AI 작성 보안 정책: 유용한 지름길인가, 감사 위험인가?

보안 정책 작성은 모든 컴플라이언스 프로그램에서 예전에는 느리지만 필수적인 첫 단계였습니다. 이제는 생성형 AI 도구가 정보보안, 접근 통제, 침해사고 대응, 암호화, 공급업체 보안 등을 포함한 전체 세트를 몇 분 만에, 서식까지 갖추고 자신감 있는 문체로 만들어 냅니다. 많은 조직에게 이는 실질적인 도움이 됩니다. 하지만 감사에 실패하는 새로운 방식이기도 합니다.

AI가 도움이 되는 부분

• 빈 페이지가 사라집니다. 일반적인 섹션을 갖춘 정책별 초안 구조는 실제로 시간을 아껴 줍니다.
• 쉬운 언어. AI는 난해한 표준 용어를 사람들이 읽을 만한 문장으로 바꾸는 데 능합니다.
• 일관성 점검. 올바른 방식으로 요청하면 문서 간 모순을 찾아낼 수 있습니다.
• 매핑 초안. 정책의 어느 섹션이 프레임워크의 어떤 요구사항과 관련되는지 제안할 수 있으며, 이는 검토를 위한 출발점입니다.

AI가 문제가 되는 부분

• 정책이 실제로 하지 않는 관행을 기술합니다. 생성된 접근 통제 정책은 분기별 특권 접근 검토, 전사 MFA, 문서화된 승인을 약속하곤 합니다. 실제로 그렇게 하지 않는다면 각 약속은 앞으로의 감사 지적 사항이 됩니다. 감사인은 여러분이 작성한 내용을 검증합니다.
• 참조가 틀릴 수 있습니다. 생성된 텍스트는 대체된 버전의 통제 번호나 존재하지 않는 요구사항을 인용하기도 합니다. 2022년 감사에서 ISO 27001:2013 조항 번호를 인용한 정책은 나머지 모든 내용의 신뢰도를 떨어뜨립니다.
• 담당자가 없습니다. 완성된 형태로 도착한 정책에는 각 문장이 왜 있는지 이해하는 작성자도, 내용을 최신으로 유지할 소유자도 없습니다.
• 분량이 판단을 대신합니다. 그럴듯한 정책 50쪽은 조직에 실제로 중요한 세 가지 결정을 가려 버릴 수 있습니다.

잘 활용하는 방법

1. 먼저 결정하고, 그다음 생성합니다. 각 통제를 실제로 어떻게 운영하는지(담당자, 주기, 기준)를 먼저 적은 다음, 그 사실을 바탕으로 AI에게 정책 초안을 요청하십시오. 여러 프레임워크를 위한 하나의 정책 세트에 관한 저희 글도 참고하십시오.
2. 과감하게 삭제합니다. 근거를 제시할 수 없는 문장은 모두 지우십시오.
3. 모든 참조를 현행 프레임워크 원문과 대조하여 확인합니다. 예를 들어 ISO 27001 A.5.1 요구사항 페이지에서 현재의 ID와 제목을 확인할 수 있습니다.
4. 정책마다 사람 담당자를 지정합니다. 담당자는 내용을 읽고, 승인하고, 매년 검토해야 합니다.
5. 위험 평가는 AI에게 맡기지 마십시오. AI는 위협을 제안할 수 있지만, 여러분의 시스템, 사람, 사업은 알지 못합니다.

생성된 정책을 위한 간단한 점검

정책을 승인하기 전에, AI가 생성했든 아니든, 다음 세 가지 질문을 염두에 두고 읽으십시오:

1. 이 문서의 모든 "필수" 항목에 대해 감사인에게 증거를 보여 줄 수 있습니까? 각 의무는 실제로 운영되고 기록을 남기는 통제를 가리켜야 합니다. 그렇지 않다면 통제를 구축하거나 해당 문장을 삭제하십시오.
2. 모든 참조가 현행 버전에 존재합니까? 감사 대상 프레임워크를 기준으로 조항 및 통제 번호를 확인하십시오. ISO 27001 A.5.15 또는 SOC 2 CC6.1 같은 저희 요구사항 페이지에서 현재 ID와 다른 프레임워크의 대응 항목을 확인할 수 있습니다.
3. 신입 직원이 무엇을 해야 할지 이해할 수 있습니까? 정책은 행동을 바꾸기 위해 존재합니다. 기술적으로는 맞더라도 일반적이고 내용이 부풀려진 글은 이 점검을 통과하지 못합니다.

세 가지를 모두 통과한 정책은, 누가 또는 무엇이 작성했든 좋은 정책입니다. 어느 하나라도 실패한 정책은 아무리 세련되어 보여도 부담입니다.

핵심 요약

• AI는 첫 초안을 빠르게 만드는 수단이지만, 최종본으로 쓰기에는 위험합니다.
• 먼저 운영 방식을 결정하고, 그 사실을 바탕으로 텍스트를 생성하십시오.
• 근거를 제시할 수 없는 내용은 삭제하고, 모든 참조를 확인하며, 정책마다 사람 담당자를 지정하십시오.

솔직한 답변

AI로 작성한 정책은 첫 초안에 이르는 유용한 지름길이지만, 최종본으로는 위험합니다. 판단 기준은 달라지지 않았습니다. 문서가 조직이 실제로 하는 일을 기술하는지, 그리고 그것을 증명할 수 있는지입니다. AI는 그곳에 더 빨리 도달하는 데 쓰되, 결정해야 하는 부분을 건너뛰는 데 쓰지 마십시오. 정책 작성 전에 도구부터 구매하려고 하신다면, 같은 원칙이 적용됩니다.

질문

AI로 생성한 보안 정책을 ISO 27001이나 SOC 2에 사용할 수 있습니까?

초안 작성에는 AI를 사용할 수 있지만, 감사인은 정책이 조직의 실제 운영과 일치하는지를 검증합니다. 여러분이 따르지 않는 관행을 기술하는 일반적인 초안은 지적 사항을 만듭니다.

AI 작성 정책의 위험은 무엇입니까?

운영하지 않는 통제를 이행하겠다고 약속하는 정책, 표준에 대해 지어내거나 오래된 참조, 문서 간 불일치, 아무도 읽거나 승인하지 않은 정책.

감사인은 AI 지원으로 작성된 정책에 이의를 제기합니까?

그 자체로 문제 삼지는 않습니다. 감사인은 정책이 승인되었는지, 최신인지, 실제로 준수되는지를 봅니다. 첫 초안을 어떻게 만들었는지보다 최종 문서가 현실과 일치하는지가 훨씬 중요합니다.