보안 부서 ‘번아웃’은 직접적 리스크
에이전트 자동화 더불어 ‘신속화 거버넌스’ 구축 절실

[보안뉴스 강현주 기자] 앤트로픽 새 AI 모델 ‘미토스’(Mythos) 보안 위협 공포가 확산되는 가운데, 핵심 대응 전략으로 ‘속도전’이 부각되고 있다. 이를 위해 AI 기반 보안 자동화 도입, 보안팀 과로나 승인 지연 등 비효율 제거를 위한 조직 재정비 필요성이 제기됐다.

16일 국내외 정보보호최고책임자(CISO)들은 미토스 대응 전략으로 ‘공격보다 빠른 방어’를 공통적으로 꼽고 있다.


[출처: 연합]

이를 실현할 기술적 방안으로 AI를 통한 보안 자동화가 시급하다는 목소리가 커진다. 조직 운영 측면에선 인력 부족으로 인한 보안팀 ‘번아웃’ 방지, 신속한 보안 활동 및 자원 투입을 방해하는 승인 절차 지연 개선 등이 필요하다는 지적이 나온다.

2년 걸리던 공격 20시간으로.. 사람은 못 맞춰
미국 클라우드보안연합(CSA) CISO 커뮤니티가 샌스 인스티튜트(SANS), 오와스프(OWASP) 등 주요 보안 단체들과 함께 14일 발표한 ‘미토스 레디’ 보고서는 미토스 대응을 위한 CISO의 최우선 순위 행동 지침으로 ‘에이전트 도입’을 꼽았다.

보고서는 AI 에이전트를 도입하고, 자사 코드 및 파이프라인에 에이전트를 투입해 내부 코드에 내재화하는 것을 ‘1주일 내로 해야 할 일’로 꼽았다. 보안 담당자들의 속도가 인간의 속도를 넘어설 수 있도록 코딩 에이전트 사용을 공식화 해야 한다는 설명이다.

이어 ‘45일 내로 해야할 일’로 자사 에이전트에 대한 접근 권한 감사 등 방어체계 마련을 제시했다. 에이전트 역시 그 자체로 공격 대상이기 때문이다. 또 에이전트를 활용해 공격 표면이 될 수 있는 모든 자산을 빠른 속도로 파악해야 한다.

보고서에 따르면 취약점이 발견된 이후 공격에 악용되기까지 걸리는 시간은 2018년 2.3년에서 2026년 20시간으로 크게 줄었다. 사람의 대응 속도가 AI의 공격 속도를 따라잡을 수 없기 때문에 AI를 막는 AI의 활용은 이제 필수다.

하지만 기술만으로는 너무 빨라진 AI 공격에 대한 방어 체계를 갖출수 없다. 진화된 기술 도입 못지 않게 중요한 건 ‘조직 재정비’다.

미토스 레디 보고서는 ‘가속화 거버넌스 수립’을 반년 내 확보해야 한다고 강조했다. 보안, 법무, 엔지니어링 간 협력 체계를 구축해 ‘승인 지연’을 막아야 한다. 대응의 발목을 잡는 비효율적 거버넌스로 공격자가 우위를 점하게 해서는 안된다는 설명이다.

특히 보안 인력의 ‘번아웃’은 대응 속도 지연, 실수 및 누락 등 큰 사고로 이어질 수 있다. 충분한 숙련 인력을 두고, 이 인력들이 보안 업무에만 집중할 수 있는 환경을 만드는 것이 중요하다.

“보안팀 지치면 변화의 시대 버텨낼 수 없어”
보고서는 “보안 부서의 번아웃과 인력 이탈은 운영 직접적 리스크”라며 “AI로 인한 이 변화를 헤쳐 나가는 데 필요한 전문성은 매우 귀하며, 단기간에 대체될 수 없다”고 강조한다.

보안 취약점 선별과 복구, 보안 사고 증가, 쏟아지는 패치에 대응하는 보안 인력들을 업무 과중으로 인한 번아웃에서 보호하는 것을 최우선으로 해야 한다는 설명이다.

에이전트를 통한 자동화 역시 번아웃 방지와 연결된다. 또 ‘우선순위 설정’ 역시 인력 가동 효율을 높일 수 있는 전략이다.

AI 공격으로 쏟아질 ‘패치 홍수’에 신속히 대응하는 배포 역량, 공격이 들어온 후에도 피해를 최소화할 수 있는 세그멘테이션, 제로트러스트 구축 등도 대응 전략으로 거론된다.

국내 CISO들 역시 ‘속도전’을 미토스와 같은 AI 위협 대응의 관건으로 꼽는다.

AI 공격 대응을 위한 AI 방어, 리소스 부족 해소, 경영진 인식 변화 등 글로벌 CISO들과 공통적 의견들을 내놓고 있다. 특히 AI 위협을 보안 부서 뿐 아니라 전사 차원에서 인식하고, 대응 체계 마련에 신속한 투자가 이뤄져야 ‘속도전’에서 이길 수 있다는 지적이다.

국내 한 대기업 CISO는 “공격 속도에 맞추기 위해 방어 측면에서도 AI 모델 도입, 자동화된 탐지 및 조치, 행위 기반 통합보안관제 구축이 필수”라며 “보안 부서만의 문제가 아닌 경영진의 인식 변화와 전사적 AI 보안 체크리스트 운영 등이 시급하다”고 말했다.

국내 중소기업 한 CISO는 “법적 책임은 늘었으나 현장에서는 인력과 예산 부족에 시달리고 있으며, 회사마다 사정이 다를텐데 특히 중소기업이나 스타트업 등 투자가 쉽지 않은 곳들은 AI의 위협에 막막하다”며 “이런 기업들을 위해 인프라 지원이 필요하다”고 했다.

한국정보보호산업협회 17대 회장을 지낸 조영철 파이오링크 대표는 “AI 에이전트를 통한 자동화를 서둘러야 하지만, 취약점이 바로 발견이 돼도 패치 등은 어려운 과정을 거쳐야 하며 직접적 패치가 어려운 경우도 많다”며 “권한 통제 등 기본 보안 원칙을 강화하는 투자와 전사적으로 민첩한 거버넌스 체계 마련이 필요하다”고 말했다.

[강현주 기자(jjoo@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>