“우리는 사이버보안에 얼마를 투자하고 있으며, 그 투자로 인해 우리 비즈니스가 얼마나 더 안전해졌는가?”
수메드 타카르(Sumedh Thakar) 퀄리스(Qualys) 최고경영자(CEO)는 전자신문인터넷과의 서면 인터뷰에서 기업의 보안 성과를 판단하는 핵심 질문으로 이 두 가지를 제시했다. 취약점을 얼마나 많이 발견하고 패치했는지를 넘어, 보안 투자가 실제 사업 위험을 얼마나 줄였는지 설명할 수 있어야 한다는 의미다.
그는 비즈니스 맥락 없이 취약점 개수만 나열하는 보안 운영을 '대시보드 관광(Dashboard Tourism)'에 비유했다. 보기 좋은 대시보드를 갖추더라도 실제 문제가 해결되지 않으면 기업에는 도움이 되지 않는다는 지적이다.
이 같은 문제의식은 퀄리스의 사업 방향과도 맞닿아 있다. 타카르 CEO는 취약점 탐지에 강점을 쌓아온 퀄리스가 고객의 분석·조치 역량까지 높이기 위해 에이전틱 AI를 업무 전반에 도입하고 있다고 설명했다. 보안팀이 발견된 문제를 처리하는 속도가 탐지 속도를 따라가지 못하는 간극을 좁히겠다는 구상이다.
타카르 CEO가 제시한 AI 보안의 출발점은 '발견'이다. 그는 대부분의 기업에서 이미 수백 개의 AI 서비스가 사용되고 있지만, 보안팀이 가시성을 확보한 대상은 일부에 그친다고 진단했다. 승인이나 관리 체계 밖에서 사용되는 '쉐도우(Shadow) AI'를 파악하지 못하면 이후의 통제도 어렵다는 것이다.
“많은 기업이 범하는 실수는 AI를 생산성 향상을 위한 이니셔티브 또는 보안 이니셔티브 중 하나로만 바라본다는 것입니다. AI는 두 가지 모두에 해당합니다.”
AI 에이전트와 MCP 환경에서 기업이 확인해야 할 대상은 서비스의 존재 여부에 그치지 않는다. 에이전트가 어떤 데이터에 접근하고, 어떤 ID와 권한으로 작동하며, 어떤 도구를 호출하는지까지 살펴야 한다. 승인된 범위 안에서 행동하고 있는지도 지속적으로 확인해야 한다.
이에 따라 보안의 관리 범위도 사람의 계정에서 서비스 계정, API 키, 자율형 에이전트 등 비인간·AI ID로 넓어지고 있다. 타카르 CEO는 이러한 ID가 빠르게 늘면서 탈취나 위조·사칭 위험도 커지고 있다고 설명했다.
퀄리스는 ID 보안에 지속적인 모니터링, 위협 인텔리전스, 행동 기반 탐지와 자동 대응을 결합하는 방식으로 접근하고 있다. 동시에 고위험 의사결정에는 사람이 최종적으로 감독하는 체계를 유지한다는 방침이다.
그는 AI 보안 솔루션 '토털AI(TotalAI)'의 새로운 기능도 소개했다. AI 설계 단계부터 운영까지 리스크를 발견하고 테스트·모니터링·관리하도록 지원한다는 설명이다. 특정 시점의 점검으로 끝내지 않고 운영 과정에서 달라지는 위험을 계속 추적하는 데 초점을 맞췄다.
타카르 CEO는 보안 성과를 취약점의 수나 심각도만으로 평가하는 방식에 한계가 있다고 강조했다. 발견하거나 패치한 취약점이 많더라도 기업의 비즈니스 리스크 감소로 이어지지 않았다면 성과를 다시 따져봐야 한다는 것이다.
그는 이사회가 알고 싶은 것은 취약점 개수보다 사이버 리스크가 기업에 미치는 재무적 영향이라고 설명했다. 어떤 자산이 위험에 노출돼 있으며, 사고가 발생했을 때 얼마나 큰 손실로 이어질 수 있는지 파악해야 투자 우선순위도 정할 수 있다는 취지다.
대응 방식의 변화도 주문했다. 고도화된 AI 모델이 등장하는 상황에서 방대한 취약점을 사람이 일일이 분석하고 조치하는 방식으로는 한계가 있다는 판단이다.
그가 제시한 방향은 AI 속도의 탐지, 정밀한 우선순위화, 자율형 조치다. 위협이 실제 사업 위험으로 이어질 수 있는지 빠르게 판단하고, 공격 가능성을 검증해 중요한 대상부터 처리하는 구조다.
타카르 CEO는 퀄리스가 강조하는 '초정밀 우선순위화(Hyper-Prioritization)'에 대해 공격 가능성 검증을 활용해 수많은 취약점과 설정 오류 가운데 위험에 노출된 비즈니스 가치가 가장 큰 1% 미만의 리스크로 대응 대상을 좁히는 방식이라고 설명했다. 이후 에이전틱 AI를 활용한 자율형 조치로 실제 위험 노출을 신속하게 제거한다는 구상이다.
퀄리스가 강조하는 '리스크 운영센터(ROC·Risk Operations Center)' 역시 보안의 중심을 기업 전체의 위험 관리로 확장하려는 접근이다.
타카르 CEO는 기존 보안운영센터(SOC)의 역할을 침해 탐지와 대응에 무게를 두고 설명했다. 이에 비해 ROC는 사고가 발생하기 전에 위험이 어디에서 비롯되는지 파악하고, 발생 가능성을 낮추는 데 초점을 맞춘다는 것이다.
기업이 모든 자산을 완벽하게 보호하기 위해 무제한으로 투자할 수는 없다. ROC는 전체 비즈니스 리스크를 살펴 어떤 영역에 예산을 투입할지, 어떤 위험은 수용하거나 이전할지 판단하도록 지원하는 체계다. 개별 경보와 사고를 넘어 기업 차원의 자원 배분을 다룬다.
그렇다고 ROC가 SOC를 대체하는 것은 아니다.
“ROC와 SOC는 상호 보완적인 관계이며 둘 중 하나만 존재해서는 안 됩니다.”
ROC가 공격으로 이어질 위험을 미리 줄이면 SOC가 처리해야 할 경보도 줄어들 수 있다. 반대로 SOC가 실제 공격을 분석한 결과는 ROC가 유사한 위험을 찾아 제거하는 데 활용할 수 있다.
그는 이를 자동차의 안전장치에 비유했다. 에어백이 있다고 해서 안전 운전이나 브레이크가 필요 없어지는 것은 아니라는 것이다. 기업에도 사고 대응 역량과 사전 예방 체계가 함께 필요하다는 설명이다.
이러한 운영 모델의 핵심은 취약점의 존재와 실제 공격 가능성을 구분하는 데 있다. 타카르 CEO는 취약점이 발견됐다는 사실만으로 실제 위험의 크기를 판단해서는 안 된다고 강조했다.
현재 적용된 보안 통제를 고려했을 때 공격자가 해당 환경에 접근할 수 있는지, 공격 경로를 따라 취약점 악용에 성공할 수 있는지 확인해야 한다는 것이다. 여기에 자산의 중요도와 비즈니스 영향을 함께 살펴야 조치의 우선순위와 타당성을 높일 수 있다.
퀄리스의 '트루컨펌(TruConfirm)'과 '에이전트 발(Agent Val)'은 이러한 검증을 지원하는 기술이다. 타카르 CEO에 따르면 에이전트 발은 트루컨펌을 기반으로 퀄리스의 통합 위험 관리 플랫폼 'ETM(Enterprise TruRisk Management)' 안에서 에이전틱 AI의 작업을 조율하는 역할을 한다.
고위험 노출을 식별하고 비즈니스 맥락과 자산 중요도를 반영해 운영 환경에서 공격 가능성을 검증한다. 검증 결과를 ETM에 전달해 우선순위에 따른 조치로 연결하는 구조다. 그는 대규모 환경에서 안전하게 검증하도록 설계됐으며, 이러한 검증이 자율형 조치에 필요한 신뢰를 제공한다고 설명했다.
타카르 CEO는 이 과정을 “위험하다고 생각한다”에서 “실제로 위험하다는 것을 알고 있다”로, 궁극적으로는 “이미 조치까지 완료했다”로 나아가는 변화라고 표현했다.
타카르 CEO는 사이버 대응에서 가장 중요한 요소로 속도를 꼽았다. 공격자가 AI를 활용하는 환경에서는 방어자 역시 탐지뿐 아니라 분석과 검증, 조치까지 걸리는 시간을 줄여야 한다는 것이다.
AI 에이전트의 활용 대상으로는 데이터 상관관계 분석, 경보 분류, 조사 정보 보강, 위험 노출의 우선순위 지정, 증거 수집, 업무 흐름 조율 등을 들었다. 반복 작업을 줄이고 취약점 관리 전반의 의사결정을 앞당길 수 있는 영역이다.
그는 이 같은 에이전트를 반복적이고 시간이 많이 드는 보안 업무를 대규모로 수행하는 '디지털 워크포스(Digital Workforce)'으로 보고 있다고 밝혔다.
퀄리스가 에이전틱 AI를 도입한 배경에도 고객의 조치 역량에 대한 고민이 있었다. 취약점을 찾아내더라도 고객이 같은 규모와 속도로 결과를 분석하고 해결하기 어려웠다는 설명이다. 퀄리스가 패치 관리 기능을 제공해온 것도 탐지된 문제를 실제 해결까지 연결하기 위해서였다.
에이전틱 AI는 여기서 더 나아가 위험 수준에 따른 패치 우선순위를 정하고, 과거의 운영 제약을 고려하며, 다른 위험 완화 방안도 제안할 수 있다고 그는 설명했다.
타카르 CEO가 제시한 수치에 따르면 인터뷰 시점 기준 지난 12개월 동안 퀄리스 고객이 배포한 패치는 1억5000만 건이며, 이 가운데 4000만 건은 완전 자동화 방식으로 배포됐다.
한국 시장에 대해서는 새로운 보안 기술을 평가하고 도입하는 속도와 체계적인 운영 역량을 강점으로 꼽았다. ISMS 등 보안 프레임워크와 규제 요건에 대응하는 체계에서도 이러한 역량이 드러난다는 평가다. 실제 공격을 경험하며 쌓은 대응 역량 역시 한국 기업의 보안 운영과 위협 인텔리전스 성숙도를 높였다고 봤다.
추가적인 과제로는 경영진의 인식 변화를 제시했다. 사이버보안을 기술 부서의 기능으로만 취급하지 않고, 경영진과 이사회가 책임져야 할 비즈니스 리스크로 다뤄야 한다는 주문이다.
그는 금융 분야에 대해서도 AI 시대의 변화에 대응하려면 기존의 전통적인 망분리 요건을 넘어 서비스형 소프트웨어(SaaS) 도입을 적극적으로 수용하는 방향의 변화가 중요하다는 견해를 밝혔다.
퀄리스의 한국 사업 전략은 통합 플랫폼과 현지 투자에 초점이 맞춰져 있다. 타카르 CEO는 자산 가시성, 취약점 관리, AI 보안, 클라우드 보안, 컴플라이언스, 위험 기반 우선순위화와 조치를 하나의 플랫폼에서 제공하는 점을 차별점으로 내세웠다. 여러 도구를 연결하는 과정에서 발생하는 업무 부담을 줄이고, 보안팀이 비즈니스에 중요한 위험을 중심으로 판단하도록 돕겠다는 것이다.
이를 위해 한국 내 조직을 강화하고, 국내 규제와 운영 특성을 이해하는 시스템통합(SI) 기업 및 국내 보안 기업과의 파트너 생태계를 확대할 계획이다. 고객이 도입한 기술을 실제 성과로 연결하도록 지원하는 고객 성공 부문에도 직접 투자하겠다고 밝혔다.
그가 한국 시장에서도 강조한 목표는 같은 곳을 향했다. 또 하나의 보안 대시보드를 공급하는 데 그치지 않고, 고객이 측정 가능한 수준의 위험 감소를 달성하도록 지원하겠다는 것이다.
유은정 기자 judy6956@etnews.com