[관점]
국내에서 위협 인텔리전스를 도입한 조직에 만족도를 물으면 대답이 애매하다. 나쁘다고는 하지 않는데 좋다고도 하지 않는다. 계약은 갱신되지만 그것이 무엇을 바꿨는지 설명하지 못한다.
이 백서는 그 애매함의 정체를 숫자로 보여 준다. 가치가 있다고 답한 비율과 실제로 판단이 바뀌었다고 답한 비율 사이의 간격이다. 이 간격을 인력이나 예산 부족으로 설명하지 않고 구조 문제로 규정한 점이 이 문서의 값이다.
원문이 인용한 2026년 SANS CTI 설문에서 CISO 의 91%가 위협 인텔리전스를 가치 있거나 매우 가치 있다고 평가하였다. 인텔리전스가 예산을 받을 자격이 있는지를 묻는 논쟁은 끝났다는 뜻이다.
같은 설문에서 그 인텔리전스가 자신의 의사결정을 유의미하게 변화시킨다고 답한 비율은 26%였다.
이 두 숫자 사이의 거리가 이 백서의 주제다. 조직이 높게 평가하는 것이 조직의 실제 행동을 거의 바꾸지 못하는 상태다.
네 가지 구조적 원인
백서는 이 간격을 재능이나 노력의 실패가 아니라 구조의 문제로 규정하고 네 가지를 든다.
- 팀이 작고 인력 시장이 좁다 — 인원을 늘려 해결하는 경로가 막혀 있다
- 가치 있는 데이터가 방치된다 — 다룰 시간이 있는 사람이 없어 수집만 되고 쓰이지 않는다
- 대응 업무가 전략 업무를 밀어낸다 — 당장 처리해야 할 업무가 판단에 쓸 시간을 잠식한다
- 자체 성숙도를 측정하지 못한다 — 그래서 예산 협의에서 방어하기 어렵다
네 번째가 앞의 셋을 고착시킨다. 무엇이 나아졌는지 보여 주지 못하면 개선에 필요한 자원을 받지 못하고, 자원이 없으니 다시 대응 업무에 갇힌다.
해법의 방향
백서가 제시하는 방향은 데이터를 더 모으는 것도, 뽑을 수 없는 인력을 늘리는 것도 아니다. 세 가지다. 의사결정에 묶인 인텔리전스, 작은 팀에 실질적 지렛대를 주는 자동화, 그리고 측정 가능한 성숙도 경로다.
세 번째가 나머지 둘을 지탱한다. 성숙도를 측정할 공통 기준이 있어야 개선을 증명할 수 있고, 증명이 되어야 다음 투자가 이어진다.
국내 적용 관점
도입 목표를 「수집 범위」가 아니라 「바뀔 판단」으로 적어야 한다. 국내 인텔리전스 제안서는 대개 수집 채널의 수와 데이터 규모를 앞세운다. 그러나 도입 후 평가는 그 데이터가 어떤 결정을 바꿨는지로 이루어진다. 계약 전에 「이 인텔리전스로 어떤 결정을 다르게 내릴 것인가」를 서너 개 적어 두면 평가 기준이 함께 만들어진다.
받은 정보가 통제로 이어지는 경로를 먼저 설계해야 한다. 침해지표를 SIEM 에 반영하는 작업, 차단 정책에 적용하는 작업, 그 경로의 성립 여부를 검증하는 작업은 각각 별개의 작업이며 담당도 다르다. 세 경로가 없으면 인텔리전스는 읽고 넘기는 자료가 된다.
대응 업무와 분석 업무를 시간으로 분리해야 한다. 인원이 적은 국내 보안 조직에서 두 업무를 같은 사람이 맡으면 항상 대응이 이긴다. 주 단위로 분석에 쓸 시간을 고정하고 그 시간에는 대응을 다른 담당에게 넘기는 식의 구조가 없으면 네 번째 문제로 돌아간다.
성숙도 지표를 도입 시점에 정해야 한다. 도입 이후에 만들려 하면 비교 대상이 없다. 처리 소요 시간, 인텔리전스로 촉발된 조치 건수, 사전 차단된 사건 수처럼 자사에서 실제로 셀 수 있는 항목을 서너 개 골라 기준선을 남겨야 한다.
계약 갱신 시점에 이 지표로 논의해야 한다. 국내 갱신 협의가 가격 중심으로 흐르는 이유는 성능을 말할 언어가 없기 때문이다. 지표가 있으면 범위 조정과 구성 변경으로 논의가 옮겨 간다.
검토 회의에서 확인할 항목
질문 1 이 인텔리전스로 다르게 결정할 사안을 세 개 적을 수 있는가?
질문 2 침해지표가 탐지·차단 설정으로 이어지는 경로가 있는가?
질문 3 분석 업무에 배정된 고정 시간이 있는가?
질문 4 도입 시점의 기준선 지표를 기록해 두었는가?
질문 5 갱신 협의에서 쓸 성과 지표가 정해져 있는가?출처 · SOCRadar, CTI Is Obvious. Efficiency Is Not. (2026-06, Jeffrey Ten Eyck). 인용한 설문 수치는 원문이 인용한 2026년 SANS CTI 설문 결과이며 국내 조사가 아니다.