에이전트형 SOC: 공공 부문의 새로운 AI 사이버 방어

출처: Elastic Blog

적대자들은 AI를 이용해 사상 최단 시간 안에 사이버 공격을 실행하고 있어, 보안 팀은 대응 시간을 시간이나 일이 아니라 초 단위로 측정해야 합니다. 이러한 공격을 탐지하는 일은 점점 더 어려워지고 있습니다. 대형 언어 모델(LLM)로 만든 피싱 캠페인은 기존 방식에 비해 클릭률이 4.5배 높습니다.¹

공공 부문 조직은 사이버 보안에서 전환점에 서 있습니다. 현재 대부분의 보안 스택은 이런 속도에 맞춰 설계되지 않았습니다. 보안 팀은 증가하는 요구, 인력 부족, 예산 제약으로 인해 과도하게 압박받고 있습니다.

AI 사이버 위협의 속도에 맞추는 유일한 방법은 AI 자체입니다.

그래서 많은 공공 부문 조직이 AI 기반 보안 운영 센터(SOC)를 검토하고 있습니다. 이번에는 에이전트형 SOC가 무엇이며, 이가 부문의 주요 보안 과제들을 어떻게 해결하는지 자세히 살펴보겠습니다.

에이전트형 SOC란?

에이전트형 SOC는 보안 운영 및 보안 분석가들의 작업 방식을 혁신합니다¹. 일련의 에이전트형 워크플로와 스킬이 백그라운드에서 자동화된 행동을 통해 분석가를 지원합니다.

전체 SOC 자동화가 목표가 아니라 **“인간을 배제하지 않는 것”**입니다²; AI가 만든 공격 속도에 인간이 압도되지 않도록 하는 것이 목표입니다. 인간의 개입은 여전히 필수이며, 투명성도 마찬가지로 중요합니다.

Elastic은 “인간이 주도하는” 접근 방식을 위해 에이전트형 보안 운영 플랫폼을 설계했습니다. 자율 에이전트가 데이터 수집부터 대응까지 전체 보안 위협 수명 주기를 담당하고, 분석가는 판단, 검증, 승인을 담당합니다. AI가 내린 모든 결정은 상세히 문서화되어 인간 검토자가 정확성을 판단할 수 있습니다.

다음으로 에이전트형 SOC가 보안 팀이 직면한 두 가지 핵심 문제, 1) 파편화 비용 감소와 2) 대응 시간 단축을 어떻게 해결하는지 살펴보겠습니다.

문제점 #1: 파편화 비용 감소

공공 부문의 운영은 본질적으로 분산되어 있습니다. 다양한 시스템과 운영 프로세스가 임무별 요구, 규제 요건, 분류 수준을 지원합니다. 많은 기관과 부서는 연결이 차단된(air‑gapped) 환경에서 매우 복잡한 운영을 유지해야 합니다. 과거에는 이러한 사일로가 추가적인 방어층으로 여겨졌습니다.

하지만 이런 파편화는 빠르게 진화하는 AI 기반 위협을 다룰 때 장애물이 됩니다. 보안 업계 조사에 따르면 SOC의 **66%**가 분리된 도구들 간 데이터를 수동으로 집계하는 데 매주 하루를 소비하고 있습니다³.

파편화는 공공 부문 SOC만의 문제가 아니라 보안 산업 전체와 연결된 문제입니다. 산업 구조 자체가 ‘조각을 파는’ 방식으로 설계돼 있기 때문입니다. 파편화를 구매하면, 그에 따른 위험에 노출됩니다:

• 디바이스당 비용이 커버리지 결정을 예산 문제로 전환시킴
• 추가된 자동화가 실제 사고 시 중단됨
• 독점 AI가 로직을 숨김

팀은 실제 위협에 맞서기 전에 이러한 층을 헤쳐 나가야 합니다. 이는 비효율적일 뿐 아니라 비용이 많이 들고 법적 책임도 발생합니다. 그 사이 적대자는 모든 틈새를 이용합니다.

Elastic은 파편화를 제거합니다. SIEM, XDR, 네이티브 자동화 등 생태계 보호에 필요한 모든 것이 에이전트형 SOC 플랫폼에 통합됩니다. “엔드포인트 세금”을 없애고, 라이선스 수가 아니라 위험 기반 보안 전략을 수립할 수 있습니다. 우리의 오픈소스 플랫폼은 현재 사용 중인 생태계와 연동돼, 연결이 차단된 모델을 포함한 모든 환경의 데이터를 가시화합니다.

문제점 #2: 대응 시간 가속

보안 팀은 알림 피로에 시달립니다. 공격 속도가 빨라지면서 알림을 신속히 우선순위화하고 대응하기가 어려워졌습니다. 올해 초, 초기 침해와 측면 이동 사이 평균 시간이 29분으로 단축됐으며, 대응 시간도 계속 줄어들고 있습니다⁴.

문제는 파편화된 환경에서 데이터를 맥락화하는 데 드는 노력입니다. 맥락 없는 AI 위협 탐지는 거짓 양성으로 팀을 압도합니다. 잡음은 증가하고 있지만, 공공 부문의 팀은 제한된 자원으로 더 많은 일을 해야 합니다. 번아웃은 현실적인 문제이며, 팀이 좌절하거나 피로해지면 방어가 약해져 침해 위험이 높아집니다.

Elastic은 조사와 대응 시간을 단축합니다. 우리의 에이전트형 SOC 플랫폼은 클라우드, 하이브리드, 온프레미스(air‑gapped 포함) 환경을 데이터 메쉬 아키텍처로 통합해, 데이터를 중앙으로 이동시키지 않고도 실시간 전체 가시성을 제공합니다. 모든 보안 알림에는 엔드포인트 행동, 신원 변화, 네트워크 트래픽, 클라우드 로그를 연계한 자동 서술이 포함됩니다. 대규모로 맥락을 제공함으로써 Elastic은 추가 인력 없이도 머신 속도로 의사결정을 가능하게 합니다.

정부 기관이 에이전트형 SOC를 대규모로 도입하고 있음

정부 기관이 기존 방식으로는 새로운 사이버 위협에 맞설 수 없다는 것은 명백합니다. 전 세계적으로 국가 사이버 회복력 프레임워크와 지침을 강화하고 있으며, AI 기반 사이버 보안에 크게 의존하고 있습니다⁵.

미국에서는 이러한 흐름이 가속화되고 있습니다. 2026년 6월 발표된 백악관 행정명령은 인공지능 혁신과 보안을 동시에 강화하도록 요구하고 있습니다⁶. 정부는 기술 인프라를 현대화하면서 점점 더 강력해지는 AI 시스템이 초래하는 새로운 위험을 관리해야 합니다. 공공 부문 조직은 보안, 투명성, 운영 회복성을 유지하면서 AI를 책임감 있게 도입해야 하는 과제에 직면해 있습니다.

투명성과 감독은 AI 에이전트에게 핵심 보안 결정을 위임함에 따라 가장 중요한 사안입니다. 미국, 영국, 캐나다, 호주, 뉴질랜드가 공동으로 발표한 에이전트형 AI 사이버 보안 가이드라인은 운영 가시성의 필요성을 강조합니다. 인간은 에이전트가 무엇을, 왜 하는지, 그리고 사용자의 의도가 무엇인지 이해할 수 있어야 합니다⁷.

동시에 조직들은 Elastic의 에이전트형 SOC가 제공하는 포괄적인 가치를 빠르게 인식하고, Elastic Security를 지역 및 프로그램 전반에 걸쳐 대규모로 구현하고 있습니다.

Elastic은 Google Distributed Cloud (GDC) for air‑gapped environments와의 통합을 통해 고감도 워크로드 보호를 위한 최신 이정표를 세웠습니다⁸. GDC 환경에 내장된 보안 레이어로서, 공공 인터넷과 완전히 차단된 워크로드도 에이전트형 SOC 플랫폼의 보호를 받을 수 있습니다. 미국에서는 Elastic이 연방 민간 행정 부서를 위한 SIEM-as-a-Service (SIEMaaS) 플랫폼을 제공하고 있으며, 이는 최근 미국 사이버보안 및 인프라 보안청(CISA)이 출시한 서비스입니다.

하나의 도구로 격차 해소

Elastic은 세금을 부과하기 위한 것이 아니라 보호하기 위한 에이전트형 보안 운영 플랫폼입니다. 이는 보안 팀의 시간, 예산, 주의력을 크게 경감시킵니다. Elastic이 여러분의 사이버 보안 방어 전략에 미칠 영향을 고려해 보세요:

• 가시성 향상 및 보안 유지: 개방형이며 유연한 아키텍처가 모든 환경을 연결해, 데이터가 생성되는 원천에서 즉시 중요한 정보를 식별할 수 있어 규정 준수를 지원합니다.