과 검색엔진이 불법 콘텐츠·허위정보·미성년자 보호 등 서비스 위험을 적어도 매년 평가하고, 완화 조치 및 독립 감사와 관련한 정보를 공개하도록 안내한다. 2025년 7월부터 투명성 보고서의 형식과 분류가 표준화됐고, 2026년 2월에는 첫 조화된 보고서가 공개되기 시작했다. 이 변화의 핵심은 특정 기업의 보고서 한 건이 아니라 서로 다른 기간과 서비스 사이에서 비교 가능한 데이터를 만들려는 데 있다.

다만 공개가 곧바로 안전을 보장하지는 않는다. 지나치게 상세한 운영 정보는 악용 가능성을 키울 수 있고, 반대로 모호한 총계만 내놓으면 외부 검증이 어렵다. 그래서 공개의 단위는 공격 기법이나 우회 방법이 아니라, 위험 범주·조치 원칙·오류 시정 절차·독립 검토 결과처럼 책임을 확인할 수 있는 수준에 맞춰야 한다. 이것이 보안 비밀과 공적 설명 책임 사이의 현실적인 경계다.

한국의 이용자와 사업자가 확인할 수 있는 네 가지

첫째, 서비스의 보안 공지는 ‘문제가 없었다’는 선언보다 영향 범위와 다음 조치를 구분해 설명하는지 봐야 한다. 둘째, 자동화된 차단이나 추천 조정에 대해 이의 제기와 재검토 경로가 있는지 확인할 필요가 있다. 셋째, 협력사·클라우드·외부 도구를 포함한 공급망에서 사고가 났을 때 책임과 통지 기준이 계약과 정책에 반영됐는지가 중요하다. 넷째, 경영진이 정기적으로 어떤 위험 지표를 검토하는지 공개하는 조직은 단순히 보안 제품을 도입했다는 조직보다 장기적인 개선 가능성을 가늠하기 쉽다.

앞으로 플랫폼 경쟁에서 차별점은 완벽하게 사고를 없애겠다는 약속보다, 사고와 정책 오류가 생겼을 때 얼마나 빨리 발견하고 설명하고 고칠 수 있는지에 있을 가능성이 크다. ENISA의 위협 분석은 공격 경로가 공급망과 사회적 혼란까지 넓어졌음을 보여 주고, NIST와 DSA의 흐름은 통제를 기술 목록이 아니라 책임 구조로 보도록 요구한다. 이 둘을 함께 보면 보안은 규제 대응의 부속 항목이 아니라 서비스 신뢰를 설계하는 운영 원칙이라는 해석이 가능하다.

출처 및 참고 자료

• ENISA, ENISA Threat Landscape 2025
• NIST, The NIST Cybersecurity Framework (CSF) 2.0
• NIST, Cybersecurity Framework FAQ
• European Commission, How the Digital Services Act enhances transparency online

이 글은 공개된 해외 공공기관 자료를 바탕으로 작성한 정보성 분석이며, 특정 보안 제품·기업·서비스의 이용 또는 투자를 권유하지 않습니다.