글로벌 리서치로 본 '통제 커버리지 갭'

앞선 글 「보안사고의 68~74%는 '모르는 자산'에서 시작된다」에서는 조직이 존재조차 모르는 자산이 어떻게 사고의 출발점이 되는지 살펴봤습니다.

그렇다면 자산을 알고 있으면 안전할까요? 리서치가 보여주는 답은 "그렇지 않다"입니다. 자산 목록에 분명히 존재하고, EDR도 사고, 패치 관리 시스템도 운영하는데, 정작 그 통제가 해당 자산에 걸려 있지 않은 경우가 상당한 비율로 존재합니다.

이번 글에서는 자산 데이터를 실제로 집계한 리서치와 보안 리더 설문을 통해, 이 '커버리지 갭(coverage gap)'의 크기를 숫자로 확인해 보겠습니다.

리서치가 말하는 숫자

한쪽은 설문이 아니라 실제 자산 데이터를 집계한 결과이고, 다른 한쪽은 보안 리더가 자기 조직에서 겪은 사고를 응답한 결과입니다. 접근 방식이 전혀 다른 두 조사가 같은 지점을 가리킵니다. 문제는 통제를 도입하지 않은 것이 아니라, 도입한 통제가 자산 전체에 닿지 않는 것입니다.

갭은 특정 구간에 몰려 있다

같은 리서치 시리즈의 2022년 데이터는 갭이 균등하게 흩어져 있지 않다는 점을 보여줍니다.

• Windows 서버의 약 20%가 엔드포인트 보호 미적용 — Windows 클라이언트·macOS(약 10%)의 두 배

• macOS 자산은 Windows 클라이언트·서버보다 패치 관리에서 누락될 확률이 2~3배

서버는 대개 가장 중요한 자산으로 분류되고, macOS는 많은 조직에서 관리 표준이 가장 늦게 정비되는 영역입니다. 즉 갭은 "덜 중요한 자산 몇 대"에서 무작위로 발생하는 것이 아니라, 롤아웃 절차가 예외를 허용한 지점을 따라 체계적으로 발생합니다.

왜 EDR 콘솔에서는 이 갭이 보이지 않을까

가장 중요한 이유는 '분모'입니다.

EDR 콘솔이 표시하는 커버리지 100%는 EDR이 알고 있는 자산을 기준으로 한 100%입니다. 에이전트가 설치되지 않은 장비는 애초에 그 콘솔의 목록에 등장하지 않으므로, 분모에서도 빠집니다. 패치 관리 시스템도, 자산 관리 시스템도 마찬가지로 자기 자신이 아는 범위 안에서만 완결적입니다.

평균 61개의 보안 도구를 운영하는 환경에서, 각 도구는 저마다 다른 부분집합을 보고 있으면서 각자 "우리 쪽은 100%"라고 보고합니다. 어느 도구도 틀린 말을 하지 않지만, 그 어떤 도구도 조직 전체의 분모를 알지 못합니다.

커버리지 갭은 개별 도구 안에서는 원리적으로 관측되지 않습니다. 여러 소스를 합쳐 분모를 만들고, 그 분모에서 각 도구가 아는 자산을 빼야 비로소 드러나는 값이기 때문입니다.

더 위험한 것: 걸려 있는 것처럼 보이는 자산

리서치에서 눈여겨볼 항목은 stale, 즉 데이터가 오래된 자산입니다. 엔드포인트 보호 기준 약 3%, 패치 관리 기준 약 1%가 여기에 해당합니다.

이 자산들은 에이전트가 설치된 이력이 있어 콘솔 목록에는 남아 있지만, 최근 체크인 기록이 없습니다. 에이전트가 중지됐거나, 삭제됐거나, 장비가 재설치된 경우입니다.

문제는 대부분의 집계 방식에서 이 자산이 '적용됨'으로 계산된다는 점입니다. 커버리지 리포트는 통과하고, 컴플라이언스 지표도 초록색이며, 담당자는 보호되고 있다고 믿습니다. Panaseer 조사에서 통제 실패의 54%가 사고 이후에야 발견됐다고 응답한 것, 그리고 전체 IT 환경에 대한 가시성을 확신한다는 응답이 37%에 그친 것은 이 구조와 무관하지 않습니다.

이 숫자가 CAASM 도입 논의에서 갖는 의미

커버리지 갭은 도구를 하나 더 사서 줄이는 문제가 아닙니다. 이미 보유한 통제가 어디에 닿아 있고 어디에 닿지 않는지를 도구 바깥에서 계산하는 체계의 문제입니다. CAASM이 다루는 영역이 정확히 여기입니다.

• 분모 확정 — 엔드포인트 관리, AD, 클라우드, 취약점 진단, 네트워크, CMDB 등 여러 소스의 자산 정보를 통합해 조직 전체의 자산 기준선을 만듭니다.

• 차집합 산출 — 그 기준선에서 각 통제가 인지하는 자산을 빼, "존재하지만 EDR이 모르는 자산", "패치 관리 대상이 아닌 서버"를 목록으로 뽑습니다.

• 신선도 판정 — 설치 여부만이 아니라 최근 체크인 시점을 함께 보아 stale 자산을 '적용됨'에서 분리합니다.

• 조치 연결 — 갭 자산에 소유자와 조치 기한을 붙여, 발견이 목록으로 끝나지 않게 합니다.

지금 확인해 볼 수 있는 세 가지 질문

1. 우리 조직의 자산 분모는 몇 개의 소스에서 만들어지는가? 하나의 시스템에서만 나온다면, 그 시스템이 모르는 자산은 영원히 갭에 남습니다.

2. 통제별 커버리지를 각 도구 밖에서 계산해 본 적이 있는가? EDR 콘솔의 숫자와, 전체 자산 기준으로 다시 계산한 숫자를 비교해 보는 것이 출발점입니다.

3. '설치됨'과 '살아 있음'을 구분하고 있는가? 마지막 체크인 기준이 없다면 stale 자산은 계속 초록색으로 집계됩니다.

마치며

28%, 6%, 84%, 61개라는 숫자는 보안 투자가 부족한 조직의 이야기가 아닙니다. 오히려 도구를 충분히 도입한 조직에서 반복적으로 관찰되는 구조적 패턴에 가깝습니다.

앞선 글에서 확인한 '모르는 자산'이 첫 번째 공백이라면, 커버리지 갭은 두 번째 공백입니다. 자산은 알고 있고 통제도 보유하고 있지만, 둘이 연결되어 있는지는 아무도 계산하지 않는 영역입니다.

보안 통제의 실효성은 도입 여부가 아니라 적용 범위로 결정됩니다. 그리고 적용 범위는 정확한 자산 목록 위에서만 계산할 수 있습니다.

참고 자료

• Sevco Security, "State of the Cybersecurity Attack Surface" (H1 2024) — 글로벌 IT 자산 120만 대 분석. https://content.sevcosecurity.com/report-state-of-the-cybersecurity-attack-surface-h1-2024

• Sevco Security, "State of the Cybersecurity Attack Surface" (2022) — IT 자산 50만 대 이상 분석. https://content.sevcosecurity.com/report-q3-state-of-cyberscurity-attack-surface

• Panaseer, "2026 Security Leaders Peer Report" (2025. 11.) — 기업 보안 리더 400명 대상 조사. https://resources.panaseer.com/reports/2026-security-leaders-peer-report/executive-summary

• Riskmap Insights, 「보안사고의 68~74%는 '모르는 자산'에서 시작된다」 (2026. 7. 31.)