글로벌 리서치가 보여주는 자산 가시성의 현실

"모든 자산을 알아야 모든 자산을 보호할 수 있다"는 말은 CAASM 업계에서 자주 인용되는 문장입니다. 그런데 이 말이 실제로 데이터로도 뒷받침되고 있다는 사실은 잘 알려지지 않았습니다.

이번 글에서는 최근 발표된 글로벌 보안 리서치 세 건을 통해, 자산 가시성 부족이 실제로 보안사고에 얼마나 큰 영향을 미치는지 숫자로 살펴보겠습니다.

리서치가 말하는 세 가지 숫자

세 조사 모두 조사 시점과 방법론이 다르지만, 결론은 일치합니다. 보안사고의 상당수는 새로운 취약점이 아니라, 조직이 존재조차 몰랐거나 제대로 관리하지 못한 자산에서 시작된다는 것입니다.

왜 이 숫자가 놀라운가

주목할 점은 이 수치가 보안 예산이 부족한 중소기업만의 이야기가 아니라는 것입니다. Trend Micro 조사는 전 세계 2,000명 이상의 사이버보안 리더를 대상으로 했고, 이들 중 다수는 이미 다양한 보안 솔루션(EDR, 취약점 스캐너, 방화벽 등)을 운영하고 있는 조직에 속해 있습니다.

즉, 문제는 보안 도구가 부족해서가 아닙니다. 문제는 그 도구들이 감시하고 있는 "자산 목록" 자체가 실제 운영 환경과 일치하지 않는다는 데 있습니다.

CyCognito·ESG 조사에서 드러난 73%라는 수치가 이 문제의 원인을 잘 설명합니다. 여전히 많은 조직이 자산 정보를 스프레드시트나 수작업으로 관리하고 있고, 이런 방식은 클라우드와 SaaS가 실시간으로 생성·삭제되는 현재의 IT 환경 속도를 따라갈 수 없습니다.

숫자 뒤에 있는 공통된 패턴

세 조사 결과를 종합하면 다음과 같은 흐름이 반복됩니다.

1. 자산은 클라우드, SaaS, 원격 근무 환경 확산으로 계속 늘어난다

2. 자산 관리는 여전히 수기·스프레드시트 기반에 머물러 있다 (73%)

3. 그 결과 상당수 조직이 미확인·미관리 자산에서 시작된 공격을 경험한다 (68~74%)

이 패턴은 특정 산업이나 지역에 국한된 문제가 아니라, 글로벌 기업 전반에서 반복적으로 관찰되는 구조적 문제입니다.

이 숫자가 CAASM 도입 논의에서 갖는 의미

이 수치들은 CAASM이 "있으면 좋은 도구"가 아니라, 보안 운영의 구조적 공백을 메우는 역할을 한다는 점을 보여줍니다.

CAASM의 핵심은 자산 정보를 자동으로, 여러 시스템에서 통합 수집하는 데 있습니다. 이는 위에서 확인한 두 가지 문제를 직접적으로 겨냥합니다.

• 수기·스프레드시트 기반 관리의 한계 → 여러 시스템의 자산 정보를 자동으로 통합해 실시간에 가깝게 유지

• 미확인·미관리 자산의 존재 → 등록 여부와 무관하게 실제 운영 중인 자산을 지속적으로 탐지

보안 투자를 어디에 먼저 해야 하는지 고민하는 조직이라면, 이 숫자들은 취약점 스캐너를 하나 더 추가하는 것보다 자산 가시성 확보가 먼저라는 근거가 될 수 있습니다.

마치며

68%, 74%, 73%라는 숫자는 개별 기업의 특수한 상황이 아니라, 업계 전반에서 반복되는 구조적 패턴을 보여줍니다.

보안 담당자들이 새로운 취약점과 CVE에 집중하는 동안, 정작 더 큰 위험은 "우리가 무엇을 가지고 있는지조차 정확히 모른다"는 사실에서 비롯되고 있습니다.

자산 가시성은 더 이상 부가적인 보안 활동이 아니라, 다른 모든 보안 활동의 전제 조건입니다.

참고 자료

• Trend Micro, "New Research Reveals Three Quarters of Cybersecurity Leaders Have Experienced Security Incidents Due to Unknown or Unmanaged Assets" (2025. 4.)

• CyCognito & ESG, "Security Hygiene and Posture Management" 리서치 보고서