'제로 트러스트(Zero Trust)'는 이제 보안 업계에서 가장 흔하게 들리는 용어가 되었습니다. 하지만 실제 현장에서 이야기를 나눠보면 여전히 "VPN을 없애는 것"이나 "인증을 여러 번 하는 것" 정도로만 좁게 이해되는 경우가 많아 아쉬울 때가 있습니다.
제로 트러스트는 단순히 특정 기술을 뜻하는 것이 아니라, 아무도, 어떤 기기도, 어떤 위치도 기본적으로는 신뢰하지 않는다는 '운영 원칙' 입니다. 그리고 이 원칙을 끝까지 밀고 가다 보면 우리는 필연적으로 한 가지 근본적인 질문에 마주하게 됩니다. "권한이 있는 사용자가 민감한 화면을 열어둔 그 순간, 우리는 그 화면 앞의 상황까지 정말 신뢰할 수 있는가?" 하는 점입니다.
Verizon이 매년 발간하는 Data Breach Investigations Report(DBIR)는 실제 침해 사고 데이터를 기반으로 한 보고서라 읽을 때마다 불편한 숫자들이 나옵니다. 2026년 버전도 마찬가지입니다. 공격자는 더 빨라졌고, 침투 경로는 더 실용적으로 바뀌었으며, 사람을 노리는 공격은 더 익숙한 업무 채널로 이동하고 있습니다.
보안 사고 조사는 대개 로그에서 시작됩니다. 누가 어떤 파일을 내려받았는지, 어디로 전송했는지, 어떤 프로세스가 실행됐는지 확인하며 사고 경위를 맞춰 갑니다. 그런데 스마트폰으로 모니터 화면을 촬영한 사고는 출발점부터 다릅니다. 확인해야 할 로그가 애초에 남지 않는 경우가 많습니다.
기업 보안 예산의 상당 부분이 DLP 솔루션에 투입됩니다. 그러나 DLP를 도입한 조직에서도 정보 유출 사고는 계속 발생합니다. 이 글에서는 기존 DLP 솔루션이 실제로 무엇을 커버하는지, 그리고 AI 기반 화면 보안이 왜 다른 접근 방식인지를 구체적으로 비교합니다.
화면 보안의 필요성은 알고 있지만, 막상 도입하려고 하면 어디서부터 시작해야 할지 막막한 경우가 많습니다. 50인 스타트업과 5,000인 대기업이 같은 방식으로 화면 보안을 도입할 수는 없습니다. 조직 규모, 업종, 위험도에 따라 접근 방식이 달라져야 합니다.
2025년 10월, 경찰은 경기 파주의 LG디스플레이 공장을 압수수색했습니다. 수사관들이 피의자의 휴대전화에서 발견한 것은 수백 장의 사진이었습니다. 회사 내부 공정 정보와 설계 기술이 담긴 화면을 직원이 스마트폰으로 촬영해 저장해둔 것이었습니다. DLP 솔루션은 이 행위를 단 한 번도 감지하지 못했습니다.
재택근무가 보편화되면서, 기업 보안팀이 통제할 수 없는 공간이 급격히 늘어났습니다. 직원의 집, 카페, 공유 오피스 — 그 어느 곳도 사무실만큼의 물리적 보안을 보장하지 않습니다. 그리고 그 공간의 한가운데에, 회사 기밀이 담긴 모니터 화면이 켜져 있습니다.
직원이 모니터 앞에서 열심히 일하는 동안, 누군가 그 화면을 스마트폰으로 조용히 촬영하고 있다면 어떻게 될까요. 방화벽도, 암호화도 이 위협 앞에선 무력합니다. 이것이 바로 비주얼 해킹(Visual Hacking) 입니다.
콜센터 상담사가 고객의 계좌번호, 주민등록번호, 대출 내역을 화면에 띄운 채 전화를 받고 있습니다. 그 화면 옆에 스마트폰이 있습니다. 이 상황에서 기존 DLP 솔루션은 아무런 경고도 보내지 않습니다. 금융권과 콜센터는 고객 개인정보를 가장 집약적으로 다루는 환경이면서, 역설적으로 화면 보안 측면에서는 가장 취약한 구조를 갖고 있습니다.
개인정보보호법 위반으로 과징금을 부과받는 기업 중 상당수는 고의로 정보를 유출한 것이 아닙니다. 화면에 표시된 개인정보가 제3자에게 노출되는 것을 막을 기술적 조치를 갖추지 않았다는 이유로 제재를 받습니다. 법이 요구하는 것은 결과뿐 아니라 과정이며, 그 과정에는 화면 보안이 포함됩니다.
보안 사고는 외부 공격자만의 이야기가 아닙니다. IBM과 Ponemon Institute의 조사에 따르면 내부자 관련 사고의 평균 비용은 건당 1,600만 달러를 넘으며, 사고의 절반 이상이 악의 없는 부주의에서 비롯됩니다. CISO에게 내부자 위협은 가장 다루기 어려운 영역 중 하나입니다. 대응책을 너무 강하게 적용하면 업무 효율이 떨어지고, 느슨하게 두면 언제 어디서 유출이 발생할지 모릅니다.
기업의 정보 유출 방어 체계를 이야기할 때, DLP(Data Loss Prevention)는 빠지지 않는 키워드입니다. 그러나 최근 들어 "DLP를 도입했는데 유출이 발생했다"는 사례가 꾸준히 보고되고 있습니다. 이 글에서는 기존 DLP가 실제로 무엇을 막는지, 그리고 어디서부터 사각지대가 시작되는지를 기술적으로 살펴봅니다.