|
위협기반 제3자 위험 관리(Threat-Informed Third-Party Risk Management, TPRM) 분야 글로벌 리더인 SecurityScorecard (www.securityscorecard.com 지사장 우청하)는 오늘, 벤더 온보딩부터 위험 평가, 지속적인 모니터링, 위험 조치, 보고까지 제3자 위험 관리 전 과정을 하나의 연결된 워크플로우로 운영할 수 있도록 지원하는 AI 기반 제3자 IT 위험관리(TPRM) 플랫폼 ‘타이탄 AI(TITAN AI)’를 발표했다.
기존 TPRM 환경에서는 벤더 보안 등급을 확인하는 도구, 보안 설문 및 평가 도구, GRC(거버넌스·리스크·컴플라이언스) 시스템 등이 각각 분리되어 운영되는 경우가 많다. 담당자가 여러 시스템의 정보를 직접 확인하고 옮겨야 하기 때문에 업무가 수작업에 의존하고, 시스템 간 연결이 끊기는 지점에서 위험이 누락될 수 있다. 타이탄 AI는 이러한 분리된 업무를 지속적인 인텔리전스(Continuous Intelligence), AI 기반 자동화(AI-powered Automation), 위협 기반 위험 조치(Threat-informed Remediation)로 연결해 하나의 워크플로우에서 관리할 수 있도록 한다.
벤더 등록부터 위험 평가까지 하나의 흐름으로 연결
타이탄 AI는 타이탄 워치(TITAN Watch), 타이탄 어세스(TITAN Assess), 타이탄 시큐어(TITAN Secure)를 하나의 워크플로우로 연결한다. 벤더 환경의 변화를 지속적으로 모니터링하고, 필요한 평가를 진행한 뒤 위험 조치까지 이어지는 과정을 별도의 시스템 간 이동이나 수작업 없이 연결할 수 있다.
벤더가 처음 등록되는 단계에서도 수작업을 줄인다. 기존에는 벤더의 위험 등급, 보안 점수, 비즈니스 관련 정보가 서로 다른 시스템에 있어 담당자가 여러 도구를 확인해야 했다. 타이탄 AI에서는 하나의 제출 과정에서 법인 정보를 확인하고 보안 점수를 가져와 벤더의 위험 등급을 설정할 수 있어, 벤더 등록과 초기 위험 범위 설정을 하나의 연결된 흐름에서 처리할 수 있다.
AI 에이전트가 보안 설문 검토와 반복 업무 수행
보안 평가 과정에서도 AI가 반복적인 업무를 담당한다. 담당자는 기존 템플릿을 활용하거나 새로운 보안 설문(Security Questionnaire)을 작성해 벤더에게 발송할 수 있으며, 리뷰 에이전트(Review Agent)가 제출된 응답을 일관된 방식으로 검토한다. 이에 따라 담당자는 모든 답변과 첨부자료를 처음부터 끝까지 직접 확인하기 보다, 실제 판단이 필요한 답변에 집중할 수 있다. 또한 비밀번호 없이 접속할 수 있는 링크를 제공해 벤더의 설문 참여 과정도 간소화한다. 시큐리티스코어카드는 이러한 방식이 담당자 1인당 처리할 수 있는 평가 건수를 늘리고, 평가 기간을 단축하며, 벤더의 응답률을 높이는 데 도움이 된다고 설명한다.
실제 위협을 기준으로 위험 조치까지 자동화
타이탄 AI는 위험 조치 단계에서도 실제 위협 정보를 활용한다. 타이탄 시큐어(TITAN Secure)는 정적인 위험 점수만을 기준으로 하는 것이 아니라 현재 발생하고 있는 위협 활동(Active Threat Activity)을 기반으로 발견 사항을 평가해 실제 공격에 노출된 벤더에 우선순위를 부여한다.
우선순위가 결정되면 리스폰스 에이전트(Response Agent)가 위험 조치 요청을 작성하고 벤더에게 발송하며, 정해진 일정에 따라 후속 조치를 진행한다. 해결되지 않은 문제는 자동으로 에스컬레이션할 수 있으며, 벤더가 조치를 완료했다고 회신하면 자동 재검사(Auto-rescan)를 통해 실제로 문제가 해결됐는지 확인한다. 조치가 제대로 유지되지 않은 경우에는 해당 이슈를 다시 열어 추가 조치를 진행할 수 있다. 즉, 타이탄 AI는 위험 발견, 우선순위 설정, 조치 요청, 후속 확인, 재검증으로 이어지는 과정을 하나의 워크플로우로 연결한다.
기업이 원하는 수준으로 AI 자동화 설정
타이탄 AI는 모든 업무를 일괄적으로 AI에 맡기는 방식이 아니라, 기업이 원하는 수준으로 자동화 범위를 설정할 수 있도록 한다. 자동화 도입 초기에는 담당자가 모든 위험 조치 요청을 승인한 후 벤더에게 발송하도록 설정할 수 있다. 이후 시스템에 대한 신뢰가 높아지면 특정 업무에 대해서는 AI가 전체 워크플로우를 실행하고, 판단이 필요한 경우에만 담당자가 개입하도록 운영할 수 있다. 또한 모든 자동화 작업에는 어떤 작업이 실행됐고 그 이유가 무엇인지에 대한 기록이 남는다. 이를 통해 기업은 자동화 수준을 높이면서도 필요한 통제와 가시성을 유지할 수 있다.
TPRM 프로그램 전체 현황도 하나의 흐름에서 관리
워크플로우 빌더(Workflow Builder)를 활용하면 벤더 등록, 평가, 위험 조치 과정을 별도의 커스텀 코딩 없이 연결할 수 있다. 새로운 정책이 적용되면 이후 등록되는 벤더에 동일한 정책을 자동으로 적용할 수 있다. 또한 연결된 데이터를 기반으로 경영진이 TPRM 프로그램의 위험 우선순위, 진행 상황, 벤더의 대응 수준을 파악할 수 있도록 프로그램 단위의 현황을 제공한다. 이를 통해 담당자는 여러 시스템에서 데이터를 취합해 별도의 보고서를 만드는 대신, 실시간으로 업데이트되는 정보를 기반으로 감사 및 경영진 보고에 대응할 수 있다.
제한된 인력으로 증가하는 벤더 환경에 대응
TPRM 프로그램은 관리해야 하는 벤더 수가 늘어나는 반면 담당 인력은 제한적인 경우가 많다. 시큐리티스코어카드에 따르면 TPRM 프로그램에서 담당자 1명이 600개 이상의 벤더를 관리하는 경우도 드물지 않다. 타이탄 AI는 이러한 환경에서 반복적인 수작업을 AI가 처리하도록 해 담당자가 보다 중요한 위험 판단에 집중할 수 있도록 설계됐다.
시큐리티스코어카드는 타이탄 AI를 사용하는 기업에서 수작업 최대 95% 감소, 벤더 참여율 9배 향상, 공급망 침해 최대 75% 감소 등의 결과를 보고했다고 밝혔다. 또한 위험 귀속(Risk Attribution) 정확도 99.9%, 이의 제기(refute) 비율은 거의 0%에 가까운 수준이라고 설명했다.
실제 글로벌 기업에서도 타이탄 AI를 활용하고 있다. 글로벌 식품기업 허쉬(The Hershey Company)는 식재료 공급업체, 제조 파트너, 포장업체, 물류업체 등 다양한 공급망 파트너를 관리하고 있다. 허쉬의 필 애디슨(Phil Addison) 제3자 사이버 리스크 관리 담당자는 타이탄 AI에 대해 “추적해야 할 또 하나의 경고가 아니라 실제로 조치를 취할 수 있는 맥락을 제공한다”고 평가했다.
국내 시장 공략 본격화… 굿모닝아이텍과 고객 접점 확대
한편, 시큐리티스코어카드는 국내 총판사인 굿모닝아이텍과 협력해 금융, 공공 및 기업의 CISO와 보안 담당자를 대상으로 국내 시장에서 고객 접점을 확대하고 있다.
양사는 최근 제주에서 열린 ‘제22회 CONCERT 정회원 워크숍’을 비롯해 ‘저축은행 CISO 초청 행사’ 등에 참여하며 금융권 보안 리더들과의 네트워크를 강화했다. 또한 지난 9월 8일 세종대 컨벤션센터에서 열린 ‘KCSCON 2026’에 공동 부스로 참가해 타이탄 AI(TITAN AI)를 소개했으며, 9월 10일에는 ‘금융정보시스템연구회 9월 조찬회’에서 ‘글로벌 기업들이 선택한 제3자 사이버 리스크 관리 솔루션’을 주제로 발표하는 등 국내 시장과의 소통을 확대하고 있다.
시큐리티스코어카드 우청하 지사장은 “제3자 위험 관리는 여러 도구를 각각 운영하고 이를 연결하는 과정에서 정보가 단절되고, 그 사이에서 위험이 놓칠 수 있는 구조였다”라고 말하며, “타이탄 AI(TITAN AI)는 벤더 온보딩부터 평가, 지속적인 모니터링, 위험 조치와 보고까지 하나의 워크플로우로 연결해 제한된 인력으로도 더 많은 벤더를 관리하고, 보안팀이 판단과 의사결정이 필요한 업무에 집중할 수 있도록 지원한다”라고 말했다.
타이탄 AI(TITAN AI)는 현재 이용할 수 있으며, 제품 및 데모 신청에 대한 자세한 내용은 시큐리티스코어카드 웹사이트에서 확인할 수 있다.
|
