현황: 공격 표면 관리의 기준이 근본적으로 달라지고 있다
위드네트웍스가 8월 11~12일 서울 코엑스에서 열린 'ISEC 2026(제20회 국제 시큐리티 콘퍼런스)'에 공개한 'withVTM' 신규 버전은 단순한 기술 업데이트가 아니다. 이것은 AI 시대의 보안 위협이 얼마나 빠르게 변하고 있는지를 대변한다.
안종업 대표 위드네트웍스는 이번 행사에서 핵심 화두로 "AI가 취약점을 쏟아내는 미토스 시대"를 제시했다. AI 기술이 스스로 취약점을 탐지하는 능력이 점점 높아지면서, 조직이 마주한 위험은 질적으로 달라졌다는 뜻이다. 동시에 AI 기술의 확산으로 공격은 빠르고 정교해지는 반면, 이에 대응할 보안 인력과 예산은 한정된 상태다. 이것이 현재의 비대칭 환경이다.
원인: CVSS 점수 기반 관리의 근본적 한계
기존 보안 관리는 개별 취약점의 심각도를 CVSS(Common Vulnerability Scoring System) 점수 하나로 판단해왔다. 점수가 높으면 우선순위를 높이고, 낮으면 후순위로 미루는 방식이다. 하지만 이 접근법에는 결정적 맹점이 있다.
위드네트웍스가 강조한 것이 바로 조합 위험의 개념이다. 실제 위험은 단일 취약점이 아니라 여러 약점의 조합에서 발생한다는 것이다. 구체적으로:
- 외부에 노출된 API와 불필요한 개방 포트
- SBOM 내 취약 라이브러리
- 기본 계정과 과도한 접근 권한
- 민감 데이터 접근 경로
이들이 하나의 자산에서 겹쳐질 때, 개별 취약점의 CVSS 점수는 낮아도 악용 가능성은 급격히 상승한다. 그러나 CVSS는 이런 조합 위험을 반영하지 못한다.
해결책: CTEM 체계와 3D 보안 디지털 트윈
이에 대응해 위드네트웍스가 제시한 것이 CTEM(지속적 위협 노출 관리) 체계다. 이는 N2SF(국가 정보보안 기본지침), ISMS-P(정보보안 관리체계) 대응을 위한 근본적인 패러다임 전환을 의미한다.
withVTM 신규 버전의 핵심은 다음과 같다:
- 자산 중요도 파악
- 외부 노출 현황 파악
- KEV·EPSS 등 실제 악용 신호 반영
- 설정 결함과 권한 상태 종합 분석
이 모든 정보를 자산 단위로 결합하여 AI 기반 위험 등급으로 환산한다. 결과적으로 개별 점수는 낮지만 결합 시 악용 가능성이 높은 자산을 우선 조치 대상으로 제시한다.
여기에 더해 주목할 기술이 3D 보안 디지털 트윈이다. 제조와 도시·시설 관리에서 먼저 상용화된 디지털 트윈 기술을 IT 자산·취약점 관리에 적용한 것이다. 실제 인프라를 가상 공간에 그대로 재현하면서 운영 환경에 영향을 주지 않고 자산 구성과 연결 관계를 검증할 수 있다. 자산 목록만으로는 확인되지 않는 연결 구조와 외부 노출 지점을 단일 화면에서 파악하는 효과를 얻을 수 있다는 뜻이다.
위드네트웍스는 국내에서 디지털 트윈을 IT 자산·취약점 관리에 적용한 상용 사례가 이번이 처음이라고 강조했다.
전망: 위험 관리 지표의 전환
비대칭 환경에서 조직이 증명해야 할 지표는 변화하고 있다. 기존의 "처리한 취약점 건수"에서 "실제 위험 수준을 얼마나 신속하게 낮췄는가"로의 전환이다.
이는 단순한 운영 효율성 개선을 넘어 규제 대응과 직결된다. N2SF, ISMS-P 같은 국내 정보보안 기준들도 점차 결과 기반(실제 위험 저감)의 관리로 방향을 잡고 있다. withVTM의 CTEM 체계와 디지털 트윈은 이러한 변화에 선제적으로 대응하는 도구가 될 수 있다.
결론
AI 시대 보안의 현안은 이제 "얼마나 많은 취약점을 찾는가"에서 "조합 위험을 얼마나 정확히 진단하고 우선순위를 정하는가"로 이동했다. 위드네트웍스가 제시한 CTEM 방식과 3D 디지털 트윈은 이 변화에 직면한 조직들이 근거 있는 의사결정을 내릴 수 있게 한다.
다음 단계:
- 현재 보안 관리 프로세스에서 취약점을 얼마나 조합적으로 평가하고 있는지 검토해보자.
- KEV·EPSS 같은 악용 신호와 자산 중요도를 함께 고려하는 위험 등급 체계를 도입 검토하자.
- 조직의 자산 목록과 네트워크 구성을 정확히 파악하고 외부 노출 지점을 사전에 시각화할 수 있는 방안을 찾아보자.
- #ISEC2026
- #위협노출관리
- #디지털트윈
- #자산관리
- #사이버보안