SecOps를 위한 FinOps: 에이전트형 SOC를 가치 중심으로 최적화하는 방법

이 매트릭스는 CISO가 보안 가치와 컴퓨팅 비용 사이의 균형을 맞출 수 있도록 설계되었습니다.

1사분면: 여기서 시작하여 즉시 확장 — 높은 가치, 낮은 컴퓨팅 비용

• 워크로드: 탐지 및 규칙 엔지니어링, Tier 1 분류, 컨텍스트 수집, 조사 요약

• 효과적인 이유: 알림 주기에 따라 범위가 지정된 작업을 수행하면 토큰당 가장 높은 보안 가치를 얻을 수 있습니다. 규칙 엔지니어링을 통해 의사 결정을 주도해야 합니다. 에이전트는 최신 위협 인텔리전스를 몇 분 만에 탐지 기능으로 전환하여 표준 패치로는 해결할 수 없는 격차를 해소합니다.

2사분면: 전략적 투자, 신중한 타당성 검토 — 높은 가치, 높은 컴퓨팅 비용

• 워크로드: 개방형 위협 추적, 인텔리전스 기반의 소급 추적, 멀티 소스 상관관계, 공격 경로 탐색

• 효과적인 이유: 정적 규칙으로 복제할 수 없는 추론은 높은 영향력과 높은 비용을 동시에 수반합니다. 비용을 고려할 때, 위협 추적은 지연 시간에 민감하지 않으므로 이 방식을 선별적으로 배포하고 비동기식으로 실행해야 합니다. 일단 규칙으로 성문화되면 추적 작업은 다음 사분면으로 넘어갑니다.

3사분면: SIEM 유지, 에이전트 사용 금지 — 낮은 가치, 낮은 컴퓨팅 비용

• 워크로드: 알림 중복 삭제, 케이스 클러스터링, 티켓 라우팅, 침해 지표(IOC) 매칭, 성문화된 탐지

• 에이전트가 적합하지 않은 이유: 작업 자체는 가치 있지만, LLM보다 SIEM이 더 빠르고 낮은 비용으로 작업을 수행합니다. 이미 보유하고 있는 기능으로 수행할 수 있는 작업에 대해 굳이 추론 프리미엄 비용을 지불하지 마세요.

4사분면: 토큰의 함정, 회피 요망 — 낮은 가치, 높은 컴퓨팅 비용

• 워크로드: 핫 경로 상의 원시 데이터 및 제휴 데이터에 대해 SIEM 역할을 하는 에이전트 — 쿼리당 재정규화, 'SIEM 없는' 실시간 탐지

• 실패하는 이유: 이러한 준비 작업은 한 번 수행한 후 SIEM에 재사용하면 비용이 저렴하지만, 에이전트가 모든 알림마다 이를 반복하도록 강제하면 속도가 느려지고 비용이 많이 들며 결과도 더 나빠집니다. 에이전트는 이러한 기반 업무를 대체하는 것이 아니라, 그 위에서 활용되어야 합니다.

예를 들어 Google Security Operations를 사용하면 어떤 에이전트를 사용 중인지에 따라 토큰 예산을 수립할 수 있습니다.

에이전트형 SOC에서 ROI를 극대화하는 방법

에이전트형 SOC로 전환은 점진적으로 진행됩니다. 분류 및 조사 에이전트는 컴퓨팅 비용이 낮고 즉각적으로 높은 가치를 제공하므로 배포를 시작하기에 가장 적합합니다. 데이터 및 운영상의 장벽을 성공적으로 극복하려면 보안 리더는 체계적인 원칙을 준수해야 합니다.

1단계: 데이터의 효율적인 합산: 보안 원격 분석을 중앙 집중화하는 것은 에이전트 효율성을 높이고 할루시네이션을 방지하는 데 매우 중요합니다. 하지만 처음부터 모든 데이터베이스를 마이그레이션할 필요는 없습니다. 

잘 구성된 외부 데이터베이스의 경우, Google Cloud 원격 모델 컨텍스트 프로토콜(MCP) 서버를 사용하여 커스텀 에이전트가 컨텍스트를 즉시 쿼리할 수 있도록 함으로써 비용이 많이 드는 마이그레이션을 방지하고, 보안 정보 및 이벤트 관리(SIEM)와 더 광범위한 IT 자산 간의 격차를 해소할 수 있습니다.

2단계: 에이전트 자율성 조절: 도입 첫날부터 전사적으로 에이전트를 배포하지 마세요. 통합 데이터 모델(UDM)에 매핑된 정밀한 비즈니스 수단을 사용하여 에이전트의 초점을 조절합니다.

• 위협 우선순위별 필터링: 에이전트를 우선순위가 가장 높은 알림으로만 제한하거나 우선순위가 낮은 노이즈를 자동으로 제거하도록 설정합니다.

• 원격 분석 소스별 필터링: 엔드포인트 탐지 및 해결(EDR) 알림과 같은 신뢰도가 높은 원격 분석에만 집중하도록 합니다.

• 대상별 필터링: VIP 사용자 및 권한이 높은 관리자와 관련된 비정상적인 활동으로 자율 조사 범위를 제한합니다.

3단계: 병렬 작업을 실행하여 가치 입증: 프로덕션 워크플로를 전환하기 전에 2~4주 동안 가치 증명(POV)을 실행하여 기존의 수동 작업과 에이전트 기반 워크플로를 비교합니다. 이러한 과정을 통해 기준을 설정하고, 수동 분류에서 놓치는 부분을 파악하고, 운영 모델을 구축하며, ROI를 입증할 수 있는 구체적인 내부 근거를 마련할 수 있습니다.

4단계: 인간 참여형(Human-In-The-Loop)의 검증 가능한 자율성 의무화: 분석가는 일반적인 신뢰도 점수만 제시하는 블랙박스 AI를 신뢰하지 않습니다. 검증 가능한 자율성을 통해 신뢰를 구축하세요. 에이전트는 결정론적 리스크 수준(높음, 보통, 낮음)을 제공하고, 정확한 논리 경로를 설명하며, 원시 SIEM 로그로 바로 연결되는 감사 추적 링크를 제공할 수 있어야 합니다.

5단계: 운영 측정항목 전환: 분석가가 시스템을 신뢰하게 되면 기본적인 평균 탐지 시간(MTTD) 및 평균 대응 시간(MTTR)을 넘어, 다음과 같은 새롭고 영향력 있는 관점으로 성과를 측정하세요.

• 반복 업무 대폭 감소: 평균 30분이 걸리던 단순 반복 작업을 거의 즉시 수행 가능한 검증 단계로 전환합니다.

• 인재 역량의 범용화: 이전에는 높은 신뢰도를 요구하는 의사 결정을 선임 분석가만 내릴 수 있었다면 이제는 풍부한 컨텍스트와 가이드 기반 추론을 바탕으로 주니어 분석가도 이를 수행할 수 있습니다.

• 온보딩 가속화: 에이전트의 컨텍스트 기반 요약과 실행 가능한 플레이북을 활용하여 기존에 6개월 정도 걸리던 적응 기간을 단축할 수 있습니다.

6단계: 도제식 교육 공백 해결: AI가 고난도 업무를 자동화하므로 주요 인력이 선제적인 위협 추적 업무에 집중할 수 있습니다. 그러나 이 과정에서 기본적인 분석 역량이 저하되지 않도록 신입 사원은 온보딩 기간에 AI 없이 수동으로 분류를 수행하도록 해야 합니다. 이를 통해 기계적인 승인 편향을 방지하고, 지속적인 CTF(Capture-The-Flag) 실습 환경을 유지해 논리적 감각을 보존할 수 있습니다.

에이전트형 SOC 활성화

Google은 에이전트를 빌드하고 이를 활용하여 고객과 글로벌 인프라를 보호하고 있습니다. SecOps에 FinOps 접근 방식을 적용하면 에이전트 AI의 전체 기능을 안전하게 활용할 수 있습니다.

에이전트형 보안 토큰에 관한 자세한 내용은 여기를 참고하세요.