기술 요약: 사이버 위협 인텔리전스(CTI)의 ROI 평가

1. 문제 정의

사이버 위협 인텔리전스(CTI) 프로그램의 투자 대비 수익률(ROI)을 정량화하는 것은 근본적인 측정 문제에 직면해 있다: 성공적인 예방은 관찰 가능한 재무적 신호를 남기지 않는 "비사건(non-events)"을 초래한다. 결과적으로 CTI 지출은 전통적인 비용-편익 분석에 저항을 받는다. 더욱이 CTI의 가치는 단독 기술 통제(technical control)라기보다 다운스트림 통제(예: 방화벽, EDR, 분석가)를 위한 힘의 증폭기(force multiplier)로서 간접적인 경우가 많다. 이는 인과적 귀속과 투자 경계의 정의를 복잡하게 만든다. 고든-로엘(Gordon–Loeb) 모델과 같은 전통적인 경제 모델은 독립적인 기술 통제를 위해 설계되었으며, 인텔리전스 기반 워크플로우에 내재된 확률적 위험 감소 및 레버리지 효과를 포착하는 데 실패한다. 방어 가능한 모델이 없다면, CTI 프로그램은 비용 센터로 인식되어 자금 조달이 축소되고 자원 배분이 잘못될 위험이 있다.

2. 방법론

본 논문은 측정 격차를 해결하기 위해 정량적 지표, 정성적 지표, 그리고 특정 재무 모델링 접근 방식을 결합한 다층적 프레임워크를 제안한다.

2.1 위협 인텔리전스 효과성 지수 (TIEI)

저자들은 CTI 성숙도를 운영화하기 위해 **위협 인텔리전스 효과성 지수(TIEI)**를 도입한다. 선형성을 가정하고 한 영역의 높은 점수가 다른 영역의 실패를 보완할 수 있게 하는 전통적인 가중 산술 평균과 달리, TIEI는 **가중 기하 평균(weighted geometric mean)**을 활용한다. 이 공식은 약한 연결 고리에 페널티를 부여하며, 이는 한 차원(예: 통합성 부족)의 결함이 다른 차원의 가치를 무효화할 수 있다는 현실을 반영한다.

TIEI는 네 가지 차원을 집계한다:

1. 인텔리전스 품질: 정확성, 적시성, 관련성 및 완결성.
2. 강화(Enrichment): TTP(ATT&CK) 매핑, 내부 상관관계, 엔티티 연결 및 실행 가능성.
3. 통합 및 자동화: 통제 범위 커버리지, 전달 성공률, 자동화율 및 SLA 준수.
4. 운영 영향: 평균 탐지 시간(MTTD) 및 평균 대응 시간(MTTR) 감소, 오탐(false-positive) 감소, 커버리지 리프트.

재현성을 보장하기 위해 점수는 정의된 목표 또는 다중 앵커 정규화(수용 불가능, 참조, 스트레치 수준)를 사용하여 [1, 100] 척도로 정규화된다.

2.2 재무 프레임워크: 손익분기점 우선 접근 방식

본 논문은 특정 ROI 값을 예측하는 것에서 벗어나 **손익분기점 실현 가능성 경계(breakeven feasibility frontier)**를 정의하는 방향으로 전환한다. 이 접근 방식은 조직별 연간 중대한 손실 발생 확률($p_0$)과 CTI 기여 완화 비율($M$)이 광범위한 산업 부문 보고서로부터 신뢰성 있게 추정할 수 없는 미지수임을 인정한다.

모델은 플랫폼 및 피드 비용뿐만 아니라 인텔리전스를 운영하는 데 필요한 증분 다운스트림 비용(통합, 엔지니어링, 자동화)을 포함하도록 CTI의 총 소유 비용(TCO, $TCO_{CTI}$)을 정의한다.

양(+)의 ROI를 위한 조건은 다음과 같이 도출된다:
$$p_0 \times M > \kappa$$
여기서 $\kappa = \frac{TCO_{CTI}}{L_M}$ 이며, $L_M$은 해당 사건의 조건부 손실 규모이다.

이는 두 개의 미지수 경계를 생성한다: 조직은 자신의 특정 사건 발생 확률과 특정 완화 능력의 곱이 비용-손실 비율을 초 exceed하는지를 입증해야 한다.

2.3 조건부 시뮬레이션

불확전성이 어떻게 전파되는지 설명하기 위해, 저자들은 TIEI 점수에 조건화된 PERT 시뮬레이션을 사용한다. 완화 계수($M$)는 TIEI 점수의 아핀 함수(affine functions)인 경계값(비관적, 가장 가능성 높은, 낙관적)을 갖는 PERT 분포로 모델링된다. 이는 운영 성숙도를 단일 결정론적 값에 의존하지 않고도 가능한 재무적 결과의 범위와 직접 연결한다.

3. 주요 기여

본 논문은 두 가지 주요 기여를 한다:

1. 위협 인텔리전스 효과성 지수 (TIEI): 인텔리전스 품질, 강화, 통합 및 운영 영향을 포착하는 구조화된 가중 기하 평균 성숙도 척도이다. 이는 불균형한 성능에 페널티를 부여하며 프로그램 진화를 추적하기 위한 재현 가능한 기초를 제공한다.
2. 손익분기점 우선 재무 의사결정 프레임워크: $p_0$와 $M$을 미지수로 취급하여 양의 ROI를 위한 조합을 규명하는 방법이다. 이 프레임워크는 포괄적인 투자 경계(TCO) 정의를 포함하며, 오해의 소지가 있는 산업 전반의 유병률 데이터에 의존하지 않고 범위에 부합하는 손익분기 요구사항을 도출하는 방법을 보여준다.

4. 결과 및 적용

프레임워크는 금융 서비스 및 헬스케어 분야의 예시 시나리오에 적용되었다.

• 금융 서비스: 추정 침해 비용($L_M$)을 $5.82M, 올인(all-in) 연간 투자액($TCO_{CTI}$)을 \$0.40M으로 설정했을 때, 실현 가능성 상수$\kappa$는 6.87%이다. 분석 결과, CTI 프로그램이 20%의 완화 능력($M=0.20$)을 갖추어 손익분기점을 넘기 위해서는 조직의 범위에 맞춘 연간 중대 사건 발생 확률이 34.4%를 초과해야 한다.
• 헬스케어: 더 높은 추정 침해 비용(\8.595M)과 투자액(\0.60M)을 고려할 때, $\kappa$는 6.98%이다. 마찬가지로, 20%의 완화 능력이 필요할 경우 사건 발생 확률은 34.9%를 초과해야 한다.

본 논문은 이러한 수치들이 산업 리스크에 대한 예측이 아니라 실현 가능성 경계임을 강조한다. 이들은 투자 정당성을 부여하기 위해 조직이 제시해야 하는 최소한의 증거를 정의한다. TIEI 조건부 PERT 시뮬레이션은 성숙한 프로그램(TIEI = 80)의 경우, 가정된 사건 확률($p_0$)이 높아짐에 따라 양의 ROI를 달取得할 확률이 크게 증가함을 보여주지만, 이 시뮬레이션은 조직이 방어 가능한 $p_0$를 제공하는 것을 전제로 한다.

5. 의의 및 주장

저자들은 이 프레임워크가 운영 성숙도(TIEI)를 감사 가능한 재무 경계와 연결함으로써 CTI 투자에 대한 재현 가능한 기초를 제공한다고 주장한다.

• ROI의 재정의: 논문은 ROI를 얻은 이익이 아니라 "회피된 취약성(fragility avoided)"의 척도로 보아야 한다고 주장하며, 성공적인 보안이 보이지 않게 되는 "예방의 역설" 문제를 다룬다.
• 인과적 일관성: 조직 특유의 사건 확률을 대신하여 광범위한 산업 유병률을 사용하는 범주 오류(category error)를 피함으로써, 정보 자산에 대한 전통적인 통제 기반 모델을 적용하는 문제를 방지한다.
• 총체적 가치 평가: 이 접근 방식은 정량적 성능 지표(MTTD, MTTR), 정성적 전략 가치(브랜드 보호, 규제 준수), 그리고 재무 모델링(FAIR 기반 위험 감소)을 통합한다.
• 주장의 겸손함: 본 논문은 보편적인 산업 ROI를 추정하지 않는다는 점을 명시한다. 수치적 경계는 입력값에 따른 결정론적 민감도 경계이지 신뢰 구간이 아니다. TIEI 조건부 PERT 시뮬레이션은 예측 도구가 아니라 부차적인, 가정 조건부 삽화로서 제시된다.

연구는 비록 많은 측정 과제(귀속, 데이터 과부하, 무형 자산)가 존재하지만, TIEI와 손익분기점 우선 재무 모델을 결합한 다층적 접근 방식을 통해 보안 리더들이 CTI의 가치를 비용 센터가 아닌 방어 가능한 전략적 투자로서 전달할 수 있다고 결론짓는다.