기업들이 AI를 주의적으로 다루는 이유 — 그리고 안전하게 배포하는 방법

AI는 세계를 강타했습니다. 일부 조직은 초기에 도입했지만 많은 기업들은 개인 정보, 규정 준수, 운영 문제 등으로 인해 더 주의적인 접근 방식을 취하고 있습니다.

私は数百 건의 AI 기반 보안 도구 배포에 참여했으며 익숙한 패턴을 목격했습니다. 챔피언들은 초기에 열정을 보여주고, 파일럿은 약속을 보여주지만, 곧 내부 논의, 법적 검토, 그리고 결국 분석 마비로 인해 조직은 발을 뗍니다. 보안 운영을 변革할 수 있는 AI의 엄청난 잠재력에도 불구하고 많은 기업들은 여전히 이를 완전히 받아들이는 것을 주저합니다.

サイバーセキュリティでは 주의가 종종 올바른 본능입니다. 그러나 AI 구현을 지연시키면 현재 규모와 빈도가 증가하고 있는 AI 기반의 위협을 막을 수 없습니다. 실제 도전은 AI를 안전하게, 의도적으로, 그리고 신뢰를 손상하지 않고 채택하는 방법을 찾는 것입니다.

여기서 제가 전선에서 배운 것과 제가 신뢰를 가지고 앞으로 나아가는 보안 리더들에게 추천하는 내용입니다.

1. 데이터 신뢰 문제

첫 번째이자 가장 큰 장벽은 데이터 관리입니다. 많은 기업들은 민감한 데이터가 누출되거나 악용되거나, 최악의 경우, 경쟁사에게 유익한 모델을 훈련하는 데 사용될 수 있다는 생각에恐怖를 느낍니다. 고위험 브리치와 모호한 벤더 보증은 이러한 두려움을 강화합니다.

이것은 편집증이 아닙니다. 고객의 개인 정보, 지적 재산, 또는 규제 데이터를 처리할 때, 이를 제3자에게 넘겨주는 것은 통제력을 잃는 것과 같습니다. 그리고 벤더들이 데이터 분리, 보존, 4차 제공자 참여, 모델 훈련 등에 대한 정책을 명확히 하는 더好的 일을 하지 않는 이상, 채택은 주의적으로 유지될 것입니다.

여기서 거버넌스가 중요해집니다. CISO는 NIST AI 위험 관리 프레임워크 또는 ISO/IEC 42001과 같은 새로운 프레임워크를 사용하여 벤더들을 평가해야 합니다. 이러한 프레임워크는 AI 시스템에서 신뢰, 투명성, 책임에 대한 실용적인 지침을 제공합니다.

2. 측정할 수 없는 것을 개선할 수 없습니다

또 다른 일반적인 장애물은 기준 메트릭스의 부족입니다. 많은 기업들은 현재의 성능을 수량화할 수 없으므로 AI 도구의 ROI를 증명하는 것이 거의 불가능합니다. 자동화 이전에 작업에 얼마나 시간이 걸렸는지 추적하지 않는다면, 40%의 효율성 개선을 주장할 수 있나요?

MTTD, 거짓 양성률, SOC 분석가 시간 절약 등과 같은 현재 상태의 워크플로를 측정하기 시작해야 합니다. 이러한 데이터가 없으면 AI의 경우는 설화적입니다. 그리고 실행 가능한 숫자가 없는 경우에는 경영진이 대규모 프로젝트에 서명하지 않을 것입니다.

다음과 같은 주요 KPI를 지금부터 추적하세요:

• 평균 탐지/응답 시간 (MTTD/MTTR)
• 거짓 양성, 거짓 음성, 티켓 볼륨 감소
• 분석가 시간 절약 (사건당)
• 커버리지 개선 (예: 취약점 스캔 및 수정)
• 에스컬레이션 없이 해결된 사건

이러한 기준선은 AI 정당화 전략의 핵심이 됩니다.

3. 도구가 너무 잘 작동할 때

아이러니하게도, AI 채택이 중단되는 이유 중 하나는 일부 도구가 너무 잘 작동하여 조직이 처리할 준비가 되지 않은 위험을 노출한다는 것입니다.

고급 위협 인텔리전스 플랫폼, 다크 웹 모니터링 도구, LLM 기반 가시성 솔루션은 도난된 자격 증명, 유사한 도메인 또는 이전에检测되지 않은 취약성을 공개할 수 있습니다. 이러한 가시성이 명확성을 생성하는 대신 새로운 문제를 생성할 수 있습니다: 어디서부터 시작해야 합니까?

저는 고급 스캔을 비활성화하는 팀을 보았습니다. 왜냐하면 발견된 볼륨이 정치적 또는 예산적 불편을 생성했기 때문입니다. 더好的 가시성을 위해서는 더好的 우선순위를 필요로 하며, 문제를 직접적으로 대면할 의지를 필요로 합니다.

4. 레거시 계약에 묶여 있음

더好的 도구가 उपलब할 때에도, 많은 기업들은 레거시 벤더와의 다년간 계약에 묶여 있습니다. 일부 계약에는 중도에 변경할 경우 발생하는 금전적 패널티가 너무 크므로 중간에 변경하는 것은 불가능합니다.

이메일 보안은 고전적인 경우입니다. 현대적인 솔루션은現在 AI 기반의 위협 감지, 행동 모델링, 하이브리드 환경을 위한 내장된 회복力を 제공합니다. 그러나 현재 벤더가 이를 따라가지 못하고 5년짜리 계약에 묶여 있다면, 계약이 끝날 때까지 사실상 제자리입니다.

이것은 기술에 관한 것이 아닙니다. 그것은 타이밍, 조달, 전략적 계획에 관한 것입니다.

5. 섀도우 AI의 부상

AI 채택은 상위에서 하위로 발생하는 것이 아닙니다. 그것은 모든 곳에서 발생하며, 보안 팀의 지식 없이 발생합니다. 저희의 연구에 따르면, 85% 이상의 직원이 이미 ChatGPT, Copilot, Bard와 같은 AI 도구를 사용하고 있습니다. (DeepSeek 및 TikTok은 말할 것도 없고!)

적절한 감독 없이, 직원들은 민감한 데이터를 공개 도구에 입력하거나, 환각된 출력을 신뢰하거나, 의도치 않게 회사 정책을 위반할 수 있습니다. 이것은 규정 준수 및 데이터 보호의 악몽입니다. 그리고 이것이 발생하지 않는다고 생각하는 것은 문제를 해결하지 않습니다.

보안 리더들은 다음과 같이 적극적인 입장을 취해야 합니다:

• 수용 가능한 사용 정책을 설정
• 승인되지 않은 AI 앱을 차단하고 승인된 도구로 사용자를 리디렉션
• 승인된, 보안이 된 AI 플랫폼을 내부 사용을 위해 론칭
• 직원들에게 책임 있는 AI 사용에 대한 훈련

현장 노트: AI 사용 정책은 사용을 변경하지 않습니다.您不知道 무엇인지 강제할 수 없습니다. 따라서 첫 번째 단계는 사용을 정량화한 다음, 강제를 시작하는 것입니다.

6. 아웃소싱은 자체 위험을 가지고 옵니다

대규모 모델을 내부에서 구축하고 호스팅할 수 있는 인프라를 갖춘 기업은 거의 없습니다. 따라서 아웃소싱이 종종 유일한 경로입니다. 그러나 이것은 CISO가 너무 잘 알고 있는 제3자 및 공급망 위험을 가지고 옵니다.

솔라윈즈, 카세야, 최근의 스노플레이크 침해와 같은 사건은 외부 파트너를 信頼하는 것이 어떻게 큰 노출로 이어질 수 있는지 보여줍니다. AI 인프라를 아웃소싱할 때, 벤더의 보안态勢를 물려받습니다. 좋든 나쁘든.

브랜드를 信頼하는 것만으로는 충분하지 않습니다. 다음 사항에 대한 명확성을 요구해야 합니다:

• 모델 라이프사이클 및 업데이트 빈도
• 사건 응답 프로토콜
• 벤더 보안 컨트롤 및 규정 준수 기록
• 데이터 분리 및 테넌트 컨트롤

7. AI 공격 표면이 확장됨

조직이 AI를 채택함에 따라, AI 특有的 위협 벡터에도 대비해야 합니다. 공격자들은 이미 다음과 같은 것을 실험하고 있습니다:

• 모델 포이즈닝 (훈련 데이터를 미묘하게 변경)
• 프롬프트 인젝션 (LLM 행동을 조작)
• 적대적 입력 (탐지 회피)
• 환각 착취 (사용자가 거짓 출력을 신뢰하도록 속임)

이것은 이론적이지 않습니다. 실제이며 증가하고 있습니다. 방어자가 AI를 채택할 때, 새로운 공격 표면에 대한 적응된 적대적 테스팅, 모니터링, 응답 전략을 고려해야 합니다.

8. 사람과 프로세스가 실제 병목 현상일 수 있음

가장 간과되는 도전 중 하나는 조직의 준비도입니다. AI 도구는 종종 워크플로, 기술, 마인드셋의 변경을 요구합니다.

분석가는 AI를 언제 신뢰해야 하는지, 언제 도전해야 하는지, 어떻게 효과적으로 에스컬레이션하는지 이해해야 합니다. 리더들은 위험을 자동화하지 않고 의사 결정 프로세스에 AI를 통합해야 합니다.

훈련, 플레이북, 변경 관리는 기술과 함께 진화해야 합니다. AI 채택은 기술적인 이니셔티브가 아닙니다. 그것은 인간의 변환 이니셔티브입니다.

그러면 우리는 무엇을 할 수 있나요?

도전에도 불구하고, 저는 보안에서 AI의 이점이 위험을 훨씬 초과한다고 믿습니다. 하지만 올바르게 수행되어야 합니다. 여기서 저는 조직이 어떻게 앞으로 나아갈 수 있는지에 대한 조언입니다:

• 작은 규모로 시작하고 철저하게 테스트
• 측정할 수 있는 영향을 가진 범위 지정된 사용 사례를 선택. 제어된 파일럿을 실행. 성능을 검증. 데이터, ไม่ใช 가십으로 신뢰를 구축.
• 법률, 위험, 보안을 초기에 참여시킴
• 계약 단계를 기다리지 마십시오. 법률 및 규정 준수 팀을 초대하여 데이터 처리 조건, 규정 위험, 공급망 영향 등을 사전에 검토하십시오.

모든 것을 측정

구현 전후로 KPI를 추적하세요. 보안과 비즈니스 용어로 말하는 대시보드를 생성하세요. 메트릭은 AI 자금을 만들거나 깨집니다.

실제 프로젝트에成功한 파트너를 선택

데모를 넘어세요. 참조를 요구하세요. 판매 후 지원, 배포 복잡성, 귀하의 환경과 같은 결과에 대해 물어보세요.

다음은 무엇인가? 주목할 만한 새로운 사용 사례

보안에서 AI의 여정은 아직 초기입니다. 앞날을 내다보는 CISO들은 이미 다음과 같은 것을 탐색하고 있습니다:

• 파이어ウォール 관리, GRC, 규정 자동화 위한 AI 코파일럿
• 제로데이 위협 응답 및 정확성을 가속화하는 AI 강화된 위협 피드
• 생성적 적대적 테스팅 및 공격 시뮬레이션
• 자체 회복 멀티 벤더 인프라
• 행동 AI에 의해 구동되는 위험 기반 ID 컨트롤

이러한 사용 사례는 혁신 연구소에서 생산으로 이동하고 있습니다. 지금 근육을 구축하는 조직은 앞으로 더好的 기회를 잡을 수 있을 것입니다.

최종 생각: 지연은 방어가 아님

AI는 여기 있습니다. 그리고 AI 기반의 적도 있습니다. 더 기다릴수록 더 많은 지면을 잃게 됩니다. 그러나 이것은盲目적으로 돌입해야 한다는 것을 의미하지 않습니다.

주의 깊은 계획, 투명한 거버넌스, 올바른 파트너와 함께, 귀하의 조직은 AI를 안전하게 채택할 수 있습니다. 능력을 강화하면서 통제를 희생하지 않습니다.

보안의 미래는 강화됩니다. 유일한 질문은 귀하가 리드할 것인지, 뒤처질 것인지입니다.