[CISO 조찬] 빔소프트웨어 존 제스터 CRO "데이터 보안 없이는 AI도, 데이...

존 제스터(John Jester) 빔소프트웨어 CRO

3월 25일 데일리시큐와 빔소프트웨어가 공동 주최한 CISO 조찬세미나에는 40여 명의 CISO가 참석했다. 이날 조선팰리스호텔에서 존 제스터(John Jester) 빔소프트웨어 최고매출책임자(CRO)는 AI 확산 속도가 빨라질수록 기업 보안의 기준도 완전히 달라지고 있다고 진단했다. 그의 발표 제목은 ‘AI와 규제 시대의 데이터 거버넌스(The CISO’s Next Mandate: Governing Data in the Age of AI & Regulation)’였다. 현장에서 그가 던진 메시지는 분명했다. AI를 안전하게 도입하려면 데이터 가시성, AI 에이전트 통제, 복원력을 따로 떼어 볼 것이 아니라 하나의 운영 체계로 묶어야 한다는 것이다.

데이터 가시성·AI 에이전트·복원력, 세 가지 공백이 커지고 있다

존 제스터 CRO는 먼저 기업들이 AI 시대에 동시에 마주한 세 가지 공백을 짚었다. 하나는 기업 안팎에 흩어진 데이터를 제대로 파악하지 못하는 가시성 공백이고, 다른 하나는 데이터 보안과 거버넌스가 AI 활용 속도를 따라가지 못해 생기는 AI 신뢰 공백이다. 마지막은 공격 고도화와 장애, 규제 강화가 겹치며 커지고 있는 복원력 공백이다. 그는 온프레미스와 애플리케이션, 퍼블릭 클라우드, SaaS 전반에 데이터가 널리 퍼져 있는 상황에서 데이터를 분류하고 민감도를 파악하지 못하면 AI 프로젝트의 출발선 자체를 제대로 세우기 어렵다고 설명했다. 기업이 AI를 잘 쓰고 싶다면 가장 먼저 해야 할 일은 자사 데이터가 어디에 있고, 어떤 상태이며, 누가 접근할 수 있는지를 아는 것이라는 얘기다.

그가 특히 강조한 지점은 AI 에이전트였다. 이제 기업은 사람 사용자만 통제해서는 안 되고, 데이터를 읽고 쓰고 수정하고 삭제하는 AI 에이전트까지 하나의 정체성을 가진 주체로 관리해야 한다는 설명이다. 과거에는 직원이나 협력사 계정의 권한 관리가 중심이었다면, 앞으로는 어떤 AI 에이전트가 어떤 데이터에 접근하고 어떤 정책 아래 동작하는지까지 실시간으로 들여다봐야 한다는 것이다. 존 제스터 CRO는 승인된 도구뿐 아니라 직원이 별도 설치하거나 웹 기반으로 임의 사용하기 시작한 미승인 AI 도구까지 파악하지 못하면, 생산성 향상을 위한 시도가 곧바로 데이터 유출 통로가 될 수 있다고 경고했다. 실제 현장에서도 경영진이 인지하지 못한 AI 사용 흔적과 에이전트가 적지 않게 발견되고 있다는 점을 거듭 강조했다.

이날 강연에서 인상적인 대목은 AI가 기존 보안 모델을 어떻게 무너뜨리는지 짚은 부분이었다. 그는 과거 보안이 방화벽과 경계 중심 구조에 기대어 안에 있는 것을 지키고 밖에서 들어오는 것을 막는 방식으로 설계됐다면, AI 시대에는 이런 전제가 더 이상 유효하지 않다고 말했다. AI는 초당 수천 건 단위의 질의를 처리하고, 여러 데이터 소스를 동시에 오가며, 사람보다 훨씬 빠르게 결정을 내린다. 그 속도와 규모 앞에서는 분기별 점검이나 사후 복구만으로 대응하기 어렵다. 그래서 보안의 기준점도 네트워크 경계가 아니라 데이터가 돼야 하며, 복구 역시 전체 시스템을 한꺼번에 되돌리는 수준이 아니라 파일과 데이터 단위로 정밀하게 수행할 수 있어야 한다는 설명이다. 결국 사람 중심으로 설계된 기존 인프라가 기계 속도로 움직이는 AI 환경을 감당하지 못하고 있다는 진단이었다.

존 제스터 CRO는 많은 AI 프로젝트가 기대만큼의 사업 성과를 내지 못하는 이유도 데이터 관점에서 설명했다. 그는 MIT 연구를 인용하며 AI 프로젝트의 약 90%가 기대한 사업 목표를 충분히 달성하지 못했다고 언급했다. 이는 기술이 완전히 실패했다는 의미라기보다, 기업이 기대했던 운영성과나 생산성 향상을 실제 현장에서 구현하지 못하는 경우가 많다는 뜻에 가깝다. 그 원인으로는 오래돼 사용되지 않는 데이터, 접근통제가 맞지 않는 데이터, 정리되지 않은 비정형 데이터, 그리고 AI 학습과 추론에 섞여 들어가는 불필요한 정보들이 꼽혔다. 오래된 데이터가 AI 모델과 에이전트에 그대로 입력되면 잘못된 답을 낼 수 있고, 방치된 민감정보는 검색과 추론 과정에서 갑자기 드러날 수 있다는 것이다. 그는 이른바 ROT 데이터, 즉 오래돼 중복되거나 가치가 떨어진 데이터를 먼저 찾아내고 정리하는 작업이 AI 도입의 기본이라고 강조했다.

이를 설명하기 위해 들려준 사례도 흥미로웠다. 그는 과거 마이크로소프트 재직 시절 전사 쉐어포인트 사이트를 통합 검색할 수 있도록 마스터 검색 인덱스를 구축한 적이 있었는데, 가동 하루 만에 해당 기능을 중단해야 했다고 소개했다. 직원들이 급여 정보, 보상 정보, 인수 관련 자료 등을 검색하면서 오래전부터 여러 사이트에 흩어져 있던 민감 데이터가 한꺼번에 드러날 수 있었기 때문이다. 그는 당시 검색 기능보다 오늘날 AI 에이전트의 탐색 능력이 훨씬 강력하다고 짚었다. 결국 접근통제가 정리되지 않은 채 데이터가 기업 내부에 방치돼 있으면, AI는 그 문제를 훨씬 더 빠르고 더 큰 규모로 증폭시킬 수 있다는 얘기였다. 내부 직원에게만 노출돼도 심각하지만, 파트너나 외부로 새어나가면 이사회 차원의 규제와 컴플라이언스 문제로 번질 수 있다는 점도 함께 언급했다.

데일리시큐-빔소프트웨어 CISO 조찬세미나 현장

데이터 커맨드 그래프와 에이전트 커맨더, AI 시대 통합 통제 구조 제시

이 같은 문제를 해결하기 위한 핵심 기술로 그가 내세운 것은 데이터 커맨드 그래프(Data Command Graph)였다. 이 구조는 수십억 개의 데이터 포인트, 사용자와 권한, AI 에이전트, 컴플라이언스 규칙을 하나의 통합 모델로 연결하는 그래프 기반 아키텍처다. 쉽게 말해, 데이터가 어디에 있고 누가 접근하며 어떤 규제가 적용되는지를 각각 따로 보지 않고 하나의 맥락 안에서 함께 파악할 수 있게 해주는 구조다. 이를 통해 정형·비정형, 1차·2차 데이터를 모두 파악하고, 숨은 위험과 오래된 데이터를 식별하며, 규제 요구사항과의 관계까지 입체적으로 확인할 수 있다는 설명이다. 존 제스터 CRO는 데이터 상태와 권한, 접근통제를 직원·애플리케이션·AI 에이전트 수준까지 이해하는 것이 AI 프로젝트를 제대로 운영하기 위한 기초라고 강조했다.

그 위에서 소개된 신제품이 에이전트 커맨더(Agent Commander)였다. 존 제스터 CRO는 이 제품을 빔과 시큐리티AI의 통합 해법으로 설명하면서 세 가지 기능을 부각했다. 첫째는 기업 환경에서 동작하는 모든 AI 에이전트를 탐지하고 목록화하는 기능이다. 둘째는 데이터의 상태를 이해하고 분류하며, 적절한 접근통제와 보안정책을 적용하는 기능이다. 셋째는 각 에이전트가 어떤 데이터를 읽고 쓰고 삭제했는지 추적하고, 필요할 경우 그 행위를 되돌리는 기능이다. 그는 기업이 AI 프로젝트를 더 적극적으로 시험하려면 문제가 생겼을 때 무엇이 어떻게 이뤄졌는지를 상세 로그와 데이터 계보로 확인하고, 정밀하게 되돌릴 수 있다는 확신이 필요하다고 설명했다. 기업 입장에서는 바로 이 지점이 AI 도입에 대한 심리적 장벽을 낮추는 요소가 된다는 얘기다.

현장 적용 시나리오도 구체적이었다. 가장 대표적인 사례는 기업이 마이크로소프트 코파일럿을 켜고 싶지만 데이터 유출은 막아야 하는 경우다. 그는 직원이 보지 말아야 할 정보를 보거나, 파트너에게 데이터가 흘러나가는 일을 막으려면 먼저 데이터 분류와 권한 체계가 갖춰져야 한다고 설명했다. 또 AWS 베드록 같은 환경에서 기업 맞춤형 에이전트를 만드는 경우에도, LLM 방화벽과 데이터 통제 체계를 함께 둬야 안심하고 AI를 운영할 수 있다고 강조했다. 그는 거의 모든 고객 프로젝트에서 경영진이 미처 파악하지 못했던 쉐도우 AI 사용 흔적을 찾는다고도 말했다. AI 전환이 빨라질수록 허가된 AI보다 이미 돌아가고 있는 AI를 먼저 파악하는 일이 더 중요해지고 있다는 뜻이다.

백업을 넘어 데이터 보안·복원력 결합…“신뢰할 수 있는 AI”가 핵심 메시지

강연 후반부에서 그는 AI 보안 논의를 다시 데이터 보호의 본류로 연결했다. 많은 기업이 이미 마이크로소프트 365, 엔트라 ID, 세일즈포스 같은 SaaS를 핵심 업무에 사용하고 있지만, 서비스 가용성과 데이터 보호 책임은 다르다는 점을 분명히 했다. 예를 들어 마이크로소프트는 서비스 업타임에 대한 SLA를 제공하지만, 데이터 자체의 안전까지 책임지는 것은 아니라는 것이다. 그래서 기업 스스로 백업과 복구, 보안 인텔리전스, 데이터 이동성까지 챙겨야 하며, 이는 곧 AI 운영의 기반이 된다고 설명했다. 그는 빔이 마이크로소프트 365 보호 시장에서 높은 점유율을 보유하고 있으며, 엔트라 ID 보호 사용자도 대규모라고 소개했다. 또 2025년 9월부터 빔 데이터 클라우드가 한국 데이터센터에서 운영되기 시작해, 국내 고객이 중요하게 여기는 데이터 주권과 지역 내 운영 요구에도 대응하고 있다고 밝혔다.

하이브리드 인프라 보호 전략도 함께 설명했다. 존 제스터 CRO는 빔 데이터 플랫폼이 온프레미스와 클라우드를 아우르는 하이브리드 환경 보호를 담당하고, 빔 데이터 클라우드는 마이크로소프트 365, 엔트라 ID, 애저, 세일즈포스 등을 포함한 SaaS 보호를 맡으며, 에이전트 커맨더는 그 위에서 데이터와 AI 운영을 지능적으로 통제하는 계층이라고 설명했다. 다시 말해 백업과 복구, 데이터 보안, AI 거버넌스를 각각 따로 떼어 도입하는 것이 아니라 하나의 플랫폼 구조 안에서 연결하겠다는 그림이다. 이는 AI 시대에 단일 포인트 솔루션을 여러 개 붙이는 방식으로는 더 이상 대응하기 어렵다는 문제의식과 맞닿아 있었다.

존 제스터 CRO는 데이터 보안 없이는 AI도 없고, 데이터 복원력 없이는 신뢰할 수 있는 AI도 없다는 메시지를 반복했다. AI를 둘러싼 논의가 이제 모델 성능 경쟁만으로는 설명되지 않으며, 어떤 데이터를 기반으로 어떤 권한 아래 누가, 혹은 어떤 에이전트가 행동했는지 추적할 수 있어야 한다는 뜻이다. 특히 잘못된 권한과 잘못된 데이터, 승인되지 않은 도구, 그리고 되돌릴 수 없는 자동화가 결합하면 피해는 짧은 시간 안에 커질 수 있다는 점에서, 데이터 보안과 데이터 복원력을 결합한 ‘신뢰할 수 있는 AI’라는 프레임은 이날 현장 CISO들에게 꽤 직접적인 화두로 전달됐다. AI를 도입하는 속도만큼, 이를 통제하고 되돌릴 수 있는 능력도 함께 갖춰야 한다는 것이 이날 강연의 핵심 메시지였다.

빔소프트웨어는 데이터 보호와 복구, 하이브리드·멀티클라우드 워크로드 보호, SaaS 데이터 보호 분야를 주력으로 하는 글로벌 기업이다. 이날 소개에 따르면 빔은 데이터 보호 소프트웨어 시장 점유율, 마이크로소프트 365 데이터 보호, 쿠버네티스 데이터 보호 등 여러 영역에서 상위권 입지를 강조했고, 전 세계 55만 개 이상 고객과 3만4천 개 이상의 파트너 생태계를 보유하고 있다고 소개했다. 최근에는 시큐리티AI 역량과의 결합을 통해 데이터 복원력에 데이터 보안과 AI 거버넌스를 더한 통합 전략을 앞세우고 있다. 이번 존 제스터 CRO의 발표 역시 그 연장선에서, AI 시대 CISO의 역할이 단순한 백업 관리자에 머무는 것이 아니라 데이터 통제와 복원력의 총괄 책임자로 이동하고 있음을 보여준 자리였다.

◈국내 최대 사이버위협 인텔리전스 컨퍼런스 K-CTI 2026 개최(4월 7일)-참가기업 모집(사전등록 접수중)

▲행사명: 제13회 대한민국 사이버위협·침해사고대응 인텔리전스 컨퍼런스(K-CTI 2026)

▲주최: 데일리시큐

▲후원: 한국인터넷진흥원 / 한국정보보호산업협회

▲대상: 전국 정부∙공공∙지자체∙교육기관∙금융기관∙의료기관∙일반기업 정보보안 책임자·실무자

(#정보보안과 관련 없는 자는 참석 불가)

▲일시: 2026년 4월 7일(화)

▲장소: 코엑스 3층 컨퍼런스룸E

▲인원: 정보보호 실무자 800여 명(현업 보안책임자/실무자만 참석 가능)

▲참가비: 무료

▲점심/주차권: 제공하지 않습니다.

▲발표자료: 4월 6일 오후 2시 이후부터 다운로드 가능(프로그램란)

▲교육이수: 공무원 및 일반기업 보안교육 7시간/CPPG, CISSP 등 교육이수 7시간 인정

▲참석확인증: 행사 종료후 설문지를 제출해 주신 참관객에게 메일로 일괄 발송

▲사전등록마감: 2026년 4월 5일 오후 6시까지

▲참석불가: 학생, 프리랜서, 무소속, 정보보호 업무와 상관없는 자는 참석 불가

▲참관문의: 데일리시큐 길민권 기자 / mkgil@dailysecu.com

▲사전등록:

클릭

◈보안기업 모집중: 강연 및 전시 참가 국내외 보안기업 모집중 (문의: 데일리시큐 길민권 기자 / mkgil@dailysecu.com