美 Amex GBT, AI 기반 사이버 보안 혁신…CISO 역할도 '전략 파트너'로 진화

미국 최대의 기업 여행 서비스 제공업체인 아메리칸 익스프레스 글로벌 비즈니스 트래블(Amex GBT)이 인공지능(AI)을 사이버 보안 전략의 중심에 두고 있다. 사이버 위협 대응의 속도와 정밀도를 동시에 높이기 위한 방안으로 AI를 적극 도입하고 있으며, 이 같은 행보는 전통적인 보안관리자의 역할을 넘어 전략적 비즈니스 파트너로서 최고정보보안책임자(CISO)의 위상을 강화하고 있다.

Amex GBT의 데이비드 레빈 최고정보보안책임자(CISO)는 자사의 보안 운영센터(SOC) 운영과 위협 탐지 전반에 AI를 효율적으로 통합하고 있다고 밝혔다. 그는 "기계학습 기반의 SIEM 및 EDR 도구를 활용해 악성 행위를 더 빠르게 식별하고, 추가 분석 없이도 중요한 정보를 자동 제공함으로써 탐지 능력을 획기적으로 향상시키고 있다"고 강조했다. 이를 통해 보안분석가는 반복 작업을 줄이고, 고위험 경고 사건에 집중할 수 있어 ‘기계 수준’의 속도로 대응이 가능한 환경을 구축하게 됐다.

사외 보안 파트너와의 연계도 눈에 띈다. 레빈은 크라우드스트라이크 오버워치와의 협업을 통해 24시간 위협 사냥이 가능한 체계를 운용하고 있으며, AI가 비정상적 활동을 선별하고 중요 위협을 추려내는 데 기여한다고 설명했다. 이러한 AI 지원은 내부 보안팀의 업무부담을 줄이고, 숙련 인력이 복잡한 사건 해결에 전념할 수 있도록 돕는다는 점에서 생산성을 크게 제고하고 있다.

Amex GBT는 미국 국립표준기술연구소(NIST)의 AI 위험관리 프레임워크를 기반으로 조직 내 AI 거버넌스 체계를 구축해 운영 중이다. 보안, 법무, 프라이버시, 컴플라이언스, HR, IT 담당자가 참여하는 위원회를 통해 AI 관련 프로젝트가 보안 및 컴플라이언스를 충족하는지 사전에 검토하고, AI 시스템의 전 생애주기에 걸친 리스크 요인을 통제하고 있다. 특히, 설명 가능한 AI 구현을 강조하며, 인공지능이 특정 판단을 내린 이유에 대해 분석가가 명확히 이해할 수 있도록 설계함으로써 신뢰성과 추적 가능성을 확보했다.

급증하는 섀도우 AI 문제에 대해서도 사전 대응책을 마련하고 있다. 레빈은 “직원이 승인 없이 외부 AI 도구에 기업 데이터를 제공하는 일이 없도록 분명한 정책을 수립했으며, 미인가 플랫폼을 탐지하고 차단하는 기술 장치도 운영 중”이라고 했다. 이와 함께 실제 사고 사례를 공유하는 교육 프로그램을 병행해 직원 인식 개선에도 힘을 쏟고 있다.

AI 도입과 관련한 기술적 과제에 관해 레빈은 데이터 보안과 모델 드리프트, 적대적 테스트를 주요 난제로 꼽았다. 그는 "AI가 시스템 로그나 사용자 데이터를 기반으로 행동을 분석하다보니, 해당 데이터를 암호화하고 접근권한을 엄격히 통제해야 한다"며 "모델이 최신 위협에 민감하게 반응할 수 있도록 성능 저하 시 재학습 주기를 운영하고 있다"고 밝혔다.

레빈은 보안 책임자의 역할 또한 달라지고 있음을 언급하며, "AI는 CISO가 단순한 규제 준수 관리자 수준이 아닌, 기업 디지털 전환의 방향을 주도하는 전략적 조력자로서 자리매김할 수 있는 기회를 제공한다"고 강조했다. 이는 특히 새로운 AI 서비스나 고객대면 기술을 도입할 때 보안 부서가 초기 단계부터 참여해 리스크를 선제적으로 관리하는 문화로 이어지고 있다.

글로벌 운영 측면에서는 지역별 규제를 고려한 ‘보안 중심 AI 설계’ 원칙을 통해 프로젝트 초기부터 보안성을 확보하는 구조를 정착시키고 있다. 유럽의 GDPR 지침에 따라 개발된 데이터 마스킹 기법을 미국이나 아시아 지역에 공유하는 방식으로, 글로벌 단일 보안 표준을 유지하면서도 지역 맞춤 대응을 병행하고 있다.

최근 Amex GBT는 크라우드스트라이크의 신형 AI 도구 ‘샬럿(Charlotte)’을 활용한 경고 분류 자동화도 시범 도입 중이다. 이 도구는 입력되는 경고 데이터를 자동 분석해 위험도를 판단하고 운영 담당자에게 후속 조치를 제안하는 기능을 갖췄으며, 특히 신입 보안 분석가에게 실시간 학습 기회를 제공한다는 점에서 교육 효과도 기대된다.

레빈은 앞으로 AI를 기반으로 한 예측 보안과 자율형 SOC로의 전환이 본격화될 것으로 내다봤다. 그는 "AI는 비단 SOC에만 머물지 않고, 의심스러운 여행 예약의 사기 탐지, 사용자 행동 분석, 맞춤형 보안 교육 등으로 확장될 것"이라며 "AI를 신뢰 기반으로 잘 통제한다면 공세적 보안 역량을 확장하는 지렛대 역할을 할 수 있다"고 전망했다.

AI가 사이버 보안 생태계 전반에서 핵심전략으로 급부상하고 있는 가운데, Amex GBT의 사례는 단순한 기술 도입을 넘어, 거버넌스와 지속 가능성을 함께 고려한 ‘책임 있는 AI 보안모델’이 미래 기업 보안 전략의 핵심이 될 수 있음을 보여주고 있다.