AI 시대 보안의 운영 현실과 이를 충족할 수 있도록 지원하는 방법

Michael Montoya최고 기술 운영 책임자 | F5

편집자 주(2026년 10월 14일): F5는 이제 ‘강화 릴리스’를 ‘중요 릴리스’로 지칭합니다. 이러한 용어 변경은 해당 릴리스의 중대성과 최신 버전을 최대한 신속하게 배포하는 것의 중요성을 반영합니다.

저는 사이버 보안 분야에서 경력을 쌓으며 보안 운영을 이끌고 CISO로 일했으며, 현재는 F5에서 모든 AI 및 기술 운영을 총괄하고 있습니다. 이러한 관점이 중요한 이유는 우리가 직면한 과제가 보안 문제인 동시에 운영 문제이기 때문입니다.

이사회와 마주 앉아 불과 한 분기 전에는 존재하지도 않았던 위협에 조직이 대비되어 있는지 질문받는 심정이 어떤지 잘 알고 있습니다. 패치를 적용하는 데 드는 운영 비용과 적용하지 않을 때의 위험을 저울질하는 일이 어떤 것인지도 알고 있습니다. 또한 보안에서 가장 어려운 문제는 또 다른 도구를 구매한다고 해결되는 경우가 거의 없다는 사실도 잘 알고 있습니다. 그런 문제를 해결하려면 조직의 운영 방식을 바꿔야 합니다.

프런티어 AI가 방어자에게 소프트웨어 보안을 강화할 강력하고 새로운 방법을 제공하는 것처럼, 공격자에게도 발견된 취약점을 더 빠르게 식별하고 악용할 수 있는 수단을 제공합니다. 업계 전반에서 많은 공급업체가 릴리스 주기를 단축하고 있습니다. AI가 기존의 취약점 공개 및 패치 모델로는 감당할 수 없을 만큼 빠른 속도로 문제를 찾아내고 있기 때문입니다.

최고제품책임자(CPO)인 Kunal Anand는 최근 릴리스 주기 변경에 관해 글을 썼습니다. 매월 보안이 강화된 릴리스를 제공하고, 이어서 월별 보안 알림을 발행하는 방식으로 전환한다는 내용입니다. 그 첫 번째 보안 강화 릴리스가 오늘 제공됩니다. 제가 이야기하고 싶은 것은 CISO들이 밤잠을 설치게 하는 문제, 즉 이제 더 빠른 속도로 제공되는 수정 사항을 귀사가 실제로 수용할 수 있는지 여부입니다.

취약점을 더 빨리 찾아 수정하더라도 해당 수정 사항을 귀사의 환경에 적용할 수 없다면 아무 소용이 없습니다. 일반적인 조직이 패치를 배포하는 데 걸리는 시간의 중앙값은 20일입니다. 이제 공격자들은 취약점이 공개되기도 전에 불과 몇 시간 만에 이를 공격에 활용합니다. 모든 공급업체가 릴리스 주기를 단축할수록 이러한 격차는 더욱 커집니다. 더 많은 공급업체가 더 자주 더 많은 릴리스를 내놓지만, 이를 처리해야 하는 인력은 한정된 동일한 팀입니다.

이는 더 빠른 출시 주기로 인해 발생하는 운영상의 부담입니다. 그리고 여러분이 이를 원활히 수용하도록 돕지 않은 채 단순히 더 많은 릴리스를 제공한다면, 해결책이 아니라 문제를 떠넘기는 셈이 될 것입니다.

더 빠른 릴리스 주기를 지속 가능하게 만들기

이러한 상황을 관리할 수 있도록 관련 역량을 구축해 왔습니다. 이제 수정 사항을 얼마나 신속하게 배포할 수 있는지가 보안 태세와 별개의 요소가 아니라 그 일부이기 때문입니다.

오늘, 첫 번째 보안 강화 릴리스와 함께 새로운 플릿 관리 기능을 선보입니다 F5 Insight for ADSP에서 말입니다. 이러한 워크플로를 통해 보안 및 운영 팀은 플릿 전체에 대한 가시성과 안내형 업데이트 관리 기능을 확보하고, 대규모로 분산된 F5 BIG-IP 환경 전반에서 위험 식별부터 책임 있는 조치 실행까지 이어갈 수 있습니다. 실제로 이는 어떤 디바이스가 최신 상태인지, 어떤 디바이스가 위험에 노출되어 있는지, 어떤 디바이스에 조치가 필요한지를 한눈에 파악한 다음, 안내형 워크플로와 실행 전 준비 상태 점검을 통해 대규모 업데이트를 안전하게 수행할 수 있다는 의미입니다.

규제 산업에 종사하는 분들에게는 또 하나의 중요한 측면이 있습니다. AI가 일상적인 운영의 일부로 자리 잡으면서 AI가 무엇에 액세스했고, 무엇을 권고했으며, 누가 해당 조치를 승인했고, 그 결과가 어떠했는지를 문서화해야 합니다. 이제 F5 Insight에는 엔터프라이즈 인증, 역할 기반 액세스 제어, 변조 여부를 확인할 수 있는 AI 감사 추적과 같은 거버넌스 수준의 제어 기능이 포함됩니다. 사람 또는 AI 중 누가 수행했는지와 관계없이 모든 운영 조치에 대한 책임 소재가 기록됩니다.

우리의 목표는 매월 반복되는 작업을 운영상의 부담이 아니라 일상적이고 위험이 낮으며 대부분 자동화된 프로세스로 전환하는 것입니다. 이에 대비해 지금부터 다음 세 가지 단계를 진행하시길 권장합니다:

• F5 Insight for ADSP 평가판을 사용해 보세요. 현재 플릿 상태를 파악하고 새로운 플릿 관리 기능을 활용할 수 있도록 지금 바로 배포하세요. 가시성은 다른 모든 작업의 전제 조건입니다.
• 업데이트 자동화를 위해 F5 Professional Services에 문의하세요. F5 팀은 고객과 협력하여 고객 환경에 맞는 위험도가 낮은 자동 업데이트 워크플로를 설계하고 구현합니다. 인증된 Ansible 컬렉션을 사용하고, 고객의 규제 요건, 고가용성 구성 및 트래픽 흐름에 맞게 조정하며, 검증 및 테스트 절차를 포함합니다.
• F5 AI Red Team 가이드 데모를 신청하세요. 공격의 판도를 바꾸고 있는 최첨단 AI 기능을 방어에도 활용할 수 있습니다. 저희 팀에 문의하여 AI Red Team을 통해 공격자보다 먼저 자체 애플리케이션의 잠재적 취약점을 식별하고 보안 통제가 실제로 효과적인지 검증하는 방법을 알아보세요.

이를 위해 여러분과 우리가 해야 할 일

여기서 가장 중요한 변화는 사고방식의 전환입니다. 공격자들이 심각도가 낮은 취약점들을 연계해 새로운 공격 기법을 만들어 내는 세상에서는 개별 수정 사항의 심각도만으로 그 중요성을 판단하기 어렵습니다. 성공하는 조직은 최신 보안 강화 릴리스를 유지하는 것, 즉 최신 상태 유지를 단순한 유지보수 작업이 아니라 핵심 보안 원칙으로 여기는 조직일 것입니다. 이를 위해서는 압박이 최고조에 달하기 전에 지금부터 자동화와 가시성에 투자해야 합니다.

저희 역시 동일한 기준을 스스로에게 적용하고 있습니다. F5는 자사 제품을 가장 모범적으로 활용하는 최첨단 고객이 되고자 합니다. 고객 여러분께 요청드리는 것과 같은 방식으로, 동일한 수준의 엄격함과 도구, 긴박감을 바탕으로 자체 인프라를 운영하고 있습니다. 저희 스스로 채택하지 않은 보안 태세로 전환해 달라고 고객 여러분께 요구하는 것이 아닙니다.

이는 소프트웨어가 공격받고 방어되는 방식의 영구적인 변화에 대응하기 위한 구조적 조치입니다. 위협 환경은 계속 진화할 것입니다. 우리 역시 취약점을 발견하고 수정하는 방식, 고객이 수정 사항을 배포하도록 지원하는 방식, 그리고 패치가 적용되기 전까지 고객을 보호하는 런타임 방어 체계를 지속적으로 발전시켜 나가겠습니다.

세계 최대 규모의 조직들은 가장 중요한 경로에 F5를 배치합니다. 우리는 그 책임을 결코 가볍게 여기지 않으며, 이를 모든 의사 결정의 출발점으로 삼고 있습니다.

F5의 최첨단 AI 방어 접근 방식에 대한 자세한 내용은 여기에서 확인할 수 있습니다.

작성자 소개

Michael Montoya최고 기술 운영 책임자 | F5

Michael은 보안과 회복탄력성을 핵심 가치로 삼아 회사를 운영하기 위한 전사적 전략 수립과 실행을 책임지고 있습니다. 그는 F5의 보안, 리스크 및 디지털 운영 조직을 이끌며 고객, 파트너 및 직원이 운영 전반에 걸쳐 신뢰할 수 있는 환경을 조성하고 있습니다. Montoya는 2021년부터 2025년까지 F5 이사회에서 활동한 후 2025년 10월 F5의 경영진에 합류했습니다. F5에 합류하기 전에는 BlueVoyant의 최고운영책임자(COO)를 역임했으며, 그 이전에는 Equinix와 Digital Realty에서 최고정보보안책임자(CISO)를 지냈습니다. 또한 Microsoft에서 10년 넘게 근무하며 최고사이버보안책임자, 유럽·중동·아프리카(EMEA) 및 아시아 지역 CIO/CISO, 데이터센터 운영 글로벌 총괄 등 글로벌 리더십 직책을 맡았습니다.

Michael Montoya의 다른 블로그 게시물