대다수의 CISO가 눈을 가린 채 AI 도입을 추진하는 이유 (그리고 이를 해결하는 방법)

엔터프라이즈 소프트웨어 개발 생태계에서 AI 구현의 복잡한 문제들을 다루는 이들 중, 현재 CISO의 입장을 부러워할 사람은 거의 없을 것입니다. AI로 보강되는 프로세스가 늘어남에 따라 보안 우려는 더욱 빈번하게 발생하고 있으며, 기술 스택에 적합한 모델 선택, 개발자들의 섀도우 AI 사용, 그리고 보안 기술 격차가 좁혀질 기미가 보이지 않는 상황에서 쏟아지는 AI 작성 코드까지 더해져, 이미 복잡한 그들의 역할은 매달 더욱 어려워지고 있습니다.

이러한 과제에 대응하기 위해 “AI 거버넌스”라는 용어가 언급되며, 보안 전문가가 아닌 사람들에게도 안전한 AI 통합과 지속적인 사용을 위한 만능 해결책으로 제시됩니다. 물론 해결책이 될 수는 있지만, 기업의 AI 도입 단계가 불분명한 상태에서는 보안 모범 사례를 실행하기가 매우 어렵습니다.

개발 조직에만 초점을 맞추더라도 팀원 간의 AI 도입 수준에는 차이가 존재합니다. 예를 들어, 어떤 개발자는 Copilot을 기존 토론 포럼을 대체하는 용도로 가끔 질문하는 데 그치는 반면, 다른 개발자는 자율성, 권한, 잠재적으로 민감한 코드베이스에 대한 접근성이 크게 향상된 에이전트형 AI 시스템을 실험하고 있을 수 있습니다. 다양한 최첨단 및 오픈 소스 거대 언어 모델이 코드를 작성하는 데 사용되고, 에이전트들은 MCP(Model Context Protocol) 기술과 스킬을 활용해 외부 도구에 접근하며, 혁신적인 공급망 공격이 전체 생태계를 위협하고 있습니다. 이러한 행동은 조직의 공격 표면을 극적으로 넓히며, 이 커지는 위험을 통제하는 것은 보안 리더들의 큰 고민거리입니다.

AI 도입을 주저하는 이들에게는 도입을 가속화하도록 설득하고 AI 도구의 결과물에 대한 안심을 주면서도, 동시에 이러한 도구가 여전히 저지를 수 있는 보안 실수를 명확히 인지하게 하려면 어떻게 해야 할까요? 초기 도입자들에게는 에이전트 엔지니어링을 너무 서두르지 않도록 설득하여 조직이 통제 불가능하고 알려지지 않은 위험에 노출되지 않게 하려면 어떻게 해야 할까요? “빠르게 움직이되 너무 빠르지는 않게”라는 메시지가 요즘 CISO가 할 수 있는 유일하고 합리적인 대응인 듯합니다.

AI 도구의 추적성과 관찰 가능성이 확보된 상황에서, 도구와 사용자의 보안 효율성, 그리고 그들이 수행하도록 허용된 커밋의 보안은 AI 시대를 위한 보안 프로그램을 업데이트할 때 고려해야 할 핵심 데이터 포인트입니다.

우리는 기업의 도입 단계를 솔직하게 평가하는 데 익숙해져야 하며, 이와 관련하여 여러분과 공유할 흥미로운 방향성을 제시하고자 합니다.

오늘, Secure Code Warrior는 보안 리더들이 조직 내 AI 도입 단계를 파악하고 AI 보안 위험을 효과적으로 통제할 수 있도록 돕는 지침 중심의 새로운 AI 도입 모델 백서를 발표했습니다.

AI 도입 모델이란 무엇이며, 왜 필요한 것일까요?

개발자는 더 이상 단순한 코드 작성자가 아닌 창조자이자 오케스트레이터의 역할을 수행해야 합니다. 우리는 전통적인 소프트웨어 개발 수명 주기(SDLC)가 에이전트형 개발 수명 주기(ADLC)로 전환되는 과정을 목격하고 있으며, 이를 안전하고 효율적으로 다룰 준비가 된 곳은 거의 없습니다.

AI 도입은 더 이상 전통적인 엔지니어링에만 국한되지 않습니다. 오늘날에는 개발자가 아닌 직원들도 노코드 및 바이브 코딩 도구를 사용하여 애플리케이션을 구축하고 있으며, 이는 조직의 전반적인 위험 프로필에 상당한 영향을 미칩니다. 전통적인 통제 수단보다 빠르게 확장되는 공격 표면에 직면한 최고정보보호책임자(CISO)들은 저에게 끊임없이 중요한 질문을 던집니다. 어디서부터 시작해야 할까요?

CISO들에게는 방법론 자체만큼이나 현대적인 ADLC 거버넌스 접근 방식, 즉 에이전트형 AI의 진화하고 적응하는 특성에 맞춰 설계된 접근 방식이 절실히 필요합니다. 이것이 바로 우리가 이 AI 도입 모델을 출시한 이유이며, 높은 가시성과 도입 단계에 맞는 적응형 계획을 갈망하는 CISO들에게 이 모델은 방어 전략의 핵심 요소가 될 것입니다. 우리는 이 프레임워크를 통해 조직이 안전한 AI 도입과 거버넌스를 사후 대응적인 작업에서 측정 가능하고 확장 가능한 규율로 전환할 수 있도록 설계했습니다.

보안 리더들이 지금 당장 얻을 수 있는 것은 무엇일까요?

이 모델은 AI 개발을 AI 지원(AI-Assisted), AI 네이티브(AI Native), 에이전트형(Agentic)이라는 세 가지 단계로 구분하는 실용적인 로드맵 역할을 합니다. CISO에게 이 프레임워크의 가장 큰 장점은 AI 사용, 개발자 역량, 소프트웨어 위험 신호를 원활하게 연결한다는 점입니다. 모든 AI 사용이 동일한 위험을 수반하는 것은 아니기에, 이 모델은 조직이 현재 위치를 정확히 파악하고 데이터 기반의 통찰력을 통해 안전하고 비용 효율적인 AI 의사결정을 내릴 수 있도록 명확한 지도를 제공합니다.

이 AI 도입 모델은 AI 자율성이 증가함에 따라 필요한 구체적인 거버넌스 통제 항목을 정의함으로써, CISO가 개발자들의 수준에 맞는 맞춤형 교육을 제공할 수 있도록 지원합니다. 분석가들은 2027년까지 에이전트형 AI 프로젝트의 40% 이상이 통제되지 않는 비용과 부실한 위험 관리로 인해 중단될 것으로 예측합니다. 이 위협에 대한 해답은 단순히 AI가 생성한 실수를 잡기 위해 더 많은 AI를 사용하는 것이 아닙니다. CISO에게 진정한 승리는 개발자가 처음부터 AI를 올바르게 사용하도록 교육하여 반복되는 취약점을 방지하고, 측정 가능한 거버넌스 ROI를 입증하는 프레임워크를 갖추는 것입니다.

‍

프레임워크 살펴보기

더 읽어보기: SCW Trust Agent: AI