100개 이상의 AI SOC 공급업체, 장기 경쟁력은 어떻게 평가할까?
Software Analyst Cyber Research의 창립자 Francis Odum은 자사의 2025년 AI SOC 시장 조사 보고서를 소개하며 100개가 넘는 AI SOC 공급업체를 언급했습니다. 이 추정치는 해당 시장에 얼마나 다양한 기업이 참여하고 있는지를 보여줍니다. PAGO Security Summit 2026의 Stellar Cyber 기조연설에서는 조사에 활용할 수 있는 데이터와 이를 지속적으로 관리하는 데 필요한 작업을 중심으로, 구매자가 AI SOC 솔루션의 기반 아키텍처를 어떻게 평가해야 하는지 살펴보았습니다.
CISO에게 공급업체 선정은 장기적인 검토가 필요한 결정입니다. AI SOC 플랫폼은 보안팀의 일상적인 업무에 깊이 연결되기 때문에, 공급업체가 인수되거나 사업 방향을 바꾸거나 서비스를 종료하면 다른 서비스로 전환하는 과정에서 보안팀에 추가 업무가 발생할 수 있습니다. 따라서 현재의 제품 기능과 함께 지속적인 지원, 데이터 반출 가능 여부, 서비스 연속성을 검토해야 합니다.
데모만으로 확인하기 어려운 것
AI SOC 데모에서는 경보가 발생한 뒤 AI가 조사를 수행하고, 2분 이내에 판단 결과와 요약 보고서, 후속 질문을 위한 채팅창까지 제공하는 모습을 볼 수 있습니다. 이는 평가를 시작하는 데 도움이 됩니다. 서밋에서 Stellar Cyber의 Aimei Wei는 빠른 경보 분류, 자동 생성되는 조사 보고서, 맞춤형 에이전트가 점차 여러 공급업체에서 공통으로 제공하는 기능이 될 것이라고 설명했습니다. 그러면서 정규화, 보관, 맥락 정보를 포함한 데이터 아키텍처를 면밀히 검토해야 한다고 강조했습니다. 구매자는 AI의 판단에 근거가 제시되는지, 데이터 규모가 커져도 플랫폼이 같은 수준의 품질을 유지하는지 확인함으로써 이러한 주장을 검증할 수 있습니다.
AI SOC 공급업체에 확인해야 할 네 가지 질문
1. AI의 판단을 신뢰할 수 있는가?
AI가 내리는 모든 판단은 그 근거가 되는 원본 데이터로 연결되어야 합니다. 분석가가 결과를 그대로 받아들이는 데 그치지 않고 판단 과정을 직접 확인할 수 있어야 하기 때문입니다. 근거가 없으면 결과를 검증할 수 없고, 보안팀이 AI에 맡기는 업무 범위를 점진적으로 확대하기도 어렵습니다.
플랫폼이 판단 근거를 제시할 수 있는지는 AI 모델뿐 아니라 그 기반이 되는 데이터 계층에도 달려 있습니다. AI 에이전트를 데이터 소스에 연결하는 작업은 비교적 간단합니다. 더 어려운 부분은 연결된 데이터가 조사에 필요한 답을 정확하고 빠르게 제공할 수 있도록 만드는 것입니다. 데이터 보관 기간은 확인 가능한 증거의 범위를 결정합니다. 예를 들어 로그를 30일 동안만 보관한다면, 별도로 보관된 증거를 다시 불러올 수 없는 한 두 달 전 활동을 조사하는 데 필요한 기록이 부족할 수 있습니다.
정규화는 서로 다른 데이터 사이에서 어떤 연관성을 파악할 수 있는지를 결정합니다. 도구마다 필드명, 타임스탬프, 데이터 형식이 다르면 AI가 관련 없는 이벤트를 연결해, 확신에 찬 설명과 함께 잘못된 결론을 내릴 수 있습니다. 맥락 정보도 그만큼 중요합니다. 의심스러운 PowerShell 명령 하나만 보면 일상적인 관리자 스크립트처럼 보일 수 있습니다. 그러나 새로운 위치에서 처음 로그인한 지 40분 후에 같은 명령이 실행되었다면 해석이 달라집니다. 개별 경보만 확인하는 AI는 이러한 맥락을 놓칠 수 있습니다.
SANS SOC Survey 2025에 따르면, SOC의 42%가 들어오는 모든 데이터를 SIEM으로 전송하며, 이 과정에서 데이터 검색이나 관리 계획이 마련되지 않은 경우도 많습니다. 공급업체를 평가할 때는 데이터 보관 기간, AI가 수개월 전 기록까지 조회할 수 있는지, 서로 다른 도구의 로그를 어떻게 정규화하는지, 각 판단의 근거를 확인할 수 있는지 질문해야 합니다.
2. AI 에이전트에 대한 통제 체계가 마련되어 있는가?
AI 에이전트가 접근할 수 있는 정보와 변경할 수 있는 대상에는 명확한 한계가 있어야 합니다. 이러한 통제는 플랫폼을 설계하는 초기 단계부터 반영할 때 효과적으로 작동합니다. 여러 고객이 사용하는 멀티테넌트 플랫폼에서는 고객별 데이터가 철저히 분리되어야 합니다. 또한 이메일 본문이나 업로드된 파일 등 AI가 처리하는 콘텐츠에는 프롬프트 인젝션 위험이 있으므로, 이를 통제할 수 있어야 합니다.
에이전트가 기록을 변경하거나 조치를 수행할 때는 사전에 합의한 권한과 위험 수준에 따라 승인 요건을 적용하고, 수행 내역을 기록해야 합니다. 이러한 기록이 없으면 보안팀은 실제로 어떤 일이 있었는지에 대한 기록 자체를 신뢰하기 어려워집니다. 공급업체는 에이전트가 정확히 무엇에 접근할 수 있는지, 어떤 조치에 사람의 승인이 필요한지, AI의 모든 활동을 어떻게 감사하는지 설명할 수 있어야 합니다. OWASP는 에이전트의 기능과 권한을 제한하고, 모델 외부에서 권한을 검증하며, 중대한 결과를 초래할 수 있는 조치에는 사람의 승인을 요구하고, 활동 내역을 기록할 것을 권고합니다.
3. 비용 구조를 지속적으로 감당할 수 있는가?
많은 모델 추론 서비스는 토큰 사용량에 따라 요금을 부과합니다. 예를 들어 Amazon Bedrock은 입력 토큰과 출력 토큰에 대한 가격을 제시하며, 캐싱과 서비스 등급도 비용에 영향을 줍니다. 따라서 AI SOC 비용은 실제 업무 흐름을 기준으로 검토해야 합니다.
모델에 전송되는 데이터의 양, 모델 호출 빈도, 필터링과 정규화, 상관분석이 이루어지는 단계를 확인해야 합니다. 상관분석을 거쳐 범위를 좁힌 사례에 AI를 적용하는 방식은 효율성을 검토할 수 있는 접근법 중 하나입니다. 적합성은 실제 처리 업무와 보존되는 증거에 따라 달라집니다. 공급업체는 AI가 어느 단계에서 작동하는지, 데이터와 조사 사례가 늘어날 때 고객의 총비용이 어떻게 달라지는지 설명할 수 있어야 합니다.
4. 실제 운영 환경에서 ROI를 측정했는가?
많은 공급업체가 눈에 띄는 성능 수치를 제시합니다. 이 수치가 실험실 테스트에서 나온 것인지, 실제 고객 환경에서 측정된 것인지 확인할 필요가 있습니다. 실험실 결과도 참고할 가치가 있지만, 실제 운영 데이터는 훨씬 복잡하고 불완전하기 때문에 두 환경의 결과에는 큰 차이가 생길 수 있습니다.
제품에 자신이 있는 공급업체라면 한 팀, 단일 테넌트 또는 하나의 활용 사례를 대상으로 소규모 검증을 시작하는 데 협조할 수 있어야 합니다. 이를 통해 도입 전후의 평균 탐지 시간(MTTD), 평균 대응 시간(MTTR), 조사 범위를 측정하고, 실제 결과를 바탕으로 확대 여부를 결정할 수 있습니다.
다음 AI SOC 데모에서 확인할 체크리스트
각 판단이 그 근거가 되는 원본 증거로 연결되는가?
AI가 최근 데이터와 함께 수개월 전 기록까지 조회할 수 있는가?
서로 다른 도구의 데이터가 하나의 공통 스키마로 정규화되는가?
에이전트의 접근 범위가 정해져 있고, 모든 활동이 기록되어 감사할 수 있는가?
중대한 결과를 초래할 수 있는 조치에 합의된 권한과 승인 요건이 적용되는가?
데이터 규모가 커질 때 비용이 어떻게 달라지는지 공급업체가 설명할 수 있는가?
전체 도입 전에 제한된 범위에서 파일럿을 진행할 수 있는가?
성능 지표가 실제 고객의 운영 환경에서 측정된 것인가?
클라우드와 온프레미스 환경을 함께 운영한다면, 플랫폼이 두 환경을 모두 지원하는가?
데모만으로 공급업체의 장기적인 존속 가능성을 판단하기는 어렵습니다. 이러한 질문은 검증 가능한 증거, 에이전트 통제, 지속 가능한 비용, 고객 환경에서 측정한 성과 등 서비스 운영의 기반을 평가하는 데 도움이 됩니다. 또한 지원 약속을 검토하고, 서비스가 변경될 경우 데이터와 운영을 어떻게 이전할지 계획하는 기준이 됩니다.
PAGO의 서비스에는 어떻게 적용되는가?
이러한 평가 질문은 보안 운영 파트너를 선정할 때도 적용할 수 있습니다. PAGO는 반복적인 분석, 증거 수집, 조사 초안 작성에 AI를 활용합니다. 분석가는 비즈니스 영향을 평가하고 대응 우선순위를 정하며, 의사결정에 대한 책임을 유지합니다. DeepACT Defense는 지속적인 탐지, 조사, 대응을 제공합니다. DeepACT Detection Engineering은 위협 인텔리전스와 실제 사고에서 얻은 교훈을 활용해 탐지 규칙을 개발하고 테스트하며 개선합니다. 연동과 대응 범위는 지원되는 기술과 고객과 합의한 서비스 범위에 따라 정해집니다.
대응 권한도 함께 검토해야 합니다. PAGO는 사전에 합의한 규칙과 권한 안에서 조치를 수행하며, 주요 조치를 결정할 때 비즈니스 영향을 고려합니다. 구매자는 이러한 규칙에 따라 조사 결과가 실제 차단과 격리로 어떻게 이어지는지, 예외 상황은 어떤 절차로 상위 담당자에게 전달되는지, 대응 결과가 탐지 개선에 어떻게 반영되는지 확인할 수 있습니다. PAGO Security Summit 2026 Insight Report는 이러한 접근법의 바탕이 되는 보안 운영 관점을 자세히 다룹니다.
