진정으로 행동을 바꾸는 경영진 KPI: 컴플라이언스를 넘어서

By Mirko Peters · 2026-08-11

보안 리더와 데이터 아키텍트 여러분, 다시 찾아주셔서 감사합니다! 매주 몇 시간씩 CISO, SOC 리드, 엔터프라이즈 아키텍트와 대화를 나누는 팟캐스트 진행자로서, 같은 고충을 계속 듣고 있습니다. 경영진은 표준 보안 대시보드를 열고 초록색 체크 표시가 가득한 것을 보면서 조직이 안전하다고 생각합니다. 그러는 동안 정교한 피싱 캠페인은 매일 경계 통제를 우회하고 있으며, 보고되는 지표는 기업의 행동을 바꾸거나 실제 방어 태세를 개선하는 데 아무 역할도 하지 못하고 있습니다. 이제 내부를 들여다보고, 실제로 의미 있는 보안 결정을 이끌어 내는 경영진용 텔레메트리를 어떻게 구축할 수 있는지 이야기할 때입니다.

Automatically translated with AI from the original post. Read the English original

보안 리더와 데이터 아키텍트 여러분, 다시 찾아주셔서 감사합니다! 매주 몇 시간씩 CISO, SOC 리드, 엔터프라이즈 아키텍트와 대화를 나누는 팟캐스트 진행자로서, 같은 고충을 반복해서 듣고 있습니다. 경영진은 표준 보안 대시보드를 열고 초록색 체크 표시가 가득한 것을 보면서 조직이 안전하다고 생각합니다. 그러는 동안 정교한 피싱 캠페인은 매일 경계 통제를 우회하고 있으며, 보고되는 지표는 기업의 행동을 바꾸거나 실제 방어 태세를 개선하는 데 아무 역할도 하지 못합니다. 이제 내부를 들여다보고, 실제로 의미 있는 보안 결정을 이끌어 내는 경영진용 텔레메트리를 어떻게 구축할 수 있는지 이야기할 때입니다.

서론: 컴플라이언스와 허영 지표를 넘어서

수년간 경영진 보고는 컴플라이언스의 악순환에 갇혀 있었습니다. 중요한 것이 아니라 세기 쉬운 것을 보고해 왔습니다. 차단된 이메일 총 개수, 스캔한 취약점 총 개수, 종결한 티켓 총 개수는 전형적인 허영 지표입니다. 이런 지표는 리더십에게 안심을 주지만 조직의 위험에 대해서는 아무런 통찰도 제공하지 않습니다. 이사회나 경영진 위원회가 게이트웨이에서 수백만 건의 스팸 이메일을 막았다는 사실로 보안 프로그램을 평가한다면, 여러분은 신호가 아니라 노이즈를 측정하고 있는 것입니다. 진정한 경영진 KPI는 행동을 바꾸고, 운영상의 병목을 드러내며, 실제 노출이 있는 곳으로 자원을 재배분하도록 만들어야 합니다. 저수준 SecOps 텔레메트리와 고수준 비즈니스 위험 사이의 간극을 메워야 합니다.

숨겨진 계층: Microsoft Defender가 실제로 수집하는 것

컴플라이언스를 넘어서려면, 최신 보안 플랫폼이 이미 수집하고 있는 깊은 데이터 계층을 활용해야 합니다. Microsoft Defender 같은 도구는 텔레메트리의 훌륭한 보고(寶庫)이지만, 표준 대시보드는 실제로 일어나는 일의 약 80%를 놓치고 있습니다. 전체 그림을 보려면 숨겨진 계층을 깊이 파고들어야 합니다.

먼저 Threat Explorer를 살펴보십시오. 이곳에서 실제 캠페인 간의 관계를 파악할 수 있습니다. 발신자 인프라, 악성 파일을 매핑하고, 같은 공격 물결에서 조직 내 다른 누가 표적이 되었는지 정확히 추적합니다. 다음으로 AIR(Automated Investigation and Response) 결과를 검토하십시오. AIR는 상관관계가 분석된 조치, 디바이스 및 사서함 범위, 그리고 백그라운드 플레이북이 사람의 개입 없이 위협을 어떻게 해결하는지에 대한 인사이트를 제공합니다. 마지막으로 User Submissions를 활용하십시오. 사용자의 신호는 가장 가치 있는 데이터 소스 중 하나입니다. 사용자 신고는 자동화된 필터가 완전히 놓친 정교한 공격을 자주 드러냅니다. 사용자 제출을 무시하는 것은 최전선의 인적 센서를 무시하는 것과 같습니다.

기존 경영진 대시보드가 무너지는 이유

완벽한 경영진 보고서를 몇 주에 걸쳐 공들여 만들었는데, 다음 플랫폼 업데이트에서 깨져 버린 경험이 있으신가요? 기존 보고 모델은 취약한 기반 위에 만들어져 있기 때문에 무너집니다. 수동 CSV 내보내기와 일회성 스프레드시트에 의존하는 것은 재앙을 부르는 방식이며, 이런 파일은 다음 Defender 스키마 업데이트에서 어김없이 깨집니다.

게다가 필드 이름이 바뀌거나 폐기되는 스키마 드리프트는 하드코딩된 보고서를 즉시 망가뜨립니다. GUID와 사용자 주체 이름(UPN)이 뒤섞이고, API 페이징 누락과 DirectQuery 스로틀링은 끝없는 골칫거리를 만듭니다. 주말에 새로 고침 일정이 실패하면, 월요일 아침 경영진 회의는 오래되고 잘못된 데이터로 시작하게 됩니다. 아키텍처가 임시방편에 의존한다면, 실제 엔터프라이즈 데이터 규모의 무게에 무너지고 말 것입니다.

복원력 있는 프레임워크 설계: 커넥터에서 데이터 모델까지

스키마 변경과 진화하는 공격 전술을 견디는 대시보드를 구축하려면 체계적인 4단계 프레임워크가 필요합니다. 먼저 신뢰할 수 있는 커넥터가 필요합니다. 적절한 앱 등록, OAuth, 범위가 지정된 권한으로 Defender API를 활용하고, 전체 페이징과 견고한 백필 기간을 구현하도록 하십시오.

둘째, 복원력 있는 데이터 모델을 구축합니다. 사고, 사용자, 디바이스, 사서함, 캠페인을 일관된 스타 스키마로 통합합니다. 서로 다른 식별자를 실제 사람과 디바이스에 매핑하고, 엄격한 데이터 형식과 대리 키(surrogate key)를 적용합니다. 셋째, 우선순위가 지정된 KPI에 집중합니다. 불필요한 지표를 걸러내고, 전략적 의사결정과 자본 투자에 실질적으로 도움이 되는 지표만 추적합니다. 마지막으로, 이상 징후를 먼저 보여주는 레이아웃, 명확한 에스컬레이션 신호, 추세 스파크라인을 갖춘 시각화 템플릿을 정립합니다.

Power BI 통합의 함정 피하기

Power BI는 Microsoft 365 보안 데이터를 시각화하는 데 매우 뛰어난 도구입니다. 하지만 주의할 점을 모르면 통합 과정에서 많은 함정에 빠질 수 있습니다. 인증 정보가 자주 만료되면 예약된 새로 고침이 중단될 수 있으므로, 비밀 값은 반드시 올바르게 교체하고 가능한 한 관리 ID를 사용하십시오. 스키마 드리프트에 효과적으로 대응하려면 데이터 변환을 버전 관리하고, 알 수 없는 값이나 null 값을 안정적으로 처리하는 로직을 포함하십시오.

수동 내보내기와 API 가져오기를 섞어 쓰지 마십시오. 수집 파이프라인을 Power BI 데이터플로에 집중시키십시오. 공격량이 급증할 때 레코드를 놓치지 않도록, 대량 데이터가 발생한 날을 기준으로 페이지 매김 로직을 테스트하십시오. 새로 고침 공백을 줄이려면 일중 가져오기를 예약하고, 주말과 공휴일 활동까지 포착할 수 있도록 델타 로드를 추가하십시오. 성능을 최적화하려면 엄격한 스타 스키마를 유지하고, 증분 새로 고침과 날짜 기준 파티션을 활용하며, 행 수준의 리소스 집약적 계산 열은 철저히 피하십시오.

실제로 보안 행동을 바꾸는 경영진 KPI

이제 핵심으로 들어가 보겠습니다. 경영진 앞에 실제로 어떤 지표를 내놓아야 할까요? 다음 KPI는 질문을 이끌어 내고, 예산을 확보하며, 조직의 행동을 바꾸도록 설계되었습니다.

• 공격 성공률: 기술적 통제를 우회하고 사용자 상호 작용까지 이끌어 낸 피싱 시도의 비율입니다.
• 사용자 클릭 대 신고율: 악성 링크를 클릭한 사용자와 신고한 사용자를 비교한 지표로, 시간에 따른 추이를 추적하여 보안 인식의 성숙도를 측정합니다.
• 조치까지 체류 시간: 최초 탐지부터 완전한 격리까지 걸린 정확한 시간이며, 공격 벡터와 캠페인 유형별로 구분합니다.
• 고위험 대상 노출도: 임원, 재무 팀, 상위 권한 계정을 대상으로 반복적으로 이루어진 표적 공격의 빈도입니다.
• 근접 사고 에스컬레이션 비율: 클릭 이후 차단, Safe Links 개입, 대형 사고를 막은 최종 단계의 기술적 조치를 추적합니다.
• 캠페인 추세선: 공격자가 링크에서 첨부 파일이나 BEC(Business Email Compromise, 비즈니스 이메일 침해)로 이동하고 있는지 주간 단위로 비교하여 보여줍니다.
• 자동화 효과: AIR의 폐루프 해결률을 수동 SecOps 재정의 빈도와 함께 비교하여 평가합니다.

시각화 신호: 이상 징후 우선 대시보드 레이아웃 구축

데이터를 보여주는 방식은 데이터 자체만큼 중요합니다. 경영진은 인지 부하가 높으므로, 대시보드 레이아웃은 조치가 필요한 곳에 시선이 바로 가도록 구성해야 합니다. 이상 징후와 중요 경고는 왼쪽 상단에 배치하고, 안심용 총계는 오른쪽 하단으로 내리십시오.

색상은 아껴서 사용하고, 체류 시간 급증이나 SLA 위반을 강조하는 등 긴급성을 나타내는 데에만 엄격히 사용하십시오. 빠른 추세 분석을 위해 스파크라인을, SLA 준수 상태를 위해 상태 배지를, 반복되는 기업 대상 표적에는 경고 플래그를 포함하십시오. 마지막으로, 경영진이 꼭 알아야 할 두 가지 질문에 답하는 전용 스토리 패널을 추가하십시오. 바로 "이번 주에 무엇이 바뀌었는가?"와 "다음에 무엇을 해야 하는가?"입니다.

지속성과 장기적 성공을 위한 가드레일

보고 인프라가 장기간 신뢰받고 지속 가능하도록 하려면, 엄격한 엔지니어링 가드레일을 마련해야 합니다. 데이터플로와 DAX 측정값은 항상 버전 관리하십시오. 보고서가 깨지기 전에 알림을 받을 수 있도록 새로 고침 파이프라인에 스키마 변경 자동 테스트를 추가하십시오. 모든 KPI 정의는 명확하게 문서화하고, 분기 사이에 몰래 기준을 바꾸거나 목표를 옮기는 일이 없어야 합니다. 마지막으로, 예상 이벤트량이 예기치 않게 줄어들면 즉시 알려 주는 공백 감지기(blackout detector)를 가동하십시오. 이런 현상은 전 세계 사이버 범죄가 갑자기 줄었다기보다, 대개 커넥터가 고장 났다는 신호이기 때문입니다.

즉시 폐기해야 할 안티 패턴

보안 프로그램의 성숙도를 높이고 싶다면, 형편없는 보고 습관은 이제 역사 속으로 보내야 할 때입니다. 첫째, "차단된 이메일"을 성과 자랑거리로 여기는 것을 그만두십시오. 그 수치는 뚫고 들어온 위협에 대해서는 경영진에게 아무것도 알려주지 않습니다. 둘째, 불안정한 수동 내보내기와 자동화된 API 가져오기를 섞어 쓰지 마십시오. 셋째, 위협 환경이 시간 단위로 바뀌는데도 월간 새로 고침에 의존하지 마십시오. 넷째, 시간에 따른 변화를 보여줘야 할 때는 원형 차트를 쓰지 말고, 추세를 나타내는 꺾은선형 차트나 스파크라인을 사용하십시오.

30일 도입 계획

경영진 보고 체계를 전면적으로 개편하는 데 1년짜리 프로젝트가 필요하지는 않습니다. 체계적인 계획을 따른다면 30일 안에 전체 개편을 완료할 수 있습니다.

• 1주차: API 액세스를 설정하고, 데이터 흐름을 구성하고, 페이지 매김 로직을 구축하고, 기준 스타 스키마를 설정합니다.
• 2주차: 데이터 정규화를 처리하고, GUID를 UPN으로 엔터티 식별자를 매핑하고, 첫 번째 실질적인 행동 KPI 세트를 계산합니다.
• 3주차: 경영진 페이지와 SOC 운영 뷰를 구축하고, 이상 징후 규칙을 구현하고, 증분 새로 고침을 구성합니다.
• 4주차: 새 모델을 이전 분기 데이터로 백테스트하고, 드릴스루 페이지를 구축하고, 운영 런북을 작성합니다.

결론

규정 준수 중심의 체크박스에서 벗어나 행동 기반 보안 지표로 옮겨 가는 것이야말로 사이버 방어 프로그램의 성숙도를 끌어올리는 가장 확실한 방법입니다. Microsoft Defender에 숨어 있는 풍부한 텔레메트리를 활용하고, 흔한 Power BI 통합 함정을 피하고, 체류 시간, 고위험 엔터티 노출, 실제 공격 성공률 같이 실행 가능한 KPI에 집중하면, 대시보드를 수동적인 표시 화면에서 능동적인 의사 결정 엔진으로 바꿀 수 있습니다. 탄력적인 피싱 보고서를 만들고 이 텔레메트리를 제대로 익히는 방법을 더 알고 싶다면, 관련 에피소드 Build Better Phishing Reports with Defender and Power BI도 꼭 확인해 보십시오. 더 스마트하게 계속 구축하시고, 안전하게 지내시기 바랍니다. 다음 에피소드에서 뵙겠습니다!