AI는 이미 비즈니스에 도입되어 있습니다. 보안을 확보하지 못하면 뒤처집니다.

공식적으로 도입했는지 여부와 관계없이 이미 AI는 조직에 들어와 있습니다. 직원들은 ChatGPT를 활용하여 문서 초안을 작성하고, 더 빠른 분석을 위해 민감한 정보를 온라인 도구에 업로드하며, 코드 제작부터 고객 지원까지 모든 것을 신속하게 처리하기 위해 생성 도구에 의존하고 있습니다. AI는 사용자의 승인 여부와 관계없이 진화하고 있으며, 모든 최고 정보 보안 책임자는 이러한 현실을 염두에 두어야 합니다.

모든 부서에 걸쳐 검증되지 않은 AI 도구가 조용히 확산되면서 섀도 IT 계층이 급속히 확대되고 있습니다. 분산되어 있고, 종종 탐지할 수 없으며, 취약점으로 가득 차 있습니다. 규정 위반과 데이터 유출부터 추적 불가능한 의사 결정에 이르기까지 그 영향은 심각합니다. 그럼에도 불구하고 많은 조직은 여전히 정책이나 방화벽을 통해 AI를 억제할 수 있다고 믿고 있습니다.

현실은 AI는 막을 수 없으며 보안을 강화할 수 있을 뿐입니다. 기업이 이 사실을 빨리 인식할수록 AI가 이미 만든 보안 공백을 더 빨리 해결할 수 있습니다.

조직 내에서 점점 커지는 보안 사각지대, 섀도우 AI

우리는 이전에 이러한 시나리오를 목격했습니다. 2010년대 초에 클라우드 도입이 급증했을 때도 비슷한 궤적을 따라 팀들이 생산성을 향상시키는 도구를 도입하면서 보안 프로토콜을 우회하는 경우가 많았습니다. 많은 보안 팀이 이를 거부하려 했지만, 사후에 보안 침해, 잘못된 설정, 규정 준수 문제를 해결하기 위해 동분서주하는 모습을 발견했습니다.

오늘날 AI에서도 동일한 추세가 반복되고 있습니다. 2024년 AI 보안 현황 보고서에 따르면 절반 이상의 조직이 맞춤형 애플리케이션을 구축하는 데 AI를 사용하고 있지만 이러한 모델이 호스팅되는 위치, 구성 방법, 민감한 데이터 유출 여부에 대한 명확한 가시성을 확보하고 있는 조직은 거의 없는 것으로 나타났습니다.

이러한 상황에는 두 가지 주요 위험이 존재합니다:

1. 직원이 독점 데이터 또는 민감한 데이터와 함께 공용 AI 도구를 사용하면서 적절한 감독 없이 해당 정보를 외부 시스템에 노출하는 경우.
2. 내부 팀이 충분한 보안 통제 없이 AI 모델을 배포하여 악용 가능한 약점과 규정 준수 감사에 불합격할 수 있는 관행으로 이어질 수 있습니다.

섀도 AI는 단순한 보안 문제가 아니라 거버넌스 위기로 확대될 수 있습니다. AI 사용에 대한 가시성이 없으면 학습 프로세스, 데이터 액세스 또는 결과물 생성을 관리할 수 없습니다. AI 기반 의사 결정을 추적하지 못하면 이를 설명하거나 방어할 수 없어 조직이 규제, 평판, 운영상의 위협에 취약해질 수 있습니다.

기존 보안 도구가 부적절한 이유

대부분의 보안 솔루션은 AI와 관련된 문제를 해결하도록 설계되지 않았습니다. 이러한 솔루션은 모델 아티팩트를 식별하거나, AI 데이터 경로를 스캔하거나, 대규모 언어 모델(LLM) 상호 작용을 모니터링하거나, 모델 거버넌스를 적용할 수 없습니다. 전문화된 도구조차도 고립된 측면만 다루는 경향이 있어 조직은 통합된 보안 관점 없이 파편화된 솔루션을 관리해야 합니다.

이는 매우 중요한 문제입니다. AI 보안은 추가 기능이나 사후 고려 사항이 될 수 없습니다. 클라우드 관리 전략, 데이터 보호 프로토콜, DevSecOps 워크플로우에 통합되어야 합니다. 그렇게 하지 않으면 기업 운영에서 AI의 역할이 커지는 것을 과소평가하고 기본적인 비즈니스 인프라로 보호할 기회를 놓치게 됩니다.

AI를 차단하는 잘못된 전략은 버려야 합니다.

"타사 AI 도구 사용 금지" 또는 "내부 AI 실험 금지"와 같은 정책을 통해 전면적인 금지 조치를 취하는 것이 간단해 보일 수 있습니다. 하지만 이러한 접근 방식은 비현실적입니다. 직원들은 이미 생산성 향상을 위해 AI를 사용하고 있으며, 이는 악의적인 의도가 아니라 AI가 성과를 내기 때문입니다.

AI는 생산성을 높이는 역할을 하며, 마감일을 맞추고, 반복적인 작업을 줄이고, 문제를 효율적으로 해결하는 데 도움이 되는 한 사람들은 계속해서 AI를 사용할 것입니다.

AI 사용을 완전히 차단하려고 시도한다고 해서 AI가 사라지는 것은 아니며, 단지 더 아래로 밀려날 뿐입니다. 결국 문제가 발생하면 가시성, 확립된 정책, 대응 계획 없이 문제에 직면하게 될 것입니다.

전략, 보안, 가시성을 갖춘 AI 도입

보다 지능적인 접근 방식은 세 가지 핵심 영역에 초점을 맞춰 기업만의 방식으로 AI를 선제적으로 수용하는 것입니다:

1. 직원들에게 안전하고 승인된 대안을 제공하세요. 위험한 도구에 대한 의존도를 줄이려면 안전한 옵션을 제공하세요. 내부 LLM, 검증된 타사 애플리케이션, 핵심 플랫폼에 통합된 AI 어시스턴트를 통해 효율성은 동등하지만 훨씬 더 안전한 도구를 제공하는 것이 목표입니다.

2. 명확한 정책을 수립하고 시행합니다. AI 거버넌스는 정확하고 실용적이며 구현하기 쉬워야 합니다. AI 도구와 공유할 수 있는 데이터를 정의하고, 명확한 경계를 설정하고, 내부 AI 이니셔티브의 검토 및 승인에 대한 책임을 할당해야 합니다. 이러한 정책을 널리 알리고 기술 및 절차적 시행 조치가 모두 작동하는지 확인합니다.

3. 가시성과 모니터링에 우선순위를 두세요. 보이지 않는 것은 보호할 수 없습니다. 섀도 AI 사용을 감지하고, 노출된 액세스 키를 식별하고, 잘못 구성된 모델에 플래그를 지정하고, 민감한 데이터가 학습 데이터세트나 출력물로 유출될 수 있는 위치를 모니터링할 수 있는 도구를 구현하세요. AI 태세 관리는 클라우드 보안 태세 관리만큼이나 빠르게 필수적인 요소가 되고 있습니다.

CISO는 이러한 변화를 이끌어야 합니다.

지금은 보안 리더십의 중요한 순간입니다. CISO의 역할은 인프라 보호를 넘어 안전한 혁신 지원으로 확장되고 있습니다. 즉, 조직이 AI를 활용하여 속도와 효율성을 높이는 동시에 보안, 개인정보 보호, 규정 준수가 모든 단계에서 필수적인 요소임을 보장하도록 지원해야 합니다.

이러한 리더십에는 다음이 포함됩니다:

• 이사회 멤버와 경영진에게 실제 위험과 인식된 AI 위험에 대해 교육하기
• 엔지니어링 및 제품 팀과 협력하여 AI 배포 주기 초기에 보안을 포함시킵니다.
• AI 시스템 보안을 위해 설계된 최신 도구에 대한 투자
• 책임감 있는 AI 사용이 공동의 책임인 문화 조성

CISO가 AI 전문가일 필요는 없지만 중요한 질문은 반드시 해야 합니다: 어떤 모델을 사용하고 있는가? 어떤 데이터를 기반으로 하는가? 어떤 보호 조치가 구현되어 있는가? 보안 태세를 확인할 수 있는가?

핵심 사항 무대책이 가장 큰 위험

AI는 이미 비즈니스 운영을 재편하고 있습니다. 고객 서비스 대응 속도를 높이고, 재무 예측을 개선하고, 개발 워크플로우를 가속화하는 등 AI는 일상 업무에 깊숙이 통합되어 있습니다. 이러한 현실을 부정한다고 해서 AI 도입이 늦어지는 것은 아니며 취약성, 데이터 노출, 규정 준수 실패만 늘어날 뿐입니다.

가장 위험한 접근 방식은 아무것도 하지 않는 것입니다. CISO와 보안 리더는 부인할 수 없는 사실을 인정해야 합니다: AI는 시스템과 워크플로우에 존재하며 앞으로도 계속 존재할 것입니다. 중요한 질문은 선제적으로 보안을 강화할 것인지 아니면 돌이킬 수 없는 피해를 입힐 때까지 기다릴 것인지입니다.

AI를 수용하되 항상 보안을 최우선으로 하는 접근 방식을 취하세요. 이것이 미래를 대비할 수 있는 유일한 방법입니다.