클라우드 보안 진단의 시간 단위가 한 달에서 수십 분으로 압축되고 있다. 인공지능(AI)·클라우드 전문기업 솔트웨어는 26일 수공예 커머스 플랫폼 아이디어스(idus)를 운영하는 백패커에 AI 기반 아마존웹서비스(Amazon Web Services·AWS) 보안 진단 서비스 ‘SCR(Security Compliance Review)’을 제공했다고 밝혔다. 이번 사례의 의미는 업무 속도가 빨라진 데에만 있지 않다. 외부 전문가에게 의뢰해 결과 보고서를 기다리던 보안 진단이 기업 내부에서 필요할 때마다 반복할 수 있는 운영 기능으로 바뀌기 시작했다는 점에 있다.
SCR은 AWS 자원의 구성과 변경 이력을 기록하는 설정 관리 서비스 오픈소스 클라우드 보안 플랫폼(CSPM) Prowler를 기반으로 한다. 정보보호 및 개인정보보호 관리체계(ISMS-P)의 103개 핵심 항목에 맞춰 사용자 권한과 접근 통제, 데이터 암호화, 보안 관리, 침해사고 대응, 재해복구 등 주요 영역의 설정 상태를 분석한다. 결과는 웹 문서 형식인 에이치티엠엘(HTML) 리포트로 제공되며, 위험도가 높은 항목에는 우선 대응할 수 있도록 표준 운영 지침도 제시한다.
백패커는 아이디어스의 성장과 함께 AWS 기반 인프라가 확대되면서 클라우드 자산의 보안 상태와 ISMS-P 대응 자료를 효율적으로 관리해야 하는 과제를 안고 있었다. 이번 도입으로 여러 서비스에 분산된 설정 상태를 동일한 기준으로 확인하고, 위험 수준에 따라 개선 순서를 정할 수 있는 기반을 마련했다. 다만 현재 확인된 성과는 초기 진단과 관리 체계를 구축했다는 것이다. 실제 취약점 감소율이나 평균 개선 시간, 보안사고 예방 효과까지 입증된 것은 아니다.
보안 컨설팅이 반복 가능한 소프트웨어로 바뀐다
기존 보안 점검은 기업과 컨설팅업체가 범위를 협의하고 자료를 수집한 뒤 전문가가 결과를 분석하는 프로젝트 방식으로 진행됐다. 이 과정에는 통상 한 달 이상이 필요해 보안 인력과 예산이 부족한 기업은 인증 준비나 정기 감사 시점에 업무에 집중하기 쉬웠다. SCR은 고객이 필요한 AWS 계정 접근 권한을 승인하면 약 30분 안팎에 초기 결과를 제시한다. 월·분기·연 단위로 수행하던 진단을 필요에 따라 반복할 수 있는 여건이 마련되는 것이다.
이러한 변화가 보안 전문가의 역할을 없애는 것은 아니다. 클라우드 설정 정보를 수집하고 기준과 대조하는 반복 업무는 소프트웨어가 맡을 수 있지만, 발견된 문제의 실제 위험도를 판단하고 서비스 중단 없이 설정을 변경하며 예외 적용 여부를 결정하는 일은 여전히 사람이 담당해야 한다. 기계가 진단에 필요한 시간을 줄일수록 전문가의 역할은 보고서 작성에서 위험의 우선순위 결정, 시스템 구조 개선, 사고 대응 설계와 같은 고난도 업무로 옮겨간다.
자동 진단의 범위도 명확히 구분할 필요가 있다. AWS 설정 103개 항목을 확인하는 것과 ISMS-P 인증 요건 전체를 충족하는 것은 같은 의미가 아니다. 조직의 정보보호 정책과 책임체계, 임직원 관리, 개인정보 처리 절차, 물리보안처럼 클라우드 구성 정보만으로 확인하기 어려운 영역이 존재한다. 따라서 ‘한 달 걸리던 보안 점검이 30분으로 단축됐다’는 설명은 전체 인증 심사나 취약점 개선이 아니라, AWS 환경을 분석해 초기 결과를 제시하는 과정에 해당한다.
보안의 병목, 이제 탐지보다 개선에 있다
진단 시간이 짧아지면 보안 운영의 다음 병목도 선명해진다. 취약한 설정을 수십 분 안에 찾아내더라도 이를 수정할 담당자와 예산, 시스템 변경 권한이 없다면 실제 위험은 남는다. 자동화 서비스의 성과를 소요 시간이나 발견 건수만으로 판단하기 어려운 이유다. 앞으로는 고위험 항목의 개선 완료율, 평균 조치 시간, 같은 문제가 다시 발생하는 비율과 잔존 위험의 변화가 더 중요한 지표가 된다.
솔트웨어가 SCR을 일회성 서비스에서 상시 관리 플랫폼으로 발전시키려는 계획도 이 지점과 연결된다. 회사는 보안 점수(Security Score)를 실시간으로 확인하는 대시보드, 주기적 자동 스캔, 이전 결과 대비 개선율, ISMS-P 심사에 활용할 증적자료 자동 수집 기능을 추가할 예정이다. 계획이 구현되면 SCR의 역할은 정적인 보고서 제공에서 보안 상태의 변화를 지속적으로 추적하는 운영 도구로 확대된다. 그 실질적 가치는 얼마나 많은 문제를 찾아냈는지가 아니라, 고객사가 발견된 위험을 얼마나 빠르고 지속적으로 줄였는지로 검증될 것이다.
AWS 마켓플레이스(AWS Marketplace)를 통한 공급 방식도 주목할 만하다. 보안 전담조직을 충분히 갖추기 어려운 중소·중견기업이 장기간의 별도 구축 과정 없이 필요한 서비스를 구매할 수 있기 때문이다. 이는 클라우드 보안 진단의 진입비용을 낮출 수 있지만, 도구를 구매하는 것만으로 안전한 운영체계가 완성되지는 않는다. 기업이 사용하는 클라우드 자산을 빠짐없이 확인하고, 결과를 검토해 개선 책임자를 지정하는 일은 여전히 기업 내부의 몫이다.
솔트웨어 SCR과 백패커의 사례가 보여주는 변화는 ‘AI가 보안을 해결한다’는 단순한 이야기가 아니다. 기술이 보안 상태를 파악하는 시간과 비용을 낮추면서, 기업은 위험을 발견했는지보다 발견된 문제를 누가 언제 개선했는지에 더 큰 책임을 지게 된다. 클라우드 컴플라이언스가 일회성 인증 준비에서 일상적인 운영으로 전환될수록 AI 보안의 가치는 보고서를 빠르게 만드는 능력이 아니라, 위험의 발견과 실제 개선 사이의 시간을 얼마나 줄이느냐에서 드러날 것이다.
