Nick Kathmann, LogicGate의 CISO/CIO – 인터뷰 시리즈

니콜라스 카트만은 LogicGate의 정보 보안 책임자(CISO)이며, 회사 정보 보안 프로그램을 이끌고, 플랫폼 보안 혁신을 감독하며, 고객과 사이버 보안 위험 관리에 대해 협력합니다. IT에서 20년 이상, 사이버 보안에서 18년 이상의 경험을 가지고 있는 카트만은 소규모 비즈니스와 포춘 100 기업을 위한 보안 운영을 구축하고 이끌어 왔습니다.

LogicGate는 조직이 거버넌스, 리스크, 컴플라이언스(GRC) 프로그램을 자동화하고 확장할 수 있도록 도와주는 리스크 및 컴플라이언스 플랫폼입니다. Risk Cloud®라는 플래그십 제품을 통해 LogicGate는 사용자 지정 워크플로, 실시간 인사이트, 통합을 통해 기업 전체에서 리스크를 식별, 평가, 관리할 수 있도록 팀을 지원합니다. 이 플랫폼은 제3자 리스크, 사이버 보안 컴플라이언스, 내부 감사 관리 등을 포함한 다양한 사용 사례를 지원하여 기업이 더 민첩하고 회복력 있는 리스크 전략을 구축하도록 도와줍니다.

LogicGate의 CISO와 CIO로 활동하고 계신데, 향후 2-3년 동안 AI가 이러한 역할의 책임을 어떻게 변화시킬 것으로 보십니까?

AI는 이미 이러한 역할을 변화시키고 있으며, 향후 2-3년 동안 에이전트 AI의 큰 부상이 비즈니스 프로세스를 일상적으로 다루는 방식을 재창조할 것으로 생각합니다. 일반적으로 IT 헬프 데스크에 요청하는 것들, 즉 비밀번호 재설정, 애플리케이션 설치 등이 에이전트 AI에 의해 처리될 수 있습니다. 또 다른 중요한 사용 사례는 에이전트 AI를 사용하여 단조로운 감사 평가를 처리하는 것입니다. 이를 통해 CISO와 CIO는 더 전략적인 요청에 집중할 수 있습니다.

연방 사이버 해고와 규제 완화 추세가 있는 상황에서, 기업은 강력한 보안态勢를 유지하면서 AI를 어떻게 배포해야 합니까?

미국에서는 규제 완화 추세가 있지만, EU에서는 규제가 강화되고 있습니다. 따라서 다국적 기업이라면 글로벌 규제 요구 사항을 준수해야 합니다. 미국에서만 운영하는 기업이라면 AI 배포에 대한 학습 기간이 있을 것입니다. 이러한 기업은 강력한 AI 거버넌스 정책을 수립하고, 배포 과정에서 일부 인간의 감독을 유지해야 합니다. 이를 통해 아무 것도 잘못되지 않도록 할 수 있습니다.

현재 사이버 보안 프레임워크에 AI를 통합할 때 가장 큰 맹점은 무엇이라고 생각하십니까?

몇 가지 영역이 있지만, 가장 큰 맹점은 데이터가 위치하고 있는 곳과 데이터가 이동하는 경로입니다. AI의 도입은 이 영역의 감독을 더 어려워질 것입니다. 벤더는 제품에 AI 기능을 제공하고 있지만, 해당 데이터가 항상 AI 모델/벤더로 직접 전송되지 않습니다. 이는 전통적인 보안 도구인 DLP와 웹 모니터링을 효과적으로 무력화합니다.

실제로 작동하는 거버넌스 프레임워크의 핵심 요소는 무엇입니까?

제가 “종이 호랑이”라고 말할 때, 이는 작은 팀만이 프로세스와 표준을 알고, 이를 전체 조직에서 시행하거나 이해하지 않는 거버넌스 전략을 의미합니다. AI는 매우 普遍적이며, 모든 그룹과 팀에 영향을 미칩니다. “한 크기 조건 모든 것” 전략은 작동하지 않을 것입니다. 금융 팀이 ERP에 AI 기능을 구현하는 것은 제품 팀이 특정 제품에 AI 기능을 구현하는 것과 다릅니다. 강력한 거버넌스 프레임워크의 핵심 요소는 다르지만, IAPP, OWASP, NIST 등은 좋은 프레임워크를 제공하고 있습니다. 가장 어려운 부분은 이러한 요구 사항이 각 사용 사례에 적용되는지 결정하는 것입니다.

기업은 AI 모델 드리프트와 편향을 피하고, 시간이 지남에 따라 책임감 있게 AI를 사용하기 위해 무엇을 해야 합니까?

드리프트와 열화는 기술을 사용하는 과정의 일부입니다. 그러나 AI는 이 과정을 크게 가속할 수 있습니다. 하지만 만약 드리프트가 너무 커지면, 수정 조치가 필요할 것입니다. 정확성, 편향, 기타 경고 신호를 찾고 측정하는 포괄적인 테스트 전략이 필요합니다. 기업이 편향과 드리프트를 피하고 싶다면, 이를 식별하고 측정할 수 있는 도구를 마련해야 합니다.

변경 로그, 제한된 정책 업데이트, 실시간 피드백 루프는 민첩한 AI 거버넌스를 유지하는 데 어떤 역할을 해야 합니까?

현재 이러한 요소는 리스크와 책임을 줄이는 데 역할을 하지만, 고객과 사용자가 AI 거버넌스를 수행하는 능력을 방해하는 실시간 피드백 루프가 너무 자주 변경되면, 이는 문제가 될 수 있습니다.

신용 심사나 대출 심사에서 AI 편향과 차별에 대한 우려는 무엇입니까?

작년, 저는 한 대형 다국적 은행의 AI/ML 연구자와 대화했습니다. 그들은 리스크 모델에 걸쳐 AI/LLM을 실험했습니다. 모델은 대규모 및 정확한 데이터 세트에서 훈련되었지만, 놀라운 결정을 내렸습니다. 예를 들어, 채팅 기록이나 고객과 의사소통에서 “훌륭한 신용”이라는 단어가 언급되면, 모델은 기본적으로 대출을 거부했습니다. AI를 신뢰한다면, 은행은 더好的 감독과 책임을 가져야 하며, 이러한 “놀라움”을 최소화해야 합니다.

고위험 결정에 대한 알고리즘을 감사하거나 평가하는 방법에 대한 생각은 무엇입니까?

이는 포괄적인 테스트 모델로 돌아갑니다. 알고리즘/모델을 가능한 한 실시간에 가까운 시점에 지속적으로 테스트하고 벤치마크하는 것이 필요합니다. 이는 모델 출력이 원하는 결과를 낼 수 있으므로, 인간이 아웃라이어를 식별해야 합니다. 예를 들어, 대출을 모두 거부하는 모델은 위험 등급이 좋을 것입니다. 왜냐하면 모델이 승인한 대출은 결코 부도 나지 않으니까요. 이러한 경우, 모델/알고리즘을 구현하는 조직이 모델의 결과에 책임을 져야 합니다. 인간이 결정한 것과 마찬가지로 말입니다.

보다 많은 기업이 사이버 보험을 필요로 하는 상황에서, AI 도구는 리스크 랜드스케이프와 보험 언더라이팅 자체를 어떻게 재정의하고 있습니까?

AI 도구는大量의 데이터를 전파하고 패턴이나 트렌드를 찾는 데 탁월합니다. 고객 측면에서는 이러한 도구가 조직의 실제 리스크를 이해하고, 이를 관리하는 데 도움이 될 것입니다. 언더라이터 측면에서는 이러한 도구가 부적절한 조직을 식별하는 데 도움이 될 것입니다.

기업은 사이버 리스크를 줄이고, 오늘날의 보험 시장에서 더 좋은 조건을 협상하기 위해 AI를 어떻게 활용할 수 있습니까?

현재, 사이버 리스크를 줄이고, 보험 조건을 협상하기 위해 AI를 사용하는 최선의 방법은 노이즈와 분산을 걸러내고, 가장 중요한 리스크에 집중하는 것입니다. 이러한 리스크를 포괄적으로 줄이면, 사이버 보험료가 낮아질 것입니다. 모든 문제를 해결하려고 애쓰지 마십시오. 가장 중요한 문제에 집중하면, 더 큰 영향을 미칠 것입니다.

책임감 있게 AI를 구현하고 싶지만, 어디서 시작해야 할지 모르는 기업을 위한 전술적인 단계는 무엇입니까?

첫째, 사용 사례와 원하는 결과를 문서화해야 합니다. 모든人が AI를 구현하고 싶지만, 목표를 먼저 생각하고, 거기서 역으로 작업해야 합니다. 이는 많은 조직이 오늘날 어려움을 겪는 것입니다. 사용 사례를 잘 이해한 후, 다양한 AI 프레임워크를 연구하고, 구현과 사용 사례에 적용되는 적절한 제어를 이해할 수 있습니다. 강력한 AI 거버넌스는 비즈니스에 중요합니다. 리스크 완화를 위한 자동화는 데이터 입력만큼 유용합니다. AI를 사용하는 조직은 책임감 있게 해야 합니다. 파트너와 프로스펙트는 AI 스프롤과 사용에 대한 어려운 질문을 합니다. 대답을 모르는 경우, 비즈니스 거래를 놓칠 수 있으며, 직접적으로 수익에 영향을 미칩니다.

5년 후에 가장 큰 AI 관련 보안 리스크는 무엇이라고 생각하십니까?

예측은 에이전트 AI가 비즈니스 프로세스와 애플리케이션에 구축됨에 따라, 공격자가 이러한 에이전트를 조작하여 악의적인 결과를 도출할 것이라는 것입니다. 이미 고객 서비스 에이전트의 조작이 보안되지 않은 거래와 환불로 이어지는 것을 보았습니다. 위협 행위자는 언어 트릭을 사용하여 정책을 우회하고, 에이전트의 의사 결정에 간섭했습니다.

훌륭한 인터뷰에 감사드립니다. 더 많은 정보를 배우고 싶은 독자는 LogicGate를 방문하십시오.