AI Deployment and Cyber Governance Failures in Public-Sector Organizations: A Typological Analysis
이 논문은 7개 영역의 유형론과 3가지 경로 실패 모델을 제안함으로써 공공 부문 조직에서의 AI 주도 사이버 보안 실패에 관한 문헌적 공백을 다루며, 기존의 거버넌스 프레임워크가 섀도 AI(Shadow AI) 및 속도 비대칭성과 같은 핵심 문제를 불충분하게 다루고 있음을 입증하고, 이를 통해 새로운 AI 기반 사이버 보안 성숙도 모델을 위한 설계 사양을 제공한다.
원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기
컴퓨터 보안의 세계를 정부들이 벌이는 거대하고 치열한 체스 게임이라고 상상해 보십시오. 수십 년 동안 플레이어들은 **거버넌스(governance)**라고 불리는 일련의 확립된 규칙들을 사용하여 자신들의 '킹'(시민 데이터)을 교활한 '나이트'(해커)들로부터 보호하려 노력해 왔습니다. 이 규칙들은 정부가 새로운 도구를 어떻게 구매할지, 누가 문제를 해결할 책임을 지는지, 그리고 아무도 속임수를 쓰지 못하도록 어떻게 보장할지를 알려줍니다. 하지만 최근, 이 카드 덱에 새로운 와일드카드가 섞여 들어왔습니다. 바로 **인공지능(AI)**입니다. 이것은 단순히 새로운 체스 기물이 아닙니다. 이것은 마치 인간 플레이어들이 규칙서를 쓰는 속도보다 더 빠르게 게임을 학습하는 로봇과 같습니다. 모두가 던지는 큰 질문은 이것입니다: 정부가 이 초고속, 초지능적인 AI 도구들을 사용하기 시작할 때, 기존의 안전 규칙들이 여전히 유효할 것인가, 아니면 게임 전체가 무너질 것인가? 이 논문은 정부가 AI 사용을 안전하게 유지하는 데 왜 어려움을 겪고 있는지, 그리고 규칙이 로봇의 속도를 따라잡지 못할 때 어떤 일이 발생하는지를 살펴보며 바로 그 혼란스러운 상황을 깊이 파고듭니다.
이 연구의 저자인 무함마드 살라후딘(Md Salahuddin), 제임스 루니(James Rooney), 피다 하산(Fida Hasan)은 문제가 단지 AI가 까다롭다는 점이 아니라, 정부의 '규칙서'가 기술 자체의 속도와 완전히 다른 속도로 움직이고 있다는 점이라고 주장합니다. 그들은 이를 **속도 비대칭성(Speed Asymmetry)**이라고 부릅니다. 이것을 이렇게 생각해 보십시오: 예를 들어, 한 십 대 청소년이 스마트폰에 새로운 멋진 앱을 다운로드하는 데는 약 5분이 걸립니다. 하지만 정부가 그 앱이 안전한지 아닌지를 결정하는 법을 만드는 데는 수년간의 회의, 토론, 그리고 서류 작업이 필요합니다. 이 '5분'과 '수년' 사이의 간극에는 상황이 잘못될 수 있는 위험하고 보호받지 못하는 지대가 존재합니다.
논문은 이 속도 차이 때문에 **섀도우 AI(Shadow AI)**라고 불리는 특정한 유형의 문제가 발생하고 있다고 제안합니다. 이는 정부 직원들이 업무를 더 빠르게 처리하기 위해 정부가 모르거나 승인하지 않은 AI 도구들을 사용하기 시작할 때 발생합니다. 이는 마치 학생이 수학 시험에 몰래 계산기를 가져오는 것과 같습니다. 문제는 이러한 숨겨진 도구들이 비밀리에 정부 데이터를 외국 서버로 전송하여, 아무도 감시하지 않는 거대한 정보 유출을 초래할 수 있다는 점입니다. 저자들은 현재의 안전 체크리스트나 규칙들(NIST나 ISO와 같은 것들)이 AI에 대해서는 대체로 효과가 없다는 것을 발견했습니다. 그것들은 10년 전에 그려진 도시의 지도와 같습니다. 옛날 거리들은 보여주지만, 지금 AI가 파고 있는 새로운 비밀 터널들은 보여주지 못합니다.
연구진은 문제에 대한 새로운 '지도'를 구축하여, 공공 부문에서 AI 거버넌스가 실패하는 열 가지 구체적인 이유를 식별했습니다. 이들은 이 이유들을 **일곱 가지 도메인(영역)**으로 그룹화했는데, 이는 문제가 시작될 수 있는 집의 서로 다른 방들과 같습니다. 예를 들어, 하나는 정부가 물건을 구매하는 '조달(Procurement)'이라는 방입니다. 논문은 AI를 구매하기 위한 규칙이 완전히 누락되어 있어, 정부가 안전성을 확인하지 않은 채 도구들을 구매하고 있다고 말합니다. 또 다른 방은 '인력(Workforce)'인데, 여기서 직원들은 너무 지치거나 혼란스러워 AI를 올바르게 사용하지 못할 수 있으며, 이는 경보 피로(Alert Fatigue)—즉, 보안 요원들이 허위 경보에 너무 압도되어 실제 위험을 놓치게 되는 상태—로 이어집니다.
또한 이 논문은 '3단계 경로 실패 모델(Three-Pathway Failure Model)'을 소개합니다. 배관, 전기, 그리고 잠금장치가 모두 연결된 집을 상상해 보십시오. 만약 배관이 터지면(책임 실패/Accountability Failure), 전기가 합선되고(운영 탄력성 실패/Operational Resilience Failure), 잠금장치가 고장 납니다(준수 실패/Compliance Failure). 저자들은 이 세 가지 실패가 서로에게 영향을 미쳐 예상보다 훨씬 빠르게 전체 시스템을 붕괴시킨다는 것을 보여줍니다. 그들은 다섯 가지 주요 기존 안전 프레임워크를 자신들의 새로운 지도와 대조 테스트했으며, 결정적인 결과를 찾아냈습니다: 그 어떤 것도 섀도우 AI나 속도 비대칭성에 대한 구체적인 규칙을 가지고 있지 않았습니다. 일부 프레임워크가 '거버넌스 진공(Governance Vacuum, 아무도 책임자를 알지 못하는 빈 공간)'에 대해 부분적인 지침을 제공하고 공급망 리스크에 대해 완전한 범위를 다루기는 하지만, 승인되지 않은 AI 사용과 속도 차이 자체를 관리하는 데 필요한 구체적인 운영 통제 기능은 완전히 결여되어 있습니다.
그렇다면 해결책은 무엇일까요? 저자들은 마법 같은 해결책을 제시하는 것이 아니라, 새로운 '성숙도 모델(Maturity Model)'의 설계를 제안합니다. 이것은 기술의 속도에 맞춰 변화하는 새로운, 역동적인 규칙서라고 생각하면 됩니다. 이는 정부가 직원들이 사용하는 AI 도구를 지속적으로 확인하고, 경보를 관리할 인력을 더 많이 채용하며, 이러한 새로운 리스크를 다룰 수 있도록 법을 다시 써야 함을 의미합니다. 논문은 정부가 AI를 단지 또 다른 컴퓨터 프로그램으로 취급하는 것이 아니라, 기존의 규칙을 깨뜨리는 구조적 도전 과제로 취급하기 시작할 때까지는 계속해서 거버넌스 실패에 직면할 것이라고 제사합니다. 핵심적인 교훈은 소프트웨어를 단순히 패치하는 것만으로는 부족하며, 더 빠르고 예측 불가능한 새로운 손님들을 감당할 수 있도록 집 전체를 재설계해야 한다는 것입니다.
연구 분야의 논문에 파묻히고 계신가요?
연구 키워드에 맞는 최신 논문의 일일 다이제스트를 받아보세요 — 기술 요약 포함, 당신의 언어로.