Anomaly Detection in Cybersecurity Service Contracts

법의 세계에서 예측 가능성은 미덕입니다. 두 당사자가 계약을 체결할 때, 그들은 마치 숲속의 잘 닦인 길처럼 계약 조건이 익숙한 패턴을 따르기를 기대합니다. 만약 이 경로에서 급격히 벗어난 조항이 나타난다면, 한 가지 의문이 생깁니다. 이것이 독특한 상황에 대한 필수적인 적응인가, 아니면 무언가 특이하거나 심지어 위험한 징후인가 하는 점입니다. 표준과 생소함 사이의 이러한 긴장은 사이버 보안 서비스 계약을 탐구하는 새로운 연구의 핵심입니다. 이 계약들은 시나 병원 같은 공공 기관과 그들의 디지털 시스템을 보호하기 위해 고용된 민간 기업 간의 계약입니다. 이러한 계약들은 종종 매우 자유롭게 작성되기 때문에 그 형태가 매우 다양할 수 있습니다. 연구자들은 컴퓨터를 사용하여 대중과 확연히 다른 계약을 포착할 수 있는지 알고 싶었습니다. 이는 그 계약들을 나쁘다고 판단하기 위함이 아니라, 무엇이 그것을 독특하게 만드는지를 이해하기 위함입니다. 법률 문서를 데이터로 취급함으로써, 그들은 텍스트를 구체적이고 계량화 가능한 특징들로 분해하는 체계적 내용 분석(systematic content analysis)이라는 방법을 적용했으며, 이를 명시적으로 무엇을 찾으라고 알려주지 않아도 패턴을 인식하는 법을 배우는 유형의 컴퓨터 프로그램인 머신러닝과 결합했습니다.

연구진은 2019년부터 2025년 사이에 슬로바키아의 공공 기관과 민간 사이버 보안 제공업체 간에 체결된 567건의 특정 계약에 집중했습니다. 그들은 이 문서들을 수동으로 읽으며 복잡한 법률 용어를 구조화된 특징 목록으로 변환했습니다. 그들은 월별 지급에 관한 조항, 중대한 위반을 구성하는 정의, 또는 제공업체가 소프트웨어와 하드웨어를 인도해야 한다는 요구 사항과 같은 특정 요소들이 계약에 포함되어 있는지 여부를 기록했습니다. 또한 고용 기관의 직원 수와 거래의 총 가치와 같은 수치적 세부 사항도 기록했습니다. 일단 이 정보가 정리되자, 연구진은 이상치(outlier)를 찾도록 설계된 머신러닝 시스템에 이를 입력했습니다. 이 시스템은 어떤 계약이 "옳거나" "그른지" 사전에 알지 못했습니다. 대신, 단순히 일반적인 집단으로부터 가장 많이 벗어난 문서들을 찾아냈습니다. 목표는 어떤 특정 특징들이 수백 개의 다른 계약들과 비교했을 때 해당 계약을 특이하게 만드는지를 식별하는 것이었습니다.

연구 결과, 이 분야에서 무엇이 "정상"인지로 간주되는 것은 실제로 매우 구체적이었습니다. 컴퓨터가 표준이라고 인식한 가장 전형적인 계약들은 대개 컨설팅 서비스에 대한 단순한 계약들이었습니다. 이들은 주로 작은 지방 자치 단체나 사회 복지 시설을 대상으로 했으며, 정기적인 월별 할부 방식으로 지급되었습니다. 이러한 표준 계약들은 대개 간결했으며, 가능한 모든 시나리오를 일일이 작성하기보다는 일반적인 법률에 의존하여 공백을 메웠습니다. 반면, 시스템이 매우 이례적이라고 표시한 계약들은 훨씬 더 복잡한 경우가 많았습니다. 이들은 빈번하게 병원, 지역 정부, 또는 주요 국영 기업과 같은 규모가 크고 전략적인 실체들과 관련되어 있었습니다. 이 계약들은 단순히 조언을 구하는 것에 그치지 않고, 물리적인 소프트웨어나 하드웨어의 인도, 상세한 IT 모니터링 시스템, 그리고 다양한 유형의 실패에 대한 광범위한 처벌 규정 등을 포함하고 있었습니다.

가장 놀라운 발견 중 하나는 계약의 복잡성이 '이상치' 점수의 주요 동인이 된다는 점이었습니다. 컴퓨터는 책임에 관한 매우 상세한 규정, 지연에 대한 구체적인 제재, 그리고 중대한 위반에 대한 엄격한 정의를 포함하는 계약들을 통계적으로 드문 것으로 식별했습니다. 예를 들어, 시와 사이버 보안 업체 간의 계약에서 시의 결제 지연에 대한 벌칙을 포함하거나, 매우 특정한 조건 하에서만 공급자가 철수할 수 있도록 허용하는 조항이 있는 경우, 대부분의 다른 계약에는 이러한 구체적이고 강력한 세부 사항이 없었기 때문에 이 계약은 특이한 것으로 분류되었습니다. 마찬가지로, 의료 시설이 관련된 계약들은 종종 이상치로 간주되었는데, 이는 환자의 데이터를 보호해야 하는 높은 이해관계로 인해 작은 마을의 계약들보다 더 엄격하고 구체적인 조건이 필요했기 때문일 것입니다. 연구진은 한 극단적인 사례에서, 소액의 월별 서비스 계약이 공급업체의 전체 매출에서 차지하는 비중이 불균형적으로 커서 컴퓨터가 즉각적으로 잡아낸 통계적 특이점으로 인해 이상치로 분류되었다고 언급했습니다.

그러나 연구진은 '이례적(anomalous)'이라는 것이 법적으로 결함이 있거나 불공정하다는 것을 의미하지 않는다는 점을 명확히 하기 위해 주의를 기울였습니다. 이 용어는 단지 그 문서가 통계적 평균과 다르게 보인다는 것을 의미할 뿐입니다. 사실, 이 연구는 이러한 "생소한" 계약들이 많은 경우 당사자들이 더 주의를 기울이려는 노력의 결과임을 시사합니다. 계약에 큰 액수의 돈이나 병원 보안과 같은 중요한 서비스가 포함될 때, 당사자들이 자신들을 보호하기 위해 더 많은 규칙을 작성하는 것은 타당합니다. 컴퓨터는 단순하고 저위험인 계약의 패턴을 보고 있었기에, 이러한 상세하고 이해관계가 높은 계약들을 편차로 해석한 것입니다. 또한 연구는 법률 데이터가 기록되는 방식의 잠재적인 사각지대를 강조했습니다. 예를 들어, 연구진은 텍스트에 명시적으로 언급되지 않았다는 이유로 계약을 "철회권 없음"으로 코딩했는데, 실제로는 법에 의해 이미 그 권리가 부여되어 있을 수도 있었습니다. 이는 컴퓨터가 특정 문장의 부재가 아니라 법적 권리의 부재에 반응하고 있었음을 의미했습니다.

궁극적으로 이 작업은 법률 문서를 바라보는 새로운 방식을 제공합니다. 컴퓨터를 사용하여 사이버 보안 계약의 지형을 매핑함으로써, 연구진은 무엇이 흔하고 무엇이 드문지에 대한 기준선을 만들었습니다. 이것이 드문 계약들을 피해야 한다는 뜻은 아닙니다. 오히려, 이는 공직자들이 자신들이 미답지의 영역으로 진입하고 있는지 확인할 수 있는 도구를 제공합니다. 만약 한 시가 병원과 복잡한 계약을 체결하려 한다면, 시스템은 그 유형의 계약이 그들이 보통 체결하는 수백 건의 더 단순한 계약들과는 다르다는 것을 보여줄 수 있습니다. 이러한 인식을 통해 그들은 특이한 조건들이 우발적인 것이 아니라 의도적이고 신중하게 고려된 것인지 재확인할 수 있습니다. 연구는 기계가 이상치를 찾아낼 수는 있지만, 그 가치를 판단할 수는 없다고 결론짓습니다. 복잡한 계약이 필요한 것인지 혹은 과도한 것인지를 이해하는 진정한 작업은 여전히 현실 세계의 필요라는 맥락 속에서 숫자를 해석해야 하는 인간 전문가들의 몫으로 남아 있습니다.