Axipro의 CEO 겸 창립자 Ali Hayat – 인터뷰 시리즈

Ali Hayat는 Axipro의 CEO 겸 창립자로, 산업 위험 관리와 ISO 심사 분야의 경력에 사이버 보안 및 컴플라이언스 컨설팅 경험을 더해 왔습니다. 그는 초기에 안전, 규제 요건, 운영 위험이 핵심 과제였던 고위험 산업 현장에서 일했습니다. 이후 외부 투자 없이 Axipro를 설립해, 성장하는 기업이 실질적인 보안 통제를 도입하고 심사에 대비하며 새롭게 대두되는 AI 위험을 관리하도록 지원하는 데 주력했습니다.

Axipro는 사이버 보안 및 컴플라이언스 컨설팅 회사로, SOC 2, ISO 27001, ISO 42001을 비롯한 프레임워크와 데이터 보호 요건에 따라 조직을 지원합니다. Axipro는 컨설팅, 컴플라이언스 자동화, 심사 준비, 보안 테스트를 결합해 제공하며, 지속적인 모니터링과 사람의 감독을 중시합니다. 이번 인터뷰에서 Hayat는 AI 기반 컴플라이언스 업무 흐름, 섀도 AI, 자율 에이전트의 위험, 지역별 거버넌스 차이, 인증과 사이버 보안 복원력 사이의 간극에 관해 이야기합니다.

귀하는 사우디 아람코, ADNOC, TotalEnergies와 관련된 프로젝트를 수행하며 안전, 위험 관리, 규제 준수가 중요한 고위험 산업 현장에서 경력을 시작했습니다. 산업 안전과 심사 분야에서 사이버 보안으로 전환하게 된 계기는 무엇이며, 궁극적으로 Axipro를 창립하게 된 동기는 무엇인가요?

품질 관리 업무를 하면서 시장에 공백이 있다는 것을 알게 되어 Axipro를 창립했습니다. 2021년에는 새롭게 등장한 여러 사이버 보안 플랫폼이 반자동 SOC 2 및 ISO 27001 컴플라이언스 플랫폼을 출시하는 것을 보았습니다.

이 플랫폼들이 기술팀의 컴플라이언스 부담을 상당 부분 덜어 주기는 했지만, 여전히 설정과 유지 관리가 필요하다는 점이 분명해졌습니다. 성장에 발맞추기도 버거운 스타트업은 컴플라이언스를 지속적으로 관리해 줄 사람 중심의 팀에 비용을 지불할 의향이 있었습니다. 그렇게 Axipro가 탄생했습니다.

그리고 2022년, 최초의 AI 플랫폼이 출시됐습니다. 또 한 번의 깨달음의 순간이었습니다. 업계의 많은 사람이 일자리를 잃을까 우려했지만, 저는 이것이 엄청난 기회라는 사실을 곧바로 깨달았습니다. AI로 사이버 공격이 기하급수적으로 늘어날 가능성이 높았고, 이에 대응해 스타트업의 보안 및 컴플라이언스 요구를 이끌어 줄 숙련된 인력이 필요할 것이었습니다.

현재 저희는 Drata 엘리트 파트너이자 Vanta 우선 파트너이며, 300곳이 넘는 기업이 주요 사이버 보안 및 AI 표준을 준수하도록 지원했습니다.

외부 투자 없이 Axipro를 처음부터 직접 세워 수백 곳의 고객에게 서비스를 제공하는 국제 컨설팅 회사로 성장시켰습니다. 사이버 보안 사업을 자력으로 키우면서 겪은 가장 큰 어려움은 무엇이었나요? 서비스 품질을 유지하면서 운영을 확장하는 데 기술과 자동화는 어떤 도움을 주었나요?

처음 몇 년은 무척 힘들었습니다. 아이를 앞둔 상황에서 저축을 모두 써야 했던 때부터 최초의 AI 모델이 업계를 장악하는 모습을 지켜본 때까지, 처음 2~3년이 지금 제 머리에 난 흰머리의 원인일 겁니다.

이미 탄탄한 평판과 큰 사무실, 막대한 마케팅 예산을 갖춘 몇몇 거대 기업과 경쟁하고 있었습니다. 저는 바레인에 기반을 두고 있었고 품질 관리 분야의 경력이 있었으며, 마케팅 예산은 0이었습니다.

저는 정반대의 길을 택했습니다. 조직을 작고 효율적으로 운영하면서 대형 경쟁사보다 낮은 가격을 책정했습니다.

그 덕분에 신규 고객을 많이 확보했지만, 수익률은 낮았습니다. 현금 흐름 관리는 거의 예술의 경지에 이르렀고, 처음 2년은 간신히 버텼습니다. 여러 프레임워크를 아우르는 첫 5자리 금액 규모의 계약을 따내면서 모든 것이 달라졌습니다. 그 계약으로 한숨 돌릴 여유가 생겼고, 처음으로 정규직 직원을 채용할 수 있었으며, 파트너십과 추천 이외의 마케팅도 고민하기 시작했습니다.

Axipro는 디지털 전환과 자동화를 통해 복잡한 컴플라이언스 프레임워크를 간소화하는 데 주력합니다. 인공지능은 기존의 컴플라이언스 업무 흐름을 어떻게 바꾸고 있으며, AI를 활용해 효율성을 가장 크게 높일 수 있는 활동은 무엇이라고 보시나요?

컴플라이언스 업계는 AI의 큰 혜택을 받았습니다. 이전에는 증거 자료를 수집하고 매핑하는 일, 보안 설문에 답변하는 일, 정책 초안을 작성하는 일처럼 반복적인 업무에 많은 시간을 들였습니다. 이제 이런 업무는 거의 모두 자동화됐습니다. AI는 사이버 보안 및 컴플라이언스 위험을 지속적으로 모니터링하고 위험 신호를 포착하는 일도 가능하게 했습니다.

이제 AI는 컴플라이언스 프로세스의 거의 모든 단계에 관여합니다. 신규 고객사를 온보딩하면 사내 AI가 해당 기업의 업종, 규모, 소재지를 바탕으로 자동 위험 평가를 수행합니다. 과거 프로젝트의 방대한 데이터베이스를 활용해 잠재적 위험과 경고 신호를 자동으로 찾아낼 수 있습니다. 이것이 AI가 더해 주는 가장 큰 가치라고 할 수 있습니다.

사이버 공격자들도 AI의 혜택을 입었으며, 공격은 기하급수적으로 증가했습니다. 한쪽에서는 저희 같은 기업이 자동 위협 탐지 기술을 개발하고, 다른 쪽에서는 해커들이 공격을 자동화하는 일종의 AI 대 AI 군비 경쟁이 벌어지고 있습니다.

이럴 때 사람의 판단이 필요하며, 이는 저희 업무 방식의 핵심입니다. AI가 반복 업무를 처리하고 운영 효율성을 높여야 사람이 위협을 판단하고 대응하는 데 집중할 수 있습니다.

많은 조직은 여전히 사이버 보안 규정 준수를 감사 준비에 초점을 둔 주기적인 업무로 여깁니다. Drata와 같은 AI 기반 도구와 지속적 모니터링 플랫폼은 이러한 접근 방식을 어떻게 바꾸고 있으며, 지속적 규정 준수로의 전환은 기업에 어떤 의미가 있나요?

제가 규정 준수 업무를 시작했을 때는 누구나 감사 시즌을 두려워했습니다. 기업들은 한 해 대부분 통제 항목을 외면하다가 감사 마감일이 다가오면 스크린샷과 로그를 확보하느라 몇 주씩 허둥댔습니다. 그날 기준으로 규정을 준수하면 통과였고, 사실상 그게 전부였습니다.

Drata와 유사한 플랫폼이 이러한 상황을 바꿨습니다. 이런 플랫폼은 기업의 클라우드 및 인사 관리 도구에 연결해 매일 통제 항목을 점검합니다. 누군가 다중 인증(MFA)을 꺼 놓거나 퇴사한 직원이 여전히 접근 권한을 가지고 있으면 즉시 확인되며, 저희 팀은 바로 문제를 해결합니다.

기업에서 규정 준수는 더 이상 연례 프로젝트가 아니라 일상적인 운영의 일부가 됐습니다. 감사는 더 짧고 저렴해졌으며, 영업팀은 기업 고객이 요청할 때 보안 현황을 보여 줄 수 있어 거래를 더 빠르게 성사시키는 데 도움이 됩니다.

데이터 프라이버시와 사이버 보안은 민감한 업종에서 일하기 위한 요건에서 부가 가치를 제공하는 마케팅 자산으로 서서히 바뀌고 있습니다.

조직이 보안 문서를 작성하고, 위험을 평가하고, 규정 준수 증거를 검토하는 데 점점 더 AI에 의존하면서 이러한 시스템이 정확하고 신뢰할 수 있는 결과를 내도록 하려면 어떻게 해야 할까요? 감사와 인증 절차에서 인간의 전문성이 반드시 필요한 부분은 어디일까요?

AI는 그럴듯하게 들리는 문서를 작성하는 데 매우 능숙합니다. 정책 문서가 완벽해 보여도 실제로는 회사에 존재하지 않는 절차를 설명할 수 있습니다.

저희는 AI가 초안을 작성하고 문제를 표시하면, 팀원이 고객이나 감사인에게 전달하기 전에 모든 내용을 확인하는 방식으로 처리합니다. AI가 작성한 내용은 근거가 되는 증거도 제시해야 하며, 그래야 저희가 검증할 수 있습니다.

내부 및 외부 감사에서는 제가 분명한 선을 긋습니다. 감사인은 자신의 이름과 직업적 평판을 걸고 승인합니다. AI는 증거를 더 빠르게 검토하도록 도울 수 있지만, 기업의 인증 여부는 사람이 결정해야 합니다. 책임지는 사람이 없다면 인증서의 가치는 사라집니다.

Axipro는 AI 관리 시스템에 관한 국제 표준인 ISO 27001, SOC 2, ISO 42001 등의 표준을 준수하려는 조직을 지원합니다. 기업이 책임 있는 AI 거버넌스를 구축하려 할 때 어떤 새로운 과제에 직면하며, AI 관련 위험 관리는 기존 정보 보안 규정 준수와 어떻게 다른가요?

저희가 대화하는 기업 대부분은 자신들이 AI를 얼마나 많이 사용하는지조차 모릅니다. 이를 가리키는 용어가 ‘섀도 AI’입니다.

마케팅팀은 도구 하나에 가입하고, 개발자들은 모델을 제품에 연결하며, 재무팀 누군가는 스프레드시트를 챗봇에 붙여 넣습니다. 이 중 악의적인 의도를 가진 사람은 없습니다. 모두 더 빠르게 일하려는 것이고, AI 도구는 저렴하고 빠릅니다. 하지만 이로 인해 회사 데이터가 쉽게 노출될 수 있습니다.

대부분의 ISO 42001 및 AI 규정 준수 프로젝트에서 가장 먼저, 그리고 가장 중요하게 해야 할 일은 이 모든 사용 현황을 파악하는 것입니다. 저희는 경비 보고서, 소프트웨어 가입 내역, 네트워크 데이터를 살펴보고 각 팀과 이야기해 실제로 일상 업무에서 무엇을 사용하는지 확인합니다. 이렇게 정리한 목록은 거의 언제나 예상보다 깁니다.

AI를 금지하는 것은 효과가 거의 없고 오히려 역효과를 낳으며 비효율적입니다. 저희는 고객이 AI 모델이 제공하는 효율성을 활용할 수 있기를 바랍니다. 더 나은 방법은 직원에게 업무에 적합한 승인된 도구를 제공하고, 도구에 입력할 수 있는 데이터에 관한 명확한 규칙을 정하며, 새 도구를 쉽게 요청할 수 있도록 하는 것입니다.

AI 거버넌스는 정보 보안 분야에서 이전까지 다룰 필요가 없었던 질문도 제기합니다. ISO 27001에서는 주된 관심사가 권한이 없는 사람이 데이터에 접근하지 못하도록 하는 것입니다. ISO 42001에서는 여기에 더해 AI가 적절하게 작동하는지, AI의 결정을 설명할 수 있는지, AI가 잘못된 결과를 냈을 때 누가 책임지는지도 알아야 합니다.

이러한 위험은 더 빠르게 변하기도 합니다. 공급업체가 하룻밤 사이에 모델을 업데이트해, 여러분이 아무것도 건드리지 않았는데도 제품의 작동 방식이 달라질 수 있습니다.

이미 ISO 27001을 갖춘 기업은 유리한 위치에서 시작합니다. 두 표준은 동일한 경영 시스템 구조를 사용하므로, 기반 작업의 상당 부분이 이미 끝난 상태입니다.

민감한 정보에 접근하고, 기업 시스템과 상호 작용하며, 업무 프로세스를 실행할 수 있는 자율 AI 에이전트가 등장하면서 조직은 어떤 새로운 사이버 보안 및 규정 준수 위험에 대비해야 할까요? 기존 보안 프레임워크는 자율성이 점점 커지는 이러한 시스템에 대응할 수 있을까요?

에이전트는 제가 지금 가장 주의 깊게 지켜보는 분야입니다. 일반 소프트웨어는 지시받은 대로만 작동합니다. 에이전트는 스스로 결정을 내리며, Hugging Face 사고에서 보았듯 속임수에 넘어갈 수도 있고 다른 이를 속일 수도 있습니다.

저희가 가장 흔하게 목격하는 위험은 프롬프트 인젝션입니다. 공격자는 이메일이나 PDF에 지시를 숨길 수 있으며, 에이전트가 이를 읽으면 부여받은 접근 권한을 이용해 해당 지시를 따릅니다.

두 번째 위험은 기업들이 더 쉽다는 이유로 에이전트에 지나치게 많은 접근 권한을 부여한다는 점입니다. 직원들은 전용 계정 대신 자신의 이메일 계정을 통해 AI 에이전트에 접근 권한을 부여하는 경우가 많아, 변경을 사람과 봇 중 누가 했는지 파악하기가 매우 어려워집니다. 로깅까지 부실하다면 에이전트가 무슨 일을 했는지조차 알지 못할 수도 있습니다.

ISO 27001과 SOC 2는 여전히 접근 제어와 로깅 같은 기본 사항을 다루고, ISO 42001은 AI 측면의 관리에 도움이 됩니다. 하지만 이들 표준은 어느 것도 자율형 에이전트를 염두에 두고 만들어지지 않았으며, 조만간 새로운 지침이 나올 것으로 예상합니다.

AIUC-1은 AIUC-1을 위한 선도적 표준으로 부상하고 있으며, 우리는 이를 도입할 수 있도록 직원 교육을 막 시작했습니다. 고객들과 이와 관련해 몇 차례 논의했지만, 아직 제시할 사례 연구는 없습니다. 대형 사이버 보안 기업들의 강력한 지지도 받고 있어, 이 프레임워크가 선도적인 AI 에이전트 표준으로 자리 잡을 것으로 예상합니다.

중동, 유럽, 미국 전역에서 일하면서 서로 다른 규제 환경과 위험 관리 방식을 접해 오셨습니다. 지역별 AI 거버넌스와 데이터 보호의 차이는 기업의 AI 도입 방식에 어떤 영향을 미치고 있으며, 여러 관할권에서 사업을 운영하는 조직은 어떤 어려움에 직면하나요?

바레인에 거주하면서 유럽과 미국의 고객들과 일하다 보니, AI 규정이 서로 수렴할 것이라는 기대를 접었습니다. 오히려 각 지역은 더욱 멀어지고 있습니다.

유럽은 법률을 통해 규제합니다. EU AI법은 AI 시스템을 위험도에 따라 분류하고 각 범주에 요구되는 사항을 규정하므로, 유럽 기업들은 신중하게 움직이고 모든 것을 문서화하는 경향이 있습니다. 미국에는 연방 차원의 AI 법률이 없으며, 대부분의 규제는 시장에 맡겨져 있습니다. 구매자들은 계약에 NIST의 AI 위험 관리 프레임워크(AI RMF) 같은 프레임워크를 요구하고, 나머지는 책임 소재를 통해 보완됩니다. 중국은 기술이 새로운 위험을 일으킬 때마다 새 규칙을 만드는 세 번째 방식을 택하고 있습니다.

제가 가장 흥미롭게 보는 곳은 걸프 지역입니다. 예를 들어 사우디아라비아에는 아직 여러 분야에 두루 적용되는 AI 법률이 없습니다. 구속력 있는 규정 대부분은 데이터 보호법과 정부 조달에 포함되어 있는데, 이 지역에서 기술을 가장 많이 구매하는 주체가 정부이기 때문입니다. 준수해야 할 사항은 고객이 누구인지에 따라 크게 달라집니다. 사우디 규제 기관인 SDAIA가 2024년에 직접 ISO 42001 인증을 취득했을 때, 이는 시장에 입찰에서 어떤 표준을 요구할지 알려 주는 신호였습니다.

가장 어려운 점은 기업이 이 지역들 가운데 두 곳 이상에서 사업을 운영할 때 발생합니다. 유럽에 제품을 판매하는 리야드의 SaaS 기업은 EU의 기술 요건을 충족하고도 사우디아라비아의 데이터 등록 및 이전 규정을 지키지 못할 수 있습니다. 어느 쪽도 상대방의 서류를 인정하지 않습니다.

우리의 접근 방식은 ISO 27001과 함께 ISO 42001을 기반으로 삼아 여러 지역에서 통용되도록 하고, 그 위에 각 지역의 요건을 추가하는 것입니다. ISO 42001만으로 어느 곳에서든 법적 요건을 충족할 수 있는 것은 아니지만, 이 모든 지역이 받아들이는 공통 언어에 가장 가까운 기준입니다.

보안 인증을 취득하는 것과 실질적인 사이버 보안 회복력을 유지하는 것 사이에는 흔히 상당한 격차가 있습니다. 조직은 AI와 자동화를 어떻게 활용해 체크리스트를 채우는 데 그치는 규정 준수를 넘어, 새롭게 등장하는 위협에 지속적으로 대응하는 보안 관행을 구축할 수 있을까요?

새로 발급받은 SOC 2 보고서를 갖고 있으면서도 아무도 알아채지 못한 기본적인 보안 취약점이 남아 있는 기업들을 봤습니다. 이들의 목표는 감사를 통과하는 것이었습니다. 인증서는 기업이 특정 날짜에 표준을 충족했다는 사실을 보여 주지만, 공격을 막을 수 있는지는 보여 주지 않습니다.

이를 넘어서려면 각 통제가 실제 테스트에서도 견뎌 낼 수 있는지 물어야 합니다. 여기서 자동화가 큰 도움이 됩니다. 지속적인 모니터링은 문제가 아직 작을 때 발견하게 해 주고, 최신 위협 데이터는 위험 평가가 공격자들의 현재 활동을 반영하도록 합니다. 정기적인 침투 테스트와 공격 시뮬레이션을 통해서는 통제가 실제 상황에서 효과가 있는지 확인할 수 있습니다.

올해 CREST 인증을 취득한 것도 그런 노력의 일환이었습니다. 고객의 보안을 테스트하고 그 결과를 문서화하고자 했습니다.

앞으로 3~5년을 내다볼 때, AI가 사이버 보안 및 규정 준수 컨설팅 업계를 어떻게 변화시킬 것으로 보시나요? AI 에이전트가 결국 대부분의 일상적인 규정 준수 업무를 자율적으로 처리하게 될까요? 또한 이러한 기술이 성숙해짐에 따라 Axipro는 어떻게 발전할 것으로 보시나요?

AI 에이전트는 5년 안에 증거 수집, 정책 업데이트, 보안 설문지 작성 같은 일상적인 규정 준수 업무 대부분을 처리하게 될 것이라고 생각합니다. 뚜렷한 전문성 없이 이런 업무에 시간당 요금을 청구해 수익을 내는 기업들은 어려움을 겪을 것입니다.

하지만 에이전트가 규정 준수를 전적으로 맡게 되리라고는 생각하지 않습니다. AI가 더 많은 일을 맡을수록 남은 의사 결정은 더욱 중요해집니다. 감사 결과를 최종 승인하고 문제가 생겼을 때 그 여파를 처리할 사람은 여전히 필요합니다. 공격자들도 AI를 사용하는 만큼, 숙련된 방어 인력에 대한 수요는 계속 늘어날 것입니다.

Axipro에서는 문서 작업에 쓰는 시간을 줄이고 고객 자문과 보안 테스트에 더 많은 시간을 들이게 될 것으로 봅니다. 사내 AI가 더 많은 서비스 제공 업무를 맡고, 팀은 인간의 판단이 필요한 의사 결정에 집중할 것입니다. 2022년만 해도 많은 사람이 AI 때문에 우리 같은 회사가 불필요해질 것이라고 생각했습니다. 지금까지는 정반대였습니다. 우리는 매달 10% 이상 성장하기도 했고, 때로는 감당할 수 있는 것보다 일이 많을 정도였습니다. 앞으로 상황이 한가해질 것으로도 예상하지 않습니다.

훌륭한 인터뷰에 감사드립니다. 사이버 보안 규정 준수, AI 거버넌스, 지속적인 보안 체계 구축에 대해 더 알고 싶은 독자라면 Axipro를 방문해 보시기 바랍니다.