- AI 자동화·위협 인텔리전스 결합…TITAN Assess로 보안 설문 최대 18배 빠르게 처리

 

시큐리티스코어카드가 AI 기반 자동화와 위협 인텔리전스를 결합한 제3자 위험 관리(TPRM) 플랫폼 ‘타이탄 AI(TITAN AI)’를 발표했다. 이를 통해 공급업체와 확장된 공급망의 보안 위협을 추적하고 대응 우선순위를 정할 수 있다.

 

기업이 사용하는 AI 도구가 빠르게 늘면서 기업의 관리 대상에서 빠진 ‘섀도우 AI(Shadow AI)’도 새로운 위험으로 떠오르고 있다. 시큐리티스코어카드는 보안팀이 파악한 AI 벤더가 12개인 조직에서 실제 사용하는 AI 도구는 60개에 달한 사례를 제시했다. 이처럼 관리되지 않는 AI 도구가 늘어나면 기업 데이터가 어디로 전달되고 어떻게 사용되는지 감사하고 통제하기 어려워진다.

 

AI 벤더 계약 전 데이터·기술·편향 검증

기존 TPRM이 벤더의 데이터 보호 역량을 주로 평가했다면 AI 벤더는 모델에 전달한 데이터의 처리 과정과 결과물의 신뢰성, 기반 모델 재학습에 따른 변화까지 살펴야 한다. 계약 이후에도 AI 모델과 데이터가 달라질 수 있기 때문이다.

 

시큐리티스코어카드는 계약 전 검증 기준으로 데이터 흐름과 개인정보 보호, AI 기능과 벤더 역량, 윤리적 AI와 편향 여부를 제시했다. 기업은 AI 벤더의 데이터 접근 범위와 학습 활용 여부, 보유 기간, 재위탁업체를 확인하고 자체 AI 기술을 운용하는지 기존 기반 모델을 활용하는지도 검증해야 한다. 편향 완화 과정과 학습 데이터, 제3자 감사 여부도 평가 대상에 포함된다. 계약 시에는 AI 학습 거부 옵션과 데이터 익명화, RPA·챗봇의 데이터 처리 방법을 확인해야 한다. 계약 이후의 AI 시스템 감사 권한과 종료 후 데이터 통제권 유지 여부도 점검하도록 권고했다.

 

EU AI Act·GDPR 규제 요건도 계약에 반영

시큐리티스코어카드는 AI 벤더 계약에 EU AI Act와 GDPR 등 관련 규제를 반영하고, 감사·자료 요구 권한과 규제 미충족 시 계약 종료 권한을 명시하도록 권고했다. 여러 국가에서 사업하는 기업은 각 AI 벤더에 적용되는 지역별 규제를 확인하고, 법무·보안 조직이 동일한 기준으로 준수 여부와 위험을 점검해야 한다.

 

TITAN AI로 계약 이후 위험까지 추적

TITAN AI는 정기적인 보안 평가에 그치지 않고 AI 벤더의 모델과 데이터, 하위 처리자 변경에 따른 위험을 상시 모니터링한다. 새로운 위험이 발생하면 담당자에게 전달해 대응하도록 지원한다. 제3자 보안 평가와 설문 업무는 ‘타이탄 어세스(TITAN Assess)’가 자동화한다. 복잡한 보안 설문을 수작업 대비 최대 18배 빠르게 처리하며 수동 설문 업무량을 92% 줄인다.

 

시큐리티스코어카드 우청하 지사장은 “AI 벤더의 기술과 데이터 처리 방식을 사전에 검증하는 것은 물론, 도입 이후에도 변화하는 위험을 지속적으로 모니터링하는 체계가 필요하다”고 밝혔다.

 

#시큐리티스코어카드 #TITANAI #TITANAssess #TPRM #AI벤더 #섀도우AI #AI보안 #공급망보안 #위협인텔리전스