Headline

사이버보안관제에서 인공지능 활용

관제사업5팀 김충희 수석

■ 사이버보안관제에서 인공지능 활용

인공지능은 보안관제센터에서 가장 많은 시간이 소요되는 ‘경보 분류’, ‘조사 자료 수집’, ‘보고서 작성’ 단계를 단축함으로써, 분석가의 집중 시간을 극대화한다. 다만, 성과는 모델 성능만으로 결정되지 않는다. 데이터 품질, 운영 절차, 권한 통제, 검증 체계가 함께 갖춰졌을 때 그 효과가 안정적으로 나타난다. 따라서, 도입 시에는 작은 범위(요약·보고)에서 시작해, 정확도와 통제를 검증한 뒤 분류·조사·대응으로 확장하는 방식이 안전하다.

표 1. 보안관제센터 내 인공지능 적용 시 기대효과 및 운영 통제 요소

보안관제센터에서 인공지능 활용은 단순한 도구 도입을 넘어, 운영 방식의 변화를 의미한다. 아래 그래프는 공개 자료를 바탕으로 현재 보안 인공지능 활용 수준(업무 지원 범위)이 어떻게 분포하는지를 보여준다. 조직 내부에서는 현재 수준을 점검한 뒤, 목표 수준과 필요한 통제를 단계적으로 설계하는 것이 바람직하다.

* 출처: IBM Security, Cost of a Data Breach Report 2025, Figure 43.

그림 1. 보안 인공지능 활용 수준(업무 지원 범위) 분포(2025)

■ 관제 운영의 처리량 제약과 인공지능 적용 우선순위

현장에서 ‘알림 과다’ 등은 단순한 불만이 아니라, 한정된 인력이 반복 업무에 매몰되어 실제 위험을 놓치게 되는 구조적 처리량 제약(처리 지연 요인)이다. 인공지능은 이러한 지연 요인을 단순히 ‘대신 처리’하기보다는, 정보를 정리하고 우선순위를 추천해 사람이 더 나은 결정을 내리도록 돕는다. 아래 표는 대표적인 지연 요인과 AI 적용 포인트를 운영 관점에서 정리한 것이다.

표 2. 보안관제 운영 지연 요인별 AI 적용 포인트 및 측정 지표 예시

아래 매트릭스는 ‘효과’와 ‘구현 난이도’를 기준으로 우선순위를 정리할 때 사용할 수 있는 편집용 틀이다. 각 칸에 조직의 후보 과제를 넣고 분기별로 재정렬하면, 보다 효율적인 의사결정이 가능하다.

표 3. 인공지능 적용 과제의 효과·구현 난이도 기반 우선순위 매트릭스

■ 보안관제 업무 흐름과 인공지능 지원 지점

아래 흐름은 사건이 접수되어 보고서로 정리되기까지의 일반적인 처리 단계를 정리한 것이다. 각 단계에서 인공지능은 사람의 판단을 ‘대체’하기보다는, 필요한 근거를 빠르게 모으고 정리해 분석가의 결정을 돕는 방향으로 설계되어야 한다.

아래 그래프는 침해사고의 체류 기간을 탐지 출처별로 비교한 것이다. 보안관제센터가 내부 탐지 비율과 탐지 속도를 높일수록 피해 규모를 줄일 가능성이 커진다. 다만 인공지능은 조사 속도를 높이는 수단이 될 수 있지만, 내부 탐지 체계를 강화하는 운영 개선과 함께 적용되어야 한다.

출처: Google Cloud / Mandiant, M-Trends 2025 (Median Dwell Time by Detection Source, 2024)

그림 2 탐지 출처별 체류 기간(중앙값, 2024)

■ 경보 분류와 중복 제거

보안관제센터는 하루에도 수천 건의 경보를 다루며, 그중 상당수는 동일 원인의 반복이거나 실제 위협이 아닌 경우가 많다. 이때, 인공지능은 경보 메시지의 문맥, 발생 자산, 시간대, 과거 처리 결과를 함께 고려해 유사 경보를 묶고 우선 확인 대상을 추천할 수 있다. 이를 통해 분석가는 단순 확인을 줄이고, 실제 조사가 필요한 사건에 더 많은 시간을 투입할 수 있다. 또한 반복되는 오탐 유형을 빠르게 식별해 탐지 규칙과 정책을 개선하는 데에도 도움이 된다. 중요한 점은 추천 결과를 그대로 따르는 것이 아니라, 각 추천의 유효성을 운영 기록으로 남기고 지속적으로 개선하는 체계를 갖추는 것이다.

표 4. 경보 분류 및 중복 제거 단계의 운영 점검 항목 및 실무 적용 가이드

추가로, 경보 분류 단계에서 가장 흔한 실패 원인은 ‘데이터가 부족해 근거를 제시할 수 없는 경우’다. 따라서 초기에는 작은 범위에서 시작하되, 필요한 로그와 자산 정보를 안정적으로 연결하는 작업을 병행해야 한다.

■ AI 분류기 에이전트(Agent)로 경보 분류를 자동화하는 방안

현장에서는 ‘인공지능 분류기(분류 모델)’를 도입해 경보의 중요도를 예측하더라도, 실제 운영에서는 근거 수집·티켓 생성·담당자 라우팅·추가 확인 요청 등 주변 작업이 남아 처리 속도가 크게 개선되지 않는 경우가 있다. 이때 에이전트(Agent)는 단순 분류 결과를 내는 것을 넘어, 분류에 필요한 정보를 안전하게 모으고 정리해 사람이 더 빠르게 판단하도록 돕는 역할을 수행한다.

여기서 말하는 ‘자동화’는 승인 없이 조치를 실행한다는 의미가 아니라, ① ‘경보를 분류하기 위한 자료 수집과 정리’, ② ‘표준 형식의 분류 근거 작성’, ③ ‘담당자 배정 및 티켓 초안 생성’까지를 에이전트가 수행하고, 최종 분류 확정과 중요한 의사결정은 사람이 승인하는 구조를 의미한다.

표 5. 인공지능 분류기(모델)와 에이전트 기반 경보 분류 방식 비교

■ 에이전트 기반 경보 분류 처리 흐름(권한·승인 포함)

아래 흐름은 ‘분류 단계’에서 에이전트가 수행할 수 있는 작업을 단계별로 정리한 것이다. 이때 핵심은 에이전트가 내부 시스템을 임의로 조작하는 것이 아니라, 미리 정의된 도구(조회/검색/티켓 초안 생성 등)만 사용하고 중요 결정은 사람의 승인으로 고정하는 것이다.

표 6. 에이전트 기반 경보 분류 처리 흐름과 승인·감사 항목

■ 운영 통제(필수)와 성과 지표(예시)

현 에이전트 기반 분류는 효과가 큰 만큼 통제가 선행되어야 한다. 특히 ‘어떤 데이터까지 조회할 수 있는지(권한)’, ‘출처를 항상 남기는지(근거)’, ‘사람이 언제 승인하는지(승인 지점)’를 문서로 고정하고, 감사 기록이 남도록 설계해야 재현성과 책임성이 확보된다.

성과 지표(예시)는 다음과 같이 정의할 수 있다.

표 7. 에이전트 기반 경보 분류 운영을 위한 성과 지표 정의 및 활용 기준

■ 조사 지원과 맥락 정보 인공지능 요약

사건 조사는 여러 시스템의 기록을 연결해 원인을 찾는 과정이다. 인공지능은 서로 다른 형식의 기록을 사람이 읽기 쉬운 문장으로 정리하고, 조사에 필요한 다음 질문을 제안할 수 있다. 예를 들어 ‘어떤 계정이 언제부터 이상 행위를 시작했는가’, ‘다른 자산으로 이동한 흔적이 있는가’와 같은 질문을 생성해 조사 품질을 높일 수 있다. 다만 인공지능 요약은 틀릴 수 있으므로, 출처와 함께 제시하고 사람의 검토 절차가 필수적이다. 운영 관점에서는 ‘요약 품질’과 ‘조사 시간’ 두 축을 동시에 관리해야 현장 수용성이 높아진다.

표 8. 조사 지원 단계에서 인공지능 요약 결과의 품질 점검 항목

조사 지원은 적용 범위가 넓어질수록 위험도 커진다. 처음에는 ‘보고서 초안과 조사 질문 추천’처럼 결과를 쉽게 검토할 수 있는 영역부터 적용하고, 조치 실행과 연결되는 기능은 충분한 운영 검증을 거친 뒤 확장하는 것이 안전하다.

■ 침해사고 발견·처리 소요 기간(활용 수준별)

인공지능 도입 효과를 논의할 때는 단순히 ‘좋아졌다’는 등 주관적인 체감보다, 측정 가능한 지표로 관리해야 한다. 대표 지표 중 하나는 침해사고를 발견하고 처리하기까지 걸리는 전체 소요 기간이다. 이를 조직 내부 지표로 전환할 때는 동일한 정의와 측정 방법을 먼저 합의하는 것이 중요하다.

*출처: IBM Security, Cost of a Data Breach Report 2025

그림 3. 보안 인공지능 활용 수준별 평균 소요 기간(일)

■ 위험 요소와 통제 방안

인공지능을 보안관제에 적용할 때는 성능만큼이나 오작동과 오남용 위험을 관리해야 한다. 특히 사건 요약과 질의 과정에서 보안 로그, 계정 정보, 자산 정보가 입력에 포함될 수 있으므로 입력·출력 정책과 감사 체계가 필수적이다. 또한 공격자가 판단을 흔들기 위해 교란 데이터를 주입하거나, 잘못된 지시를 유도하는 방식도 고려해야 한다. 아래 표는 자주 발생하는 위험과 실무 통제 방안을 정리한 것이다.

표 9. 인공지능 보안관제 적용 시 주요 위험 요소 및 권장 통제 방안

■ 도입 로드맵(단계별 확대)

도입은 작은 범위에서 시작해 정확도와 통제를 검증하면서 확장하는 방식이 가장 안전하다. 특히 ‘승인 없이 실행’은 마지막 단계로 두고, 요약·분류처럼 사람이 쉽게 검토할 수 있는 영역에서부터 신뢰를 쌓는 것이 좋다. 아래 로드맵은 일반적인 예시이다.

표 10. 공지능 보안관제 도입을 위한 단계별 적용 로드맵 및 성공 기준 예시

■ 운영 대시보드(핵심 지표 예시)

지표는 ‘측정 가능’하고 ‘운영 행동을 바꾸는’ 형태여야 한다. 단순히 경보 건수가 줄었다는 것만으로는 의미가 부족할 수 있으며, 실제 사건 처리 품질과 연결되어야 한다. 아래 표는 핵심 지표를 표준화해 관리하기 위한 예시이다.

표 11. 보안관제 운영을 위한 핵심 지표 및 측정 기준(주기·목표) 예시

■ 역할 변화와 운영 체계

인공지능의 도입은 분석가의 역할을 축소하는 것이 아니라, 역할의 중심이 ‘반복 확인’에서 ‘판단과 개선’으로 이동하는 단계라고 볼 수 있다. 따라서 분석가는 더 많은 시간을 원인 분석과 재발 방지, 탐지 정책 개선, 운영 품질 관리에 쓸 수 있어야 한다. 이를 위해서는 책임과 승인 경로가 명확하고, 결과를 검증할 수 있는 운영 체계가 함께 설계되어야 한다. 또한 신규 인력에게는 표준화된 조사 질문과 보고서 템플릿이 교육 자료로 작동해 역량 편차를 줄이는 것도 중요하다.

표 12. 인공지능 도입 전후 보안관제 분석가의 역할 변화 및 운영 방식 비교

■ 참고 문헌 및 자료

[1] NIST, Computer Security Incident Handling Guide (SP 800-61 Rev.2), 2012.

[2] ISO/IEC 27035-1:2016, Information security incident management — Part 1: Principles of incident management, 2016.

[3] IBM Security, Cost of a Data Breach Report 2025, Figure 43.

[4] Google Cloud / Mandiant, M-Trends 2025 (Median Dwell Time by Detection Source, 2024).

[5] IBM Security, Cost of a Data Breach Report 2025

[6] IBM Security, Cost of a Data Breach Report 2025; Google Cloud / Mandiant, M-Trends 2025.

[7] MITRE ATT&CK (attack.mitre.org)

[8] IBM Security — Cost of a Data Breach (ibm.com)

[9] Google Cloud / Mandiant M-Trends (cloud.google.com/security)