AI 시대, CISO는 어떻게 변해야 하는가? 새로운 리스크 평가 프레임워크 필요

AI 시대, 보안 리더십의 새로운 과제

많은 보안 책임자들이 여전히 과거의 틀에 맞춰진 프레임워크로 업무를 수행하고 있다. 수년간 보안 성공의 척도는 감사 통과, 취약점 폐쇄, 규정 준수 같은 고정적인 체크포인트에 있었다. 이러한 지표들은 여전히 유용하지만, 예측 가능한 선형적 위협 환경에서 설계된 것이었다. 그러나如今, 위협 환경은 실시간으로 변화하고 있다. AI는 공격자들이 취약점을 식별하고 악용하는 속도를 가속화하고 있으며, 클라우드 환경과 자율 시스템은 지속적으로 환경을 재편하고 있다.

정적 위험 측정과 동적 위협의 격차

이러한 변화로 인해 위험 측정 방식과 실제 위험 발생 방식 사이에 커다란 간극이 생겼다. 정적인 신호는 끊임없이 변화하는 위협을 따라잡지 못하고 있다. CISO들은 두 가지 압박을 받고 있다. 하나는 증가하는 위험, 다른 하나는 위험 측정을 위한 도구들의 한계다. 전통적인 지표들은 과거의 위협 환경을 반영할 뿐, 현재 보안 리더들이 처한 실태를 제대로 보여주지 못한다.

Anthropic의 Claude Mythos와 AI의 위협 가속화

최근 Anthropic의 Claude Mythos 프리뷰가 공개되며 보안 업계에 경고가 되고 있다. 이 AI 모델은 취약점 발견 능력이 настолько 뛰어났기 때문에 접근이 제한되었다고 보고된다. AI 모델이 보여주는 속도와 규모의 변화는 사이버 보안의 미래를 예고한다. 숙련된 공격자가 며칠 또는 몇 주를 소요하던 작업이 이제는 몇 분 만에, 심지어 인간의 개입 없이도 수행될 수 있게 되었다. 공격자의 능력이 조직의 위험 측정 능력보다 훨씬 빠르게 진화하고 있는 것이다.

정적 평가의 한계: 감사, 대시보드, 펜테스트의 문제점

‘통과된’ 감사는 당신이 어디에 있었는지를 알려줄 뿐, 지금 어디에 있는지는 알려주지 못한다. 보안 포지처 대시보드는 특정 시점의 스냅샷일 뿐, 끊임없이 변화하는 환경을 반영하지 못한다. 그리고 펜테스트는 세계가 끊임없이 변하는 조건 속에서 찍은 한 순간의 사진에 불과하다.

CISO를 위한 5가지 핵심 질문

현재의 변화에 발맞춰 대화를 진화시키지 않는다면 조직은 심각한 블라인드 스팟을 안고 있게 된다. CISO는 다음과 같은 질문을 통해 새로운 리스크 환경에 대응해야 한다.

1. 보고를 기다리지 않고 런타임에서 무엇을 볼 수 있는가?

• 구성 도구: 무엇이 있어야 하는지를 알려준다.
• 런타임 가시성: 무엇이 지금 실제로 일어나고 있는지를 즉시 보여준다.

후속 질문: 클라우드 환경에서 공격자가 lateral movement(수평 이동)를 시작한다면, 몇 분 안에 감지할 수 있는가, 아니면 며칠이 걸리는가?

2. 비인간 ID까지 포함한 전체 식별자 inventories를 보유하고 있는가?

기업 환경에는 직원 외에도 countless identities가 존재한다. 공급업체, 계약자, 서비스 계정, API 키, 자동화 시스템, 머신 ID, 클라우드 프린서플 등이 sprawl(확산)되어 있다. 공격자들은 이러한 확산이 주는 기회를 좋아한다. 악성코드 작성보다 자격 증명을 훔치는 것이 훨씬 쉽기 때문이다.

후속 질문: 인간 및 비인간 ID는 총 몇 개이며, 그중 민감한 데이터에 접근하거나 핵심 인프라를 수정할 수 있는 것은 몇 개인가?

3. 과도한 권한 부여는 어디에 있으며, 얼마나 빠르게 축소할 수 있는가?

과도한 권한을 가진 계정은 마치 마스터 키와 같다. 편리하지만 한 번 노출되면 치명적이다. 최소 권한 원칙은 측정 가능해야 aspiration(희망 사항)이 아니다.

후속 질문: 가장 위험한 접근 경로는 어디이며, 30일 안에 어떤 권한을 제거하거나 제한할 수 있는가?

4. AI를 활용해 노이즈를 줄이고 의사결정을 가속화하는가, 아니면 단순히 새로운 화면을 추가하는가?

많은 보안 팀이 알림 과부하로 어려움을 겪고 있다. AI는 알림을 필터링하고 중요한 위협을 선별하는 데 활용할 수 있다. 그러나 단순히 새로운 대시보드를 추가하는 수준에 그친다면 AI의 진정한 가치를 놓치는 것이다.

5. 위협 모델링이 현실을 반영하고 있는가?

전통적인 위협 모델링은 정적인 위협 시나리오에 기반한다. 그러나 AI와 자동화의 등장으로 위협은 끊임없이 진화하고 있다. CISO는 AI가 초래할 수 있는 새로운 공격 벡터와 공격surface를 재평가해야 한다.

결론: 동적 리스크 관리로의 전환

AI와 클라우드 환경의 급속한 변화는 보안 리스크의 본질을 바꾸고 있다. CISO는 정적 평가 방식에서 벗어나 실시간으로 위협을 모니터링하고 대응할 수 있는 동적 리스크 관리 프레임워크를 도입해야 한다. 이는 단순히 도구나 기술의 문제가 아니라 보안 전략과 리더십의 근본적인 변화가 요구된다. 조직이 새로운 위협 환경에 적응하지 못한다면, 과거의 성공 체크리스트가 미래의 실패로 이어질 수 있다.