Cloud CISO Perspectives: 전략적 필수 요소로서의 AI, 리스크 관리 현대화

해당 블로그의 원문은 2025년 11월 1일 Google Cloud 블로그(영문)에 게재되었습니다. 

2025년 10월 두 번째 Cloud CISO Perspectives에 오신 것을 환영합니다. 오늘, 글로벌 리스크 및 컴플라이언스 수석 디렉터인 Jeanette Manfra가 리스크 관리에서 AI의 역할에 대한 그녀의 생각을 공유합니다.

모든 Cloud CISO Perspectives와 마찬가지로, 이 뉴스레터의 내용은 Google Cloud 블로그에 게시됩니다. 웹사이트에서 이 글을 읽고 있으며 이메일 버전을 받고 싶다면 여기에서 구독할 수 있습니다.

전략적 필수 요소로서의 AI, 리스크 관리 현대화

Jeanette Manfra, Senior Director, Global Risk and Compliance, Google Cloud

제가 집중하고 있는 것은 입력이 변경됨에 따라 민첩하게 대응하고 빠르게 성장하는 회사의 요구를 충족하는 통합된 리스크 상태의 통합입니다. 리스크 관리 수명 주기 전반에 걸쳐 AI가 도움이 될 수 있는 네 가지 주요 영역이 있습니다.

1. 리스크 식별: AI 알고리즘은 여러 소스의 대량의 정형 및 비정형 데이터를 분석하여 새로운 리스크를 나타내는 패턴과 이상 징후를 감지할 수 있습니다. 특히 자연어 처리(NLP)는 텍스트 데이터에서 통찰력을 추출하고 규제 변경, 고객 불만 및 직원 피드백에서 리스크를 식별하는 데 도움이 될 수 있습니다. 금융 기관의 경우 AI는 규정을 준수하는 정책 및 절차를 식별하고 컴플라이언스 격차를 정확히 찾아낼 수 있습니다.
2. 리스크 평가: AI 모델은 예측 분석을 사용하여 과거 데이터와 현재 추세를 기반으로 잠재적 리스크를 예측하여 사전 예방적 관리를 가능하게 할 수 있습니다. 다양한 리스크 시나리오에 대한 시뮬레이션을 실행하여 영향을 평가할 수 있으며, 이는 의사 결정을 개선할 수 있습니다. 머신러닝 알고리즘은 새로운 데이터로부터 지속적으로 학습하도록 훈련될 수 있으며, 리스크 평가를 동적으로 조정하고 정확도를 향상시킬 수 있습니다.
3. 리스크 완화: 식별된 리스크에 대한 노출을 거의 실시간으로 줄이기 위해 자동화된 통제를 구현하고 시행할 수 있는 AI 기반 시스템이 개발되고 있습니다. 변화하는 리스크 프로필과 비즈니스 목표에 따라 최적의 완화 전략을 제안합니다.
4. 리스크 모니터링 및 보고: AI 기반 시스템은 지속적인 모니터링을 제공하여 비정상적인 활동이나 편차에 대한 경고를 생성할 수 있습니다. 데이터 수집 및 분석을 자동화하고, 상세한 보고서를 생성하며, 의심스러운 활동 보고서(SAR) 제출 자동화와 같은 컴플라이언스 보고를 개선할 수 있습니다.

W주요 리스크 관리 용도 전반에 걸쳐 AI의 가치를 추적할 수도 있습니다.

• 사이버 보안 위협 탐지에서 AI 기반 시스템은 엔터프라이즈 환경, 네트워크 트래픽 및 사용자 활동을 모니터링하고 탐지를 지원할 수 있습니다. 이상 징후를 식별하고 공격 벡터를 예측하여 보안을 수동적인 방식에서 사전 예방적인 방식으로 전환할 수 있습니다.
• 규제 변경 관리에서 AI 시스템은 규제 문서 및 업데이트를 검토한 다음 변경 사항 및 기타 중요한 세부 정보를 평이한 언어로 요약할 수 있습니다.
• 품질 보증 및 품질 관리에서 컴플라이언스 부서는 대규모 모집단 샘플을 사용하여 2차 검토를 실행하는 것과 같은 작업을 지원하기 위해 AI를 탐색하고 있습니다.

조직 및 운영상의 과제

AI를 구현하려면 규제 기관, 직원, 임원 및 기타 이해 관계자로부터 동의와 수용을 확보하기 위해 신중한 계획과 테스트가 필요합니다. 이사회는 또한 AI 채택을 안내하는 데 중요한 역할을 할 수 있습니다. 반대로, 광범위한 조직적 헌신과 고위 경영진의 참여 부족은 AI의 유익한 영향을 제한할 수 있습니다.

조직은 일반적으로 AI 채택을 위해 두 가지 경로 중 하나를 따릅니다. AI 도구를 기존 워크플로우에 통합하거나, 조직은 AI를 시작점으로 사용하여 워크플로우를 처음부터 변환하여 AI를 프로세스의 필수적인 부분으로 만들 수 있습니다. 둘 다 최신 데이터 집약적 시스템용으로 설계되지 않은 레거시 인프라로 작업할 때 운영상의 문제에 직면하는 경우가 많습니다. 또한 기존 보안 도구의 파편화는 위협 환경에 대한 통합된 보기를 방해할 수 있습니다.

AI 솔루션을 효과적으로 배포, 관리 및 운영할 수 있는 숙련된 전문가도 크게 부족합니다. 예를 들어 AI 보안 솔루션에는 전문 인력, 지속적인 교육 및 인프라 투자가 필요합니다.

AI는 많은 작업을 자동화할 수 있지만, 자동화된 시스템에 대한 과도한 의존은 인간의 판단과 상황적 이해의 중요한 역할을 감소시켜 AI 시스템이 미묘하거나 상황에 특정한 요인을 고려하지 못할 때 불공정하거나 해로운 결과를 초래할 수 있습니다. 인간의 의사 결정 권한은 AI 컴플라이언스에서 최종적이어야 합니다.

조직이 AI 제품 및 서비스에 대해 타사 공급업체에 의존할 때 AI를 사용한 리스크 측정 및 관리는 추가적인 복잡성에 직면할 수도 있습니다. 서로 다른 지표, 투명성 부족, 사용 사례에 대한 통제력 저하는 모두 AI 사용을 손상시킬 수 있으므로 타사 데이터 및 AI 시스템의 장애에 대한 비상 프로세스를 강력하게 고려해야 합니다.

포괄적인 AI 리스크 관리 프레임워크 채택

조직은 정렬 부족으로 인해 파편화된 리스크 감독에 직면할 수 있으므로 효과적인 AI 리스크 관리는 더 광범위한 엔터프라이즈 리스크 관리 전략에 통합되어야 합니다. 비즈니스 및 보안 리더, 이사회는 필요에 따라 문화적 변화를 구현할 준비가 되어 있어야 합니다.

많은 조직에는 구조화된 AI 거버넌스가 부족합니다. AI 컴플라이언스 및 리스크 관리를 올바르게 구현하려면 법률, 데이터 거버넌스, 기술 개발 및 사이버 보안 팀이 함께 모여야 합니다. 조직에는 구조화되고 포괄적인 접근 방식이 필요합니다.

Google Cloud에서 우리의 접근 방식의 일부는 AI 리스크 관리를 Secure AI Framework (SAIF), NIST AI Risk Management Framework (AI RMF) 및 ISO 42001과 일치시키는 것입니다. NIST 외에도 조직은 ISO 31000 및 Committee of Sponsoring Organizations (COSO)를 포함한 기존 엔터프라이즈 리스크 관리 프레임워크에 AI를 통합하여 자동화, 확장성 및 거의 실시간 기능을 도입하여 효율성을 향상시킬 수 있습니다.

신뢰할 수 있는 AI에 대한 Google Cloud의 접근 방식

우리는 또한 AI 리스크 관리 및 컴플라이언스에 대한 전체적인 접근 방식을 준수합니다. 우리는 다음과 같은 몇 가지 주요 영역에 중점을 둡니다.

• AI 원칙에 따라 책임감 있게 혁신합니다.
• SAIF(여기에 지침) 및 Coalition for Secure AI (CoSAI)를 통해 AI 관련 리스크에 대한 보안 모범 사례를 확장합니다.
• 리스크를 식별, 평가 및 완화하기 위한 AI 리스크 평가 방법론을 사용합니다.
• 생성형 AI 워크로드를 감사하기 위한 자동화되고 확장 가능하며 증거 기반 접근 방식을 개발하고 사용합니다.
• 그리고 우리의 리스크 평가 및 거버넌스 협의회에서 인간의 감독과 협업을 강조합니다.

또한 설명 가능성 도구를 사용하여 AI 예측을 이해하고 해석하며 잠재적 편향을 평가합니다. 마스킹 및 토큰화와 같은 개인 정보 보호 기술과 개인 정보 보호법을 준수합니다. AI가 놓칠 수 있는 보안 취약점에 대한 지속적인 모니터링 및 감사; AI 지식 격차를 해소하기 위한 교육 프로그램에 투자; 데이터 과학자, 리스크 분석가 및 도메인 전문가 간의 "학제 간 협업"을 장려하는 것도 중요합니다.

AI는 혁신적인 힘이며, 전례 없는 수준의 사전 예방적 리스크 관리, 향상된 보안 및 간소화된 컴플라이언스를 가능하게 합니다. 앞으로 나아갈 길은 구조화된 프레임워크, 윤리적인 AI 설계, 학제 간 협업, 인재 및 기술에 대한 지속적인 투자를 포괄하는 전체적이고 리더십 중심의 접근 방식이 필요합니다. 진화하는 기술과 규정에 적응하는 것은 단지 경쟁 우위가 아니라 운영상의 필수 요소입니다.

리스크 관리에서 AI 사용에 대한 자세한 내용은 CISO Insights 허브를 확인하십시오.

Google Cloud Security 최신 소식

다음은 이번 달 현재까지 Google 보안팀의 최신 업데이트, 제품, 서비스 및 리소스입니다.

• Google 방식: 사이버 보안 및 방어를 위한 AI 에이전트 구축: Google에서는 AI 에이전트에 대해 이야기하는 단계에서 보안에 적극적으로 사용하는 단계로 나아갔습니다. Google의 접근 방식을 형성하는 데 도움이 된 네 가지 중요한 교훈은 다음과 같습니다. 자세히 알아보기.
• Model Armor가 AI 앱 보호에 어떻게 도움이 되는가: Model Armor를 사용하여 프롬프트 주입 및 탈옥으로부터 보호할 수 있습니다. 방법은 다음과 같습니다. 자세히 알아보기.
• reCAPTCHA로 안전한 에이전트 웹 활성화: Google Cloud에서는 에이전트 웹에서 사기 및 남용을 방지하는 것이 근본적으로 더 간단한 고객 경험으로 이어져야 한다고 생각합니다. Google Cloud가 이를 수행하는 방법은 다음과 같습니다. 자세히 알아보기.
• Mandiant Academy의 새로운 소식: 경계 보호를 위한 실용적인 교육: 경계 보호: 실용적인 네트워크 강화는 네트워크 트래픽 분석을 강력하고 정밀한 보안 자산으로 전환하는 기술을 가르칩니다. 자세히 알아보기.
• 고객이 양자내성 미래를 준비할 수 있도록 Google이 돕는 방법: Google은 거의 10년 동안 양자내성 컴퓨팅을 연구해 왔습니다. 전송 중인 데이터, 디지털 서명, 공개 키 인프라 보호에 대한 최신 소식을 알려드립니다. 자세히 알아보기.
• Google, 2025 Gartner® Magic Quadrant™ for SIEM 부문 리더로 선정: Gartner가 2025 Gartner® Magic Quadrant™ for Security Information and Event Management(SIEM) 부문에서 Google을 리더로 선정한 소식을 공유하게 되어 기쁩니다. 자세히 알아보기.
• Forrester WAVE에서 Cloud Armor가 Strong Performer로 선정, 새로운 기능 출시: Cloud Armor의 새로운 기능은 보다 포괄적인 보안 정책과 세분화된 네트워크 구성 제어를 제공합니다. 자세히 알아보기.
• Google Cloud의 Parameter Manager에 대한 실용 가이드: Google Cloud Parameter Manager는 주요 클라우드 구성의 불필요한 공유를 줄이도록 설계되었으며 다양한 유형의 데이터 형식과 함께 작동합니다. 자세히 알아보기.

더 많은 보안 관련 소식은 이번 달에 게시된 Google Cloud 블로그를 방문하세요.

위협 인텔리전스 소식

• 공개된 EtherHiding, 1부: 북한, 국가 지원 멀웨어를 블록체인에 숨기다: Google Threat Intelligence Group(GTIG)과 Mandiant는 북한 위협 행위자 UNC5342가 "EtherHiding"을 사용하여 멀웨어를 전달하고 암호화폐 절도를 용이하게 하는 것을 관찰했습니다. 이는 국가 지원 행위자가 이 방법을 채택한 것을 처음으로 관찰한 사례입니다. EtherHiding은 공개 블록체인의 거래를 사용하여 악성 페이로드를 저장하고 검색하며, 기존의 차단 및 차단 목록 노력에 대한 복원력으로 주목받고 있습니다. 자세히 알아보기.
• 공개된 EtherHiding, 2부: UNC5142가 멀웨어 배포에 이를 사용하는 방법: 2023년 말부터 UNC5142는 작전 보안을 강화하고 탐지를 회피하기 위해 전술, 기술 및 절차(TTP)를 크게 발전시켰습니다. 이 그룹은 손상된 WordPress 웹사이트와 BNB 스마트 체인의 EtherHiding을 사용하여 스마트 계약에 악성 구성 요소를 저장하는 것이 특징입니다. 자세히 알아보기.
• 러시아 국가 지원 COLDRIVER에 의한 새로운 멀웨어: 비정부기구, 정책 고문, 반체제 인사의 고위급 대표를 표적으로 삼는 것으로 알려진 러시아 국가 지원 위협 그룹인 COLDRIVER는 2025년 5월 GTIG의 LOSTKEYS 멀웨어 공개 발표 후 신속하게 작전을 전환했습니다. 불과 5일 후, 이 그룹은 새로운 멀웨어 제품군을 배포하기 시작했습니다. 자세히 알아보기.
• 친러시아 정보 작전, 폴란드 영공으로의 러시아 드론 침입 활용: GTIG는 9월에 발생한 것으로 보고된 러시아 드론의 폴란드 영공 침입과 관련된 서사를 홍보하는 친러시아 정보 작전(IO) 행위자의 여러 사례를 관찰했습니다. IO 활동은 이전에 관찰된 폴란드를 표적으로 삼는 친러시아 IO의 사례와 일치하는 것으로 보였으며, 더 광범위하게는 NATO 동맹과 서방을 표적으로 삼았습니다. 자세히 알아보기.
• 베트남 행위자, 가짜 채용 공고 캠페인을 사용하여 멀웨어 전달 및 자격 증명 도용: GTIG는 합법적인 플랫폼에 가짜 채용 공고를 사용하여 디지털 광고 및 마케팅 부문의 개인을 표적으로 삼는 베트남에서 활동하는 재정적 동기가 있는 위협 행위자 클러스터를 추적하고 있습니다. 자세히 알아보기.

더 많은 위협 인텔리전스 관련 소식은 이번 달에 게시된 Google Cloud 블로그를 방문하세요.

Google Cloud 팟캐스트

• AI에 대비한 SOC를 실제로 만드는 것: AI가 보안팀에 어떤 영향을 미칠까요? 초능력을 가진 슈퍼히어로로 변모시킬까요, 아니면 미래는 지킬 앤 하이드에 더 가까울까요? Crogl의 공동 창립자이자 CEO인 Monzy Merza가 호스트 Anton Chuvakin 및 Tim Peacock과 함께 AI의 잠재적인 운명에 대해 논의합니다. 여기서 듣기.
• 보안 연극을 멈추고 보안 현실을 실천하는 방법: Google Cloud의 사고 대응 이사인 Jibran Ilyas가 호스트 Anton과 Tim과 함께 사고 대응 준비를 위한 탁상 훈련이 효과적이면서도 제대로 수행되지 않는 이유에 대해 이야기합니다. 여기서 듣기.
• 바이너리 이면: Black Hat에서 강력한 네트워크 구축: 호스트 Josh Stroschein은 Black Hat 네트워크 운영 센터(NOC) 운영을 돕는 Corelight의 기술 마케팅 엔지니어인 Mark Overholser와 함께합니다. 그는 보안 컨퍼런스를 위한 강력한 네트워크 구축 이면의 철학과 과제에 대한 내부자의 시각을 제공합니다. 여기서 듣기.

Cloud CISO Perspectives 게시물을 한 달에 두 번 받은 편지함으로 받으려면 뉴스레터에 가입하세요. 몇 주 후에 Google Cloud의 더 많은 보안 관련 업데이트로 다시 찾아뵙겠습니다.