AI SOC 준비는 AI 도입 이전부터 시작되어야 합니다.

AI SOC 준비는 AI 도입 이전부터 시작되어야 합니다.

지금 모든 보안 책임자들은 비슷한 질문을 받고 있습니다. 바로 "SOC를 위한 AI 전략은 무엇입니까?"라는 질문입니다. 이 질문에 답해야 한다는 압박감은 상당합니다. 경고 발생량은 계속 증가하고 있지만 분석가 인력은 그 속도를 따라가지 못하고 있으며, 벤더들은 AI를 접목한 다양한 솔루션으로 이러한 공백을 메우려 하고 있습니다.

요약하자면: AI 기반 보안 운영 센터(SOC) 도입 준비 상태는 AI 자체보다는 AI가 도입될 보안 운영 및 자동화 환경의 성숙도에 더 크게 좌우됩니다. 먼저 해당 환경을 평가하고, 발견된 격차를 해소한 후에야 AI를 어떻게 활용할지 결정해야 합니다.

그것이 바로 스윔레인의 최근 작품들을 관통하는 주제였습니다. AI SOC 가상 서밋, 두 세션으로 구성된 이 행사는 하나의 아이디어를 중심으로 진행되었습니다. 바로 AI에 대한 논의를 기술적인 측면에서 시작하지 말고, 현재 운영 방식을 솔직하게 살펴보는 것에서 시작하라는 것입니다. 이 행사에서 제시된 단계별 진행 과정과, 실제로 적용해 보면 그 타당성을 확인할 수 있습니다.

1. 신호를 인식하세요

경계 피로감. 분석가들은 업무 부담에 허덕이고 있다. 한때는 완벽해 보였던 자동화 시스템이 이제는 한계에 다다랐다. 도구들이 너무 많아 협업이 오히려 어려워졌다.

이러한 지표들을 SOAR 프로그램의 실패 증거로 받아들이기 쉽지만, 대개는 그렇지 않습니다. 경고량, 환경 복잡성, 운영 요구 사항은 모두 증가하는 반면, 초기 소규모 문제를 위해 구축된 자동화 시스템은 대략 같은 규모를 유지하기 때문입니다.

중요한 차이점은 다음과 같습니다. 방대한 자동화 플레이북 라이브러리를 보유하는 것과 운영 규모에 맞춰 확장 가능한 자동화 전략을 갖는 것은 별개의 문제입니다. 팀은 상당한 규모의 자동화를 운영하더라도 한계에 부딪힐 수 있는데, 이는 자동화 규모 자체가 문제가 아니라 해당 자동화가 현재 조직의 규모, 복잡성, 그리고 운영 속도에 맞춰 구축되었는지 여부에 달려 있습니다.

당신이 느끼는 마찰은 과거의 결정에 대한 판결이 아닙니다. 그것은 다음에 어디를 살펴봐야 할지에 대한 정보입니다.

2. 처음부터 다시 시작하지 않고 현대화하기

확장성이 떨어지면 본능적으로 기존 시스템을 완전히 버리고 처음부터 다시 시작하려는 경향이 있습니다. 특히 공급업체들이 "기존 SOAR 방식과의 완벽한 단절"을 제안할 때는 더욱 그렇습니다. 하지만 그런 본능에 저항하십시오.

확정적 플레이북은 정의된 프로세스를 나타냅니다. 즉, 조직이 특정 보안 프로세스를 어떻게 실행해야 하는지 파악하기 위해 이미 수행한 작업을 의미합니다. 이는 조직 내부 지식이며, 새로운 기술이 등장했다고 해서 그 가치가 떨어지는 것은 아닙니다.

대신 이렇게 물어보세요: "어떻게 처음부터 다시 시작해야 할까?"가 아니라 "이미 효과적인 것은 무엇이고, 한계에 부딪히는 부분은 어디이며, 무엇을 발전시켜야 할까?"라는 질문입니다.“

이는 현대화를 완전히 처음부터 다시 시작하는 것이 아니라, 이미 존재하는 것을 기반으로 구축하는 로드맵으로 전환하는 것을 의미합니다. 진행 과정은 다음과 같습니다.

1. 결정론적 플레이북. 이미 실행 중인 기존 프로세스입니다.
2. 현대화된 프레임워크. 더 큰 확장성과 유연성을 위해 구축된 환경에서 동일한 프로세스가 실행됩니다.
3. AI 에이전트를 위한 안전장치. 인공지능이 참여하는 영역과 자율성의 정도를 의도적으로 설정한 출발점.

성숙한 운영 환경에서는 결정론적 자동화와 인공지능 중 하나를 선택할 필요가 없습니다. 각각의 방식이 실제로 적합한 곳에 활용합니다.

3. 기준선 설정

AI가 무언가를 개선했는지 여부를 판단하기 전에, "이전"의 상황이 어떠했는지 명확하게 파악해야 합니다. 그러려면 다소 흥미롭지 않은 몇 가지 질문에 답해야 합니다.

• 알림 수신 경로는 무엇인가요?
• 데이터는 실제로 어떤 방식으로 접근하나요? API, 웹훅, 이메일 중 어떤 방식을 사용하나요?
• 현재 다양한 경보 유형에 대해 어떤 결과가 나타나고 있습니까?
• 오늘 MTTD와 MTTR은 얼마인가요?
• 기존 지원을 통해 자동으로 종료되는 알림의 비율은 몇 퍼센트입니까?

이 단계를 건너뛰면 AI 투자로 인한 성과를 입증할 방법이 없습니다. 측정 기준이 없기 때문입니다.

4. 전체 SOC가 아닌 특정 사용 사례를 기준으로 준비 상태를 평가하십시오.

“"SOC에서의 AI"는 하나의 역량이 아니므로 "우리는 AI를 도입할 준비가 되었습니까?"라는 질문은 사실상 적절한 질문이 아닙니다. AI 기능은 AI 지원 또는 에이전트 기반 조사, AI 지원 플레이북 및 통합 구축, 그리고 사건 참조 및 도구 호출과 같은 어시스턴트형 기능 등 여러 범주로 나뉩니다. 준비 상태는 전체 운영에 대해 한 번에 결정하는 것이 아니라 각 기능별로 개별적으로 평가해야 합니다.

그 차이점이 중요한 이유는 잘못된 질문에 갇히기 쉽기 때문입니다.

• 우리는 인공지능을 가지고 있을까요?
• 우리는 인공지능을 평가하고 있는 걸까요?
• 사용 사례를 선택했나요?

그런 질문들은 대답하기 쉽지만, 실제로는 아무것도 알려주지 않습니다. 오히려 무언가를 드러내는 질문들은 더 어렵습니다.

• 개선하려는 프로세스는 어느 정도 성숙 단계에 있습니까?
• 이들을 지원하는 자동화 시스템은 어느 정도 완성도가 높습니까?
• 운영이 이미 잘 작동하는 부분은 어디이고, 실제적인 부족한 부분은 어디인가?

준비 상태는 생각만큼 주관적인 개념이 아닙니다. 명확한 목표와 성공 지표, 문서화되고 반복 가능한 프로세스, 고품질의 접근성 있는 데이터, 탄탄한 자동화 기반, 보안, 위험 및 규정 준수 전반에 걸친 거버넌스 일관성, 그리고 명확하게 정의된 분석가 감독 체계와 같은 구체적이고 검증 가능한 특징으로 나타납니다. 준비된 조직은 일반적으로 이해관계자의 승인을 받고, 우수한 경고 품질을 확보하며, 잘 문서화된 운영 매뉴얼을 갖추고 있습니다. 반면 준비되지 않은 조직은 목표가 불분명하고, 문서가 부실하며, AI 이니셔티브에 필요한 도구나 교육을 위한 예산이 마련되어 있지 않은 경우가 많습니다. 이러한 사실들은 모두 알아두면 유용하며, 실제로 살펴보면 놀라운 일이 아닙니다.

5. AI를 도입하기 전에 부족한 부분을 보완하고, 유용한 것으로 판단되는 부분은 우선적으로 활용하십시오.

대부분의 AI 도입 사례와는 정반대되는 부분이 바로 이것입니다. AI 도입 전에 부족한 부분을 발견하는 것은 결코 부정적인 결과가 아닙니다. 문서 부족, 일관성 없는 알림 품질, 미흡한 데이터 보강, 불명확한 거버넌스 등은 실패가 아니라 발견 사항이며, 바로 이러한 점들을 파악하는 것이 준비성 평가의 목적입니다.

준비 상태를 일회성 관문이 아닌 순환적인 과정으로 간주하십시오.

1. 분석. 환경을 분석하고 프로세스상의 부족한 부분을 찾아내십시오.
2. 계획. 실제 환자 분류 및 대응이 어떤 모습이어야 하는지 문서화하십시오.
3. 구현. 문서화, 보강 및 추가 도구를 통해 맥락을 강화하십시오.
4. 테스트 및 검증. 변경 사항이 실제로 원하는 결과를 가져왔는지 확인하십시오.

그러면 그 과정이 다시 시작됩니다. 이러한 구조가 중요한 이유는 준비 상태는 한 번 취득하는 인증이 아니라 지속적인 실천이기 때문입니다. 준비 상태가 좋다면 전체 SOC를 먼저 손봐야 한다는 부담감 없이, 잘 준비된 프로세스에 하나씩 AI를 도입할 수 있습니다.

6. 인간을 적절하게 참여시키십시오

보안 분야에서 인공지능(AI) 관련 메시지에는 효율성 향상과 분석가 자율성 확보가 동일한 목표이며, AI가 많아질수록 인간의 개입은 자연스럽게 줄어든다는 가정이 깔려 있습니다. 하지만 이는 사실이 아닙니다. 효율성 향상이 반드시 분석가의 감독을 없애는 것을 의미하는 것은 아닙니다.

감독은 전략 수립 초기 단계부터 설계되어야 하며, 문제가 발생한 후에 덧붙여져서는 안 됩니다.

• 내부 문서를 기반으로 작성된 조사 계획은 실행에 옮기기 전에 분석가와 조정 담당자의 검증을 거칩니다.
• 품질 보증 검사는 사람의 개입 없이 종결되거나 분류된 알림에 대해 예약됩니다.
• 실제 복구 작업을 실행하는 것과 같은 고위험 작업에는 사람이 직접 의사 결정에 참여합니다.

목표는 최대한의 자율성이 아닙니다. 특정 프로세스와 위험 프로필에 맞는 적절한 수준의 자율성을 확보하는 것이 목표이며, 이는 의도적으로 판단해야 하는 사항이지, 기본값으로 설정해서는 안 됩니다.

7. 인공지능을 의도적으로 적용하세요

전체적인 진행 과정을 종합해 보면, 운영 기반을 현대화하고, 특정 AI 사용 사례에 대한 성숙도를 평가하고, 평가에서 드러난 격차를 해소한 다음, 나중에 추가하는 것이 아니라 처음부터 감독 기능을 내장하여 AI를 적용하는 것입니다.

그것은 "AI 플랫폼을 구매하고 바로 가동하는 것"보다 시간이 더 오래 걸리는 경로입니다. 하지만 더 지속 가능한 경로이기도 한데, 도입하는 AI가 실제로 이를 지원할 수 있는 기반 위에 놓이기 때문입니다.

보안운영센터(SOC)에서 인공지능(AI)을 통해 가장 큰 이점을 얻을 수 있는 조직은 AI 도입에 가장 빠르게 움직이는 조직이 아닐 수 있습니다. 오히려 보안 운영을 현대화하고, 평가하고, 진정으로 이해하기 위한 노력을 가장 먼저 기울이는 조직일 가능성이 높습니다.

목표는 AI 도입을 서두르는 것이 아닙니다. 조직이 AI를 자신 있게 도입할 수 있도록 보안 운영 기반을 구축하는 것입니다.

전체 대화 내용을 원하시나요? 두 세션 모두 시청하세요 AI SOC 가상 서밋 온디맨드 완전한 현대화 및 준비 태세에 대한 논의를 위해.