염흥열 순천향대 교수·개인정보보호표준포럼 의장
![[포럼] AI 사이버능력 고도화 절실하다](http://contents.dt.co.kr/images/201911/2019112502102369660001[1].jpg "[포럼] AI 사이버능력 고도화 절실하다")
컨설팅사 프라이스워터하우스(PwH)는 AI에 의한 높은 생산성 향상에 기인해 2030년 세계 GDP가 14% 정도 증가할 것으로 예측하고 있다. AI는 기업에게 높은 생산성 향상을 가져다주고, 일반 시민에게 일상생활의 편리성을 높이며 최적화와 효율화된 국가 및 조직 운영을 달성할 수 있는 기회를 제공할 것으로 기대된다.
최근 국내외 기업 정보보호최고책임자(CISO)의 최대 어려움은 보안·프라이버시 관련 법 준수 요구사항의 강화, 진행되는 위협 상황에 대한 통찰력 부족, 많은 보안 장치로부터 발생하는 감당하기 어려운 많은 양의 보안 이벤트, 실시간으로 대응할 보안 인력의 부족 등이다. 예를 들어 최근 유럽연합 일반데이터보호규정(GDPR)에서는 전 세계 매출액의 4%까지 과징금을 메기도록 개인정보 유출 사고에 대한 준수 요구사항을 높였다.
이러한 CISO의 당면 문제의 해결하기 위해서는 AI의 활용이 절실하다. 이를 통해 CISO는 진행 중인 위협 상황에 대한 예측력과 통찰력을 얻을 수 있고, AI에게 단순 반복적인 분석 업무를 시켜서 분석 인력을 절감할 수 있다. 궁극적으로 AI를 이용하면 작은 보안 분석 인력으로 보안사고 및 위협을 사전에 예방하고 대응하는 통합적이면서 적응적인 보안 대응 체계를 마련할 수 있다.
AI 기반 시스템의 운영은 크게 양질의 훈련 데이터로 AI를 훈련하는 프로세스와 운영 환경에서 실제 데이터를 입력해 운영하는 프로세스로 구성된다. AI를 보안 측면에서 보면, AI 시스템을 외부의 공격으로부터 강건하게 만드는 'AI를 위한 보안'과 사이버 보안 대응 능력을 고도화하는 'AI를 이용한 보안'으로 구분된다.
AI를 이용한 보안 대응 능력 고도화의 활용 사례는 일반 컴퓨터 및 모바일 기기의 악성코드 분석, 스팸 메일 판단, 네트워크 보안 관제, 사이버 공격 사전 예고 시스템 등 다양하며 그 응용 영역은 더욱 확대될 것이다. 예를 들어, 한국인터넷진흥원, 금융보안원, 한국과학기술정보연구원(KISTI)에서도 AI 기반 보안 능력 확충과 능력 고도화를 위한 노력을 수행하고 있다. 한국인터넷진흥원은 AI를 이용한 악성코드 분석 체계 구축을 완료해 운영하고 있으며 스팸 대응, 악성 웹 사이트 탐지, 보안 관제 등으로 활용 영역을 확대할 수 있는 AI 공통 플랫폼을 구축하고 있다. 일본 국립정보통신연구기구(NICT)는 악성코드 분석, 분산서비스공격 대응, 보안사고 사전 경고, 보안 관제 구축 등 다양한 분야에 응용되고 있다.
AI 보안을 위한 국제표준화 노력은 ITU-T SG17(보안)에서 주로 수행되고 있다. 산하 연구과제 4 (Q4/17)는 사이버 대응 능력 고도화, 연구과제 2(Q2/17)에서는 AI 기본 원리, 분류, 용어 정의 등, 그리고 연구과제 5(Q5/17)에서는 AI를 위한 스팸 대응 체계에 대한 표준화를 시작했다. 또한 ISO/IEC JTC 1/SC 42(인공지능)에서도 AI 신뢰성에 대한 표준화를 추진 중이다.
AI를 이용한 사이버보안 능력 고도화를 위해서는 다음 사항이 고려되어야 한다. 먼저, 전자정부, 금융, 지능형 교통 등 여러 산업 부문에 적용될 수 있는 공통 AI 보안 데이터의 표준화가 필요하다. AI가 여러 산업부문에 적용될 수 있는 공통 AI 보안 데이터 형식을 표준화한다면, 산업 부문간 보안 관련 AI 데이터의 상호 호환이 가능해 AI 도입의 당초 목표 달성을 용이하게 할 수 있다. 또한 금융, 에너지, 정보통신, 모빌리티 산업 부문 등에 특화된 보안 운영 기술의 개발도 필요하다.
둘째, 보안을 위한 AI 활용에 대한 경험과 지식의 공유가 필요하다. 많은 기업이나 조직이 비슷한 보안 위협에 직면하고 있다. 각 산업 부문 또는 각 산업 부문 내에 기업의 CISO간의 구축 사례, 경험의 공유 등이 가능하도록 하는 정보공유 플랫폼이 정부 중심으로 마련될 필요가 있다. 이러한 보안 정보 공유 플랫폼은 산학연관 전문가로 구성해야 한다.
셋째, 프라이버시 문제는 무시할 수 없다. AI 분석에 요구되는 개인정보를 최소화해야 하고, 동시에 정확도를 만족하는 체계가 필요하다. 이러한 상충되는 요구사항을 만족하는 적절한 데이터 비식별 기법의 적용도 고려해야 한다.
넷째, 강건한 AI 시스템 마련이 필요하다. AI의 기본적 취약점을 이용한 오남용 공격에 막아야 한다. AI 시스템이 공격자에 의해 탈취되거나 오염된 데이터의 입력으로 편견을 갖는 결과의 산출을 막아야 한다. 또한 입력 데이터의 변조를 통해 AI의 틀린 판정을 내게 하는 외부 공격을 막아야 한다. 또한 AI가 처리하는 개인정보 유출을 막는 보호체계도 마련해야 한다.
다섯째, 국제표준화 추진 전략의 마련도 필요하다. 국내 전문가간의 협력 플랫폼을 통해 우리나라가 주도할 표준화 항목을 도출하고, 그 아이템에 적절한 국제표준화 기구에서 우리나라 주도로 표준화를 추진해야 하며, 이를 위한 과기정통부 등 정부에 의한 국내외 표준화 활동 지원이 강화돼야 한다. 전자정부, 금융 부문 등의 사이버대응 체계에 AI를 활용해 보안 대응 능력을 향상해야 하며 주5일 근무, 주 52시간 근무, 보안 분석 전문 인력의 부족 등의 어려움을 해결해야 한다.
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
