AWS가 말하는 AI 시대 보안…“보안팀은 규제자가 아닌 설계자’” 작성일 12-04 37 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">마크 라일랜드 아마존 보안 총괄 인터뷰<br>개발 초기부터 전 과정에 보안 고려해야<br>AI 잘 활용하면 위협 아닌 방어자산 될 것<br>에이전트·허브 등 기능 대거 업그레이드</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="Zb1Y9R8BT8"> <figure class="figure_frm origin_fig" contents-hash="e5be6e88eb54208cb44988165460ba1fbea21177ff306b74a5a3fdd950e9b601" dmcf-pid="5FvO02ztS4" dmcf-ptype="figure"> <p class="link_figure"><img alt="마크 라일랜드 아마존 보안 총괄이 지난 2일(현지시간) 미국 라스베이거스에서 열린 아마존웹서비스(AWS) 리인벤트 2025 현장에서 매일경제와 인터뷰하고 있다. [사진 = 아마존웹서비스]" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202512/04/mk/20251204133907395yght.jpg" data-org-width="700" dmcf-mid="X4yCUfB3S6" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202512/04/mk/20251204133907395yght.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 마크 라일랜드 아마존 보안 총괄이 지난 2일(현지시간) 미국 라스베이거스에서 열린 아마존웹서비스(AWS) 리인벤트 2025 현장에서 매일경제와 인터뷰하고 있다. [사진 = 아마존웹서비스] </figcaption> </figure> <div contents-hash="110a5cd5d2c0e6d6ea57304f1390f7811d1f94e3d857f7c53e31a6bdbe60e5d8" dmcf-pid="13TIpVqFTf" dmcf-ptype="general"> “보안 팀이 개발 역할을 수행하고, 개발 팀이 보안 역량을 더하는 사례가 늘고 있습니다. 기술 간 경계가 모호해지고 융합되는 것이죠. 성공적인 기업들은 이러한 방향으로 나아가고 있습니다.” </div> <p contents-hash="6f42d1d56a74877f37b83519211fcd9132feaefbe480565e88aaf6aee2229905" dmcf-pid="t0yCUfB3hV" dmcf-ptype="general">마크 라일랜드(Mark Ryland) 아마존 보안 총괄은 지난 2일(현지시간) 미국 라스베이거스에서 열린 ‘아마존웹서비스(AWS) 리인벤트 2025’ 현장에서 매일경제와 인터뷰하면서 급변하는 보안 환경 속에서 기업의 보안 조직이 나아가야 할 방향을 이렇게 설명했다.</p> <p contents-hash="c14c60e9dc0c9cfafd75e288fac43fe2bfbecaf153b03692b06b124a26411305" dmcf-pid="FpWhu4b0v2" dmcf-ptype="general">AWS에서 14년째 근무하며 그 중 상당 기간을 공공 부문 보안 업무에 집중해온 그는 “인공지능(AI)이 촉발한 새로운 위협에 대응하기 위해 보안 조직의 정체성을 재정립해야 한다”고 역설했다. 보안 팀도 다른 조직의 요구사항을 구현할 수 있는 엔지니어링 팀으로 발전해야 한다는 게 핵심이다.</p> <p contents-hash="cd6650ac0b92d7c2b29bc351e6bc17fbc791580b80b81c5cffa0da26a27e5a44" dmcf-pid="3UYl78KpT9" dmcf-ptype="general">라일랜드 총괄은 “보안 조직이 단순히 규정만 제시하며 ‘이렇게 하라’고 지시하는 방식이라면 개발 조직의 우선순위에서 쉽게 밀리게 된다”며 “보안 팀은 엔지니어링 역량을 갖추고 개발 팀이 필요한 안전한 개발 환경과 도구를 제공해 일을 덜어주는 ‘빌더(설계자)’가 돼야 한다”라고 말했다. 결국 안전한 길을 가장 쉬운 길로 만들어주는 것이 AI 시대에 걸맞는 보안팀의 역할이라는 의미다.</p> <p contents-hash="6aeb28b5843a3a72b17e01e61caeac11836a4607175b120009b27f3461c0518b" dmcf-pid="0uGSz69UCK" dmcf-ptype="general">이러한 접근은 보안을 개발 초기 단계부터 반영하는 ‘시프트 레프트(Shift Left)’ 전략과도 맞닿아 있다. 라일랜드 총괄은 “우리는 업계에서 오랫동안 ‘시프트 레프트’ 개념을 강조해 왔다”며 “개발이 끝난 뒤 마지막에 보안을 덧붙이는 방식은 더 이상 효과적이지 않기 때문에 보안 기능을 엔지니어링 프로세스에 통합해 개발 전 단계에서 보안이 고려되도록 해야한다”고 설명했다.</p> <p contents-hash="ee26da6b7cbc3c6026706459f10045c05a7232699125600dbfe0962c02a5928a" dmcf-pid="p7HvqP2uCb" dmcf-ptype="general">라일랜드 총괄은 이에 더해 방어 체계 구축에 새로운 AI 도구들을 적극 활용할 것을 강조했다. 그는 “(AI로 인해) 공격의 자동화 수준과 속도가 높아진 것은 사실이지만, AI는 방어자에게도 강력한 도구”라며 “공격과 방어 간 경쟁이 심화되는 ‘군비 경쟁’ 속에 있지만, 기본을 지키고 최신 도구를 활용하는 기업이라면 AI는 위협이 아니라 가장 강력한 방어자산이 될 것”이라고 말했다.</p> <p contents-hash="eb1a6b968906700d8c394a676b475b60afee1c6d3b249f293615fdde0888731c" dmcf-pid="UzXTBQV7yB" dmcf-ptype="general">이러한 흐름에 맞춰 AWS는 개발과 운영을 위한 AI 보안 기능을 대폭 강화하고 있다. 올해 리인벤트에서도 이를 뒷받침하는 신규 기능들이 대거 공개됐다.</p> <p contents-hash="4f8f7c18a333b28abc0b66d5a4f22772179d15d1ff89357b938696585f81263a" dmcf-pid="uqZybxfzTq" dmcf-ptype="general">대표적인 것이 자율형 AI 에이전트 ‘프론티어 에이전트’에 포함된 ‘AWS 시큐리티 에이전트’다. 라일랜드 총괄은 “위협 모델링, 코드 분석, 자동 침투 테스트 등 개발 전 과정을 아우르며 취약성이 적은 서비스를 만들 수 있도록 돕는다”며 “AI가 대응자의 효율성을 높이고 신속한 대응을 가능하게 한다”고 설명했다.</p> <p contents-hash="64003d610df086ec5bd5dc02e04f3ed58145513e3fc192e1e1c0e75fa2f7929a" dmcf-pid="7B5WKM4qWz" dmcf-ptype="general">AWS는 AI 에이전트 구축 플랫폼 ‘베드록 에이전트 코어’에 ‘폴리시 인 에이전트코어’라는 보안을 위한 작동 조건 설정 기능을 추가하기도 했다. 라일랜드 총괄은 “AI 에이전트 기술은 비결정성 때문에 원치 않는 행동을 할 위험이 있다”며 “이 기능은 이러한 활동에 제한을 걸고 경계를 설정하기 훨씬 쉽게 만든다”고 소개했다.</p> <p contents-hash="694f6e0bad2d7c1e46020d190f734bf43d2edc3ec03f798883d504967b047759" dmcf-pid="zB5WKM4qv7" dmcf-ptype="general">또한 통합 클라우드 보안 서비스 ‘AWS 보안 허브(Security Hub)’가 공식 출시됐는데, 이는 여러 보안 도구에서 솓아지는 시그널을 통합·분석해 주요 위협을 신속하게 식별하고 대응할 수 있도록 지원한다. 위협 탐지 서비스 ‘가드듀티(GuardDuty)’에는 머신러닝 기반 기능이 도입돼 장기간의 미세한 이상 패턴을 연결해 다단계 공격 흐름을 읽어내는 역량도 강화됐다.</p> <div contents-hash="d8b0b96b9790f9a33622517f66f7cd5736bedc40e220ce0ed49f8cde8db36afe" dmcf-pid="qb1Y9R8BWu" dmcf-ptype="general"> <div> <strong>보안 위협의 본질은 ‘기본기’…세 가지 원칙 지켜야<br>조직 전체가 참여하는 ‘전사적 보안 문화’ 구축 필요</strong> </div>라일랜드 총괄은 화려한 AI 기술 적용보다 ‘기본기’를 강조했다. 그는 “오늘 날 발생하는 대부분 보안 문제는 정교한 공격자 때문이 아니라 기본을 지키지 않아 생긴다”며 세 가지 원칙을 제시했다. </div> <p contents-hash="94d6ae0b32d87d972ffd49cb25ac0866f25d8633d48571ce069fa34eafab1b74" dmcf-pid="BKtG2e6bvU" dmcf-ptype="general">△직원 대상 피싱 대응 교육 △지속적인 보안 패치와 소프트웨어 업데이트 적용 △최소 권한 원칙 준수가 그 것이다. 즉 직원들에게는 AI를 활용한 고도화된 피싱을 식별할 수 있도록 훈련시키고, 시스템에는 취약점 패치를 적용해 침투 경로를 차단하며, 직원에겐 필요한 권한만 부여해야 한다는 것이다.</p> <p contents-hash="ee8b5b45394308e2ecdf8b4ddafa549378c1374a799d5814cff2960205442360" dmcf-pid="b9FHVdPKCp" dmcf-ptype="general">라일랜드 총괄은 여기에 더해 조직 전체에 보안이 중시되는 문화를 심는 것이 무엇보다 중요하다고 강조했다. 이는 그가 AWS에서의 경험을 기반으로 한 조언이다.</p> <p contents-hash="9afbe13e199f686a2d1904c4586e5d639d8bf322f9d42a47b8288fa91eef4469" dmcf-pid="K23XfJQ9v0" dmcf-ptype="general">라일랜드 총괄은 AWS만의 차별점에 대한 질문에 ‘보안 문화’를 가장 먼저 언급하며 “AWS는 영업·마케팅·홍보 등 어떤 직무든 입사 초기부터 보안 우선순위를 자연스럽게 익히고 질문하는 문화를 갖고 있다”고 말했다. 그는 이어 “직원들이 문제를 발견하면 숨기지 않고 즉시 말하도록 장려하는 분위기가 정착돼 있다”고 덧붙였다.</p> <p contents-hash="70f9a66d61d075c7ca978a6344eb95839477efcd3095ec0b52bf26115e6857a4" dmcf-pid="9V0Z4ix2T3" dmcf-ptype="general">이러한 조직 문화는 경영진의 역할과도 맞물려 있다. 라일랜드 총괄은 “맷 가먼 AWS 최고경영자(CEO)는 매주 모든 엔지니어링 리더들과 만나 보안 이슈, 고객 문제, 장애 가능성 등을 직접 논의한다”며 “이 때문에 직원들은 최고경영진이 이 주제에 얼마나 깊이 관여하고 있는지 잘 알고 있다”고 설명했다.</p> <p contents-hash="89fa50247fa1637ebc7a7df574c984c68eb1451c2fdd95c00acd6d95226431b8" dmcf-pid="2fp58nMVvF" dmcf-ptype="general">경영진의 하향식 관심과 직원들의 상향식 참여가 결합하며, AWS에서는 자연스럽게 ‘보안이 회사 운영의 최우선 과제’라는 공감대가 형성됐다는 것이다.</p> <p contents-hash="fadafdae2d5ae63dfc96e2a6dcd4caf43c94a1b03d5fc3072ef0a018f96a90d7" dmcf-pid="V4U16LRfyt" dmcf-ptype="general">라일랜드 총괄은 “이처럼 조직 전체가 보안에 집중하는 문화적 접근은 업계에서 역사적으로 매우 독특하다”며 “최근 급증하는 보안 침해 사고를 보고 다른 클라우드 기업들도 이제 그 중요성을 점차 인식하는 분위기”라고 말했다.</p> <p contents-hash="46044bc8077dbd6474262a92486e46a5b48a7bda336798422d6cb1f58d753dcd" dmcf-pid="f8utPoe4h1" dmcf-ptype="general">[라스베이거스 안선제 기자]</p> </section> </div> <p class="" data-translation="true">Copyright © 매일경제 & mk.co.kr. 무단 전재, 재배포 및 AI학습 이용 금지</p> 관련자료 이전 2년째 개점휴업…김종철 방미통위원장 후보 "조직 안정화 최우선" 12-04 다음 퍼플렉시티, 뤼튼 제치고 이용자수 첫 3위...'정보 탐색형 AI' 부상 12-04 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
