기업 48곳에 물었습니다. 생성형 AI 활용과 보안, 어떻게 관리하고 있을까? | 보안잇 20회

안녕하세요. IT·보안 실무자 커뮤니티 보안잇입니다.

지난 8월 27일, 스무 번째 보안잇 모임이 진행되었습니다.

이번 주제는 「AI 활용과 관리, 다른 회사는 어떻게 하고 있을까?」였습니다.

생성형 AI를 업무에 쓰는 것 자체는 이제 낯선 일이 아닙니다.

오히려 요즘 IT·보안 실무자들의 고민은 그다음으로 넘어가고 있었습니다.

“직원들이 실제로 어떤 AI를 쓰고 있는지 알고 있을까?”

“개인 계정은 어디까지 허용해야 할까?”

“회사 정보를 AI에 입력하지 못하게 실제로 어떻게 관리하고 있을까?”

“다른 회사에는 생성형 AI 가이드라인이 있을까?”

이번 보안잇에서는 누군가의 정답부터 듣기보다, 다른 회사의 현재 상황부터 확인해보기로 했습니다.

모임 전 참가 신청자를 대상으로 생성형 AI 활용과 관리에 대한 사전 설문을 진행했고, 48명이 자신의 회사 상황을 들려주었습니다.

그리고 그 결과를 가지고 업종과 환경이 다른 실무자들이 각자의 경험을 꺼내놓았습니다.

“다른 조직의 운영방침 및 운영방안에 대해 알 수 있어 너무 좋았습니다.”

모임이 끝난 뒤 한 참가자가 남겨준 이야기입니다.

어쩌면 이번 보안잇에서 가장 궁금했던 것도 바로 이것이었는지 모릅니다.

그래서 다른 회사는 지금 어떻게 하고 있을까요?

생성형 AI, 이미 44명은 업무에서 쓰고 있었습니다

먼저 궁금했던 것은 기업의 생성형 AI 활용이 실제로 어디까지 왔는가였습니다.

48명의 응답 중 44명은 이미 어떤 형태로든 생성형 AI를 업무에서 활용하고 있다고 답했습니다.

가장 많은 20명(41.7%)은 회사의 공식 도입 없이 임직원이 필요에 따라 개별적으로 활용하고 있다고 답했습니다.

그 외에도 여러 부서 또는 전사적으로 활용하고 있다는 응답이 10명, 일부 부서·직무에서 공식적으로 활용한다는 응답이 7명이었습니다. 

사내 AI나 AI Agent 등 회사 전용 환경까지 구축한 곳도 3명이었습니다.

눈에 들어온 것은 단순히 44명이라는 숫자보다 그 안의 모습이었습니다.

회사가 AI 도입을 결정하고 직원들이 사용하기 시작한 곳도 있지만, 그보다 먼저 현장에서 각자 필요한 AI를 찾아 쓰기 시작한 회사도 적지 않았습니다.

실제로 만족도 조사에서도 한 참가자는 가장 인상 깊었던 점으로 “대부분 AI를 허용해주고 있다는 점을 알게 됐다”고 답했습니다.

AI를 도입할 것인가를 고민하는 동안, 현장에서는 이미 AI를 쓰고 있는 셈입니다.

그렇다면 다음 질문이 생깁니다.

활용이 이렇게 빨라진 만큼, 관리 기준도 함께 만들어지고 있을까요?

절반은 아직 생성형 AI 가이드라인을 만들고 있거나, 별도 기준이 없었습니다

생성형 AI 사용 정책 수준을 물어봤습니다.

48명 중 12명은 현재 가이드라인을 준비 중이라고 답했고, 또 다른 12명은 아직 별도의 기준이 없다고 답했습니다.

두 응답을 합하면 정확히 절반입니다.

반면 별도 가이드라인을 운영하고 있다는 응답은 10명, 회사 공식 규정으로 운영하고 있다는 응답은 8명이었습니다.

사전 설문의 자유의견에서도 비슷한 질문이 반복됐습니다.

“규정 또는 매뉴얼이 있는지?”

“사용자 계정, 지급 기준 등”

다른 회사의 생성형 AI 가이드라인과 거버넌스가 어떻게 만들어져 있는지 궁금하다는 의견이 가장 많이 나온 질문 중 하나였습니다.

가이드라인 안에서 대부분 사용할 수 있다는 응답이 21명, 별도 제한 없이 대부분 자유롭게 사용할 수 있다는 응답이 14명이었습니다.

즉, 48명 중 35명은 생성형 AI 사용을 비교적 폭넓게 허용하고 있었습니다.

하지만 유료 AI 계정을 전 직원에게 지원한다는 응답은 5명뿐이었습니다.

특정 부서·직무에 지원한다는 응답이 15명으로 가장 많았고, 회사에서 별도로 지원하지 않는다는 응답도 11명이었습니다.

AI 사용은 이미 넓어졌지만, 어떤 계정을 회사가 제공할지, 개인 계정은 어디까지 허용할지, 비용은 누가 부담할지는 회사마다 달랐습니다.

생성형 AI 보안, 실제 기업들은 무엇부터 하고 있을까?

그렇다면 실제 생성형 AI 보안 관리는 어떻게 하고 있을까요?

48명에게 회사에서 시행하고 있는 보안 조치를 모두 물었습니다.

가장 많은 응답은 개인정보·민감정보·내부정보를 AI에 입력하지 못하도록 제한하는 것으로 23명이 선택했습니다.

그다음은 임직원 대상 AI 보안 교육 21명, 회사·Enterprise 계정 사용 13명, 사용 가능한 AI 서비스 제한 10명 순이었습니다.

반면 시스템을 통해 실제 사용을 확인하거나 통제하는 조치는 상대적으로 적었습니다.

DLP·CASB·SWG 같은 보안 솔루션을 통한 통제는 6명, AI 사용이나 입력 로그를 모니터링한다는 응답은 4명이었습니다.

그리고 별도의 보안 조치가 없다고 답한 사람도 8명 있었습니다.

여기서 조금 더 살펴보니 재미있는 지점이 있었습니다.

별도 보안 조치가 없다고 답한 8명 모두 임직원이 생성형 AI를 개별적으로 사용하고 있다고 답했습니다.

AI를 사용하지 않아서 관리가 필요 없는 것이 아니라, 현장의 활용이 먼저 시작되고 관리가 아직 그 속도를 따라가는 중인 회사도 있다는 것입니다.

“개인 계정 사용을 어떻게 막는지?”

가이드라인에 ‘회사 정보를 입력하지 마세요’라고 쓰는 것과 실제로 그것을 확인하고 관리하는 것은 다른 문제였습니다.

그런데 보안 담당자들도 ‘통제’보다 ‘활용’을 고민하고 있었습니다

이번 설문 응답자 48명 중 34명이 정보보안 업무를 맡고 있었습니다.

생성형 AI 활용과 보안 사이에서 현재 회사가 어느 쪽에 더 무게를 두고 있는지 물었더니 24명이 활용 쪽에 조금 또는 훨씬 더 무게를 두고 있다고 답했습니다.

정확히 절반입니다.

현재 가장 고민되는 문제를 물었을 때도 흥미로운 결과가 나왔습니다.

‘개인정보·내부정보 유출 위험’ 17명.

그리고 ‘임직원의 AI 활용 수준을 높이는 것’ 역시 17명.

두 고민이 공동 1위였습니다.

새는 것은 막아야 하는데, 직원들이 AI를 더 잘 쓸 수 있게도 해야 합니다.

이번 모임에서 참가자들이 고민하고 있던 것은 둘 중 하나를 선택하는 문제가 아니었습니다.

어디까지 허용하고, 어디부터 관리해야 할까.

그 경계를 각 회사는 어떻게 잡고 있는지가 더 궁금했습니다.

그래서 다른 회사는 어디까지 막고, 어디까지 열어두고 있을까?

통계를 함께 본 뒤에는 실제 회사에서 AI를 운영하고 있는 실무자들의 경험을 들어봤습니다.

한 회사에서는 보안 솔루션의 기능을 이용해 임직원의 AI 서비스 접속 현황을 확인해봤는데, 담당자가 예상했던 것보다 훨씬 다양한 AI 서비스가 이미 사용되고 있었다고 합니다.

직원들이 어떤 AI를 쓰는지 알지 못하는 상태에서 정책부터 만드는 것보다, 우선 현재 사용 현황을 확인하는 것이 먼저였던 경험입니다.

개인 계정을 모두 막는 것이 현실적인지에 대해서도 의견이 달랐습니다.

무조건 차단하기보다 파일 첨부처럼 정보 유출 위험이 큰 경로부터 제한하는 방식을 고민하는 회사가 있었고, 기존 정보보안 방식처럼 사용을 불편하게 만드는 통제가 AI에서도 답인지 고민하는 실무자도 있었습니다.

반대로 AI를 도입하기 전에 체크리스트를 만들어 확인하는 방식도 공유됐습니다.

사내 데이터를 활용하는 AI인지, 외부 서비스를 구매하는 것인지, 직접 개발하는 것인지에 따라 확인할 항목을 달리하고 일반 사용자와 개발자의 체크리스트도 구분하는 방식이었습니다.

실제로 만족도 조사에서도 “AI 도입 사전점검시트”, “해외 AI 요구사항 체크리스트”를 가장 인상 깊었던 내용으로 꼽은 참가자들이 있었습니다.

어느 하나가 모든 회사에 적용할 수 있는 정답은 아니었습니다.

업종도 다르고, 다루는 정보도 다르고, 회사의 규모와 규제 환경도 달랐기 때문입니다.

“어느 방법이 맞을까요?”보다
“우리 회사라면 어디까지 할 수 있을까요?”

라는 질문이 이날의 대화에 더 잘 어울렸습니다.

AI에 투자하는 이유는 ‘생산성’, 그런데 성과는 어떻게 확인할까?

AI 관리만큼이나 현실적인 문제가 하나 더 있었습니다.

돈입니다.

회사에서 생성형 AI에 투자할 때 중요하게 보는 기준을 물었더니 생산성·업무 효율 향상이 28명으로 가장 많았습니다.

보안·데이터 보호가 16명, 경영진의 AI·DX·AX 추진 방향이 13명으로 뒤를 이었습니다.

그런데 현재 고민을 묻는 질문에서는 AI의 효과나 성과를 어떻게 확인할지 고민된다는 응답이 7명 있었습니다.

“비용과 효율의 기준점을 무엇으로 가져가는가”

AI를 도입할 명분은 생산성인데, 그 생산성이 실제로 얼마나 좋아졌는지를 숫자로 설명하기는 쉽지 않습니다.

전 직원에게 AI 계정을 지원한 회사에서는 처음에는 AI가 확산되면 자신의 일이나 역할이 줄어드는 것 아니냐는 직원들의 걱정도 있었다고 합니다.

하지만 실제로 사용하면서 그런 우려는 조금씩 줄어들었다는 이야기도 나왔습니다.

기술이나 비용만의 문제가 아니라 AI를 받아들이는 사람들의 경험도 함께 관리해야 한다는 이야기였습니다.

결국 어려운 건 ‘누가 결정할 것인가’였습니다

1부 토크콘서트가 끝난 뒤에는 자리를 나눠 앉아 자유롭게 이야기를 이어갔습니다.

대화를 나누다 보니 정책 내용만큼 어려운 문제가 있었습니다.

누가 AI 사용 기준을 결정하고, 그 결정에 대한 책임은 누가 질 것인가였습니다.

경영진의 AI 활용 요구는 커지는데 회사 차원의 기준은 아직 만들어지지 않은 경우, 결국 그 사이의 판단은 IT·보안 담당자의 몫이 되기도 합니다.

AI를 막을 것인지, 허용할 것인지.
어떤 서비스를 회사 비용으로 지원할 것인지.
문제가 생기면 누가 책임질 것인지.

기술보다 조직 안에서 답하기 어려운 질문들이었습니다.

“서로의 고민을 알게 됨.”

“같은 보안제품을 사용하는 회사분을 두 분이나 만나서 정보교류가 잘되었음.”

“다양하게 대화할 수 있어서 좋았습니다.”

모든 회사가 같은 답을 가지고 있지는 않았지만, 비슷한 고민을 하고 있다는 것을 확인하는 것 자체가 도움이 되는 시간이었습니다.

완벽한 생성형 AI 가이드라인보다, 지금 할 수 있는 것부터

이날 48명의 설문과 여러 회사의 경험을 함께 놓고 보니, 거창한 정책을 만들기 전에 시작해볼 만한 일들도 보였습니다.

• 먼저 직원들이 실제 어떤 AI를 사용하고 있는지 확인해보는 것
• 두꺼운 규정보다 현장에서 볼 수 있는 한 장짜리 가이드부터 만들어보는 것
• 현재 사용 중인 AI 서비스에서 회사가 적용할 수 있는 기본적인 보안 설정부터 직접 확인해보는 것
• 새로운 AI 서비스를 도입하기 전에 IT·보안 담당자가 최소한 무엇을 확인할지 정해두는 것

이 네 가지가 모든 회사의 정답이라는 뜻은 아닙니다.

오히려 이번 보안잇에서 확인한 것은 생성형 AI 활용과 보안에는 아직 하나의 정답이 없다는 것에 가까웠습니다.

하지만 완벽한 기준이 만들어질 때까지 기다리는 사이에도 직원들은 이미 AI를 사용하고 있습니다.

그래서 지금 우리 회사에서 확인할 수 있는 것부터 하나씩 시작해보자는 이야기가 남았습니다.

스무 번째에도 결국, “다른 회사는 어떻게 하고 있을까?”

보안잇은 2024년 3월, IT·보안 실무자 4명이 모여 시작했습니다.

첫 모임에서 나눈 이야기는 “다른 회사의 전산실은 어떻게 운영될까?”였습니다.

스무 번째 모임에서도 질문은 크게 달라지지 않았습니다.

“다른 회사는 생성형 AI를 어떻게 활용하고, 어떻게 관리하고 있을까?”

기술은 달라졌지만 실무자들이 궁금한 것은 여전히 다른 회사에서 직접 해본 경험이었습니다.

이번 만족도 조사에서도 만족스러웠던 이유로 ‘다른 회사의 운영 방식이 궁금해서’, ‘실무 사례를 들을 수 있어서’, ‘사전 설문조사 결과를 통해 다른 회사 상황을 알 수 있어서’라는 응답이 반복해서 등장했습니다.

“서로의 고민을 알게 됨.”

어쩌면 보안잇이 계속 만들고 싶은 자리도 이런 자리인지 모르겠습니다.

내가 아직 해결하지 못한 문제를 다른 회사도 고민하고 있다는 것을 알게 되고, 누군가 먼저 해본 경험에서 우리 회사에 적용해볼 작은 힌트 하나를 가져가는 자리.

이번에도 각자의 현장에서 가져온 경험을 아낌없이 나눠주신 모든 분께 감사드립니다.

당신의 현장이 쌓여, 우리의 경험이 됩니다.
다음 보안잇에서 또 만나요.