가트너(Gartner)는 2028년까지 보안 운영 센터(SOC)에 구조적 변화가 발생하여 사이버 보안 분야의 엔지니어 수가 분석가 수보다 50% 증가할 것으로 전망했습니다. 이러한 변화는 AI 에이전트(AI agents)가 루틴 경고 처리 작업을 맡을 수 있게 되면서, '경고 분류'를 이 센터들의 핵심 업무로 여기던 시대를 끝내기 때문에 발생합니다.
분석가 역할의 변화: 분류에서 케이스 소유권으로
가트너 보고서에 따르면 보안 운영 센터의 팀 규모가 줄어드는 것이 아니라 업무의 성격이 변하게 됩니다. 분석가는 방대한 양의 경고를 처리하는 '분류 담당자'(Triage) 역할을 중단하고 '케이스 소유자'(Case Ownership) 역할로 전환하게 됩니다. 이 새로운 모델에서 AI 에이전트는 초기 조사를 수행하고, 인간 분석가는 결과 검증, 적절한 대응 선택, 의사결정권자에게 가용한 선택지 전달 책임을 맡습니다.
이러한 변화에는 새로운 기술이 필요합니다. 분석가는 처음부터 결론을 도출하지 않고, AI가 도출한 결론의 정확성을 승인하기 전에 평가하는 데 더 많은 시간을 소비하게 됩니다.
보안 운영 엔지니어링(SOC Engineering)의 부상
보고서는 '탐지 엔지니어링'(Detection Engineering) 개념이 '보안 운영 엔지니어링'이라는 더 넓은 전문 분야로 확장될 것임을 시사했습니다. 엔지니어의 업무는 단순히 프로그래밍 규칙을 작성하는 것에 국한되지 않고 다음과 같은 고도화된 기술 분야를 포함하게 됩니다.
- 프롬프트 디자인(Prompt Design): AI 에이전트가 보안 환경을 조사하는 데 사용하는 지침과 맥락을 작성합니다.
- 워크플로우 테스트(Workflow Testing): 실제 가동 전에 에이전트의 작업 경로가 이전 인시던트에 대응하여 효율적인지 검사합니다.
- AI 출력 검증: 에이전트의 결정이 인간의 평가와 일치하는지 주기적으로 모니터링합니다.
- 버전 관리(Versioning): 지침과 규칙의 변경 사항을 추적하고 복원 가능한 코드로 다룹니다.
성과 측정 기준의 변화
가트너는 보안 운영 센터 관리자들에게 경고 볼륨(Alert Volume)이나 종료율 측정 기준에 대한 의존을 중단하고, 결정의 질에 초점을 맞춘 다음과 같은 기준으로 전환할 것을 권장합니다.
- 케이스 정확도(Case Accuracy): 전문가의 검토가 에이전트나 분석가에 의해 내려진 결정과 일치하는 정도.
- 사이클 타임(Cycle Time): 첫 신호부터 최종 결정 및 대응이 이루어질 때까지 소요되는 시간.
- 결정 신뢰도(Decision Confidence): 각 결정을 뒷받침하는 증거의 강도와 그 안정성을 측정.
신규 직원에게 실질적으로 무엇이 달라지는가?
이러한 변화는 초급 분석가(Tier 1) 교육과 관련하여 큰 과제를 제기합니다. 전통적인 교육은 경고 처리를 반복하여 경험을 쌓는 것에 의존했으나, 이는 향후 AI가 담당하게 될 것입니다. 이 격차를 극복하기 위해 보고서는 초급자들이 결과 도출 방식을 이해하기 위해 에이전트 로그(Agent logs)를 연구하게 하거나, 의사결정 능력을 강화하기 위해 저위험 케이스의 소유권을 조기에 부여하는 등의 전략을 제안합니다.
이 뉴스가 중요한 이유는 무엇인가?
이 보고서는 사이버 보안 전문가들에게 '분류 및 모니터링'의 전통적인 기술적 역량이 '엔지니어링 및 검증' 역량의 가치에 밀려 시장 가치를 잃기 시작했음을 명확히 신호합니다. 이 변화는 단순한 업무 자동화를 넘어 보안 운영 센터에서 일한다는 것의 의미를 완전히 재정의하는 것입니다. 즉, 부가가치가 '경고를 감지하는 능력'에서 '경고를 정확히 감지하고 관리하는 시스템을 엔지니어링하는 능력'으로 이동하게 됩니다.