위드네트웍스, AI 기반 CTEM 플랫폼 'withVTM'으로 ISMS-P 대응 강화

핵심 요약

- 위드네트웍스, 제20회 국제 시큐리티 콘퍼런스(ISEC 2026)에서 AI 기반 자산·취약점 통합 관리 플랫폼 'withVTM' 공개 - N2SF(국가 사이버안보 프레임워크) 및 ISMS-P 인증 대응을 위한 지속적 위협 노출 관리(CTEM) 체계 구현 - AI 자동화 기술을 통한 실시간 자산 탐지 및 취약점 관리 기능 탑재

주요 내용

위드네트웍스는 2026년 8월 개최된 'ISEC 2026(제20회 국제 시큐리티 콘퍼런스)'에 참가해 AI 기반 자산·취약점 통합 관리 플랫폼 'withVTM'을 선보였다. 이번에 공개된 솔루션은 가트너가 제시한 지속적 위협 노출 관리(CTEM, Continuous Threat Exposure Management) 방법론을 기반으로 설계됐다.

withVTM은 국가 사이버안보 프레임워크(N2SF) 및 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증 요구사항에 대응하기 위한 통합 솔루션으로 포지셔닝됐다. 특히 AI 기술을 활용해 IT 자산을 자동으로 탐지·분류하고, 실시간으로 취약점을 식별하여 우선순위를 부여하는 기능을 제공한다.

CTEM 체계는 기존의 일회성 취약점 점검 방식에서 벗어나, 자산 탐지(Scoping) → 취약점 발견(Discovery) → 우선순위 결정(Prioritization) → 검증(Validation) → 동원(Mobilization)의 5단계 순환 프로세스를 통해 지속적으로 보안 위협을 관리하는 접근법이다. 위드네트웍스는 이러한 방법론을 자동화된 플랫폼으로 구현함으로써 기업의 보안 관리 효율성을 높이고자 했다.

이번 솔루션 공개는 2026년 강화된 개인정보보호법 및 정보통신망법 요구사항, 그리고 ISMS-P 인증심사 기준의 엄격화 추세에 대응하는 시장의 움직임을 반영한다. 특히 클라우드 환경 확산과 원격근무 증가로 IT 자산 가시성 확보와 취약점 관리가 더욱 중요해진 상황에서 시의적절한 솔루션으로 평가된다.

전문가 시각

ISMS-P 선임심사원으로서 최근 인증심사 현장에서 가장 많이 지적되는 사항 중 하나가 바로 '정보자산 식별 및 관리의 불완전성'과 '취약점 점검 주기의 비일관성'이다. 많은 기업들이 스프레드시트 기반으로 자산을 관리하거나, 분기별 취약점 점검을 형식적으로 수행하는 데 그치고 있다. withVTM과 같은 CTEM 기반 플랫폼은 이러한 문제를 해결할 수 있는 실질적 대안이 될 수 있다. 특히 AI를 통한 자동 자산 탐지는 섀도우 IT나 임시 클라우드 인스턴스 등 관리자가 놓치기 쉬운 자산까지 포착할 수 있어, ISMS-P 인증기준 2.3.1(정보자산 식별) 충족에 효과적이다.

다만 이러한 솔루션 도입 시 유의할 점은 '도구의 도입'이 곧 '인증 통과'를 보장하지 않는다는 것이다. CTEM 플랫폼이 탐지한 취약점에 대해 실제로 조치하고, 그 이력을 문서화하며, 정기적으로 경영진에게 보고하는 '프로세스'가 함께 정립되어야 한다. 2026년 개정된 ISMS-P 인증기준은 기술적 통제뿐 아니라 관리적·물리적 통제의 통합성을 더욱 강조하고 있으므로, 솔루션 도입과 함께 조직의 정보보호 거버넌스 전반을 재점검하는 것이 필요하다.

ISMS-P 심사원 체크포인트

1. 인증기준 2.3.1 (정보자산 식별) 및 2.9.1 (취약점 점검 및 조치)
- 주요 점검사항: 조직이 보유한 모든 정보자산(HW, SW, 네트워크 장비, 클라우드 자원 등)의 목록이 최신 상태로 유지되고 있는가? 취약점 점검이 정기적으로 수행되며, 발견된 취약점에 대한 조치 계획 및 이행 내역이 문서화되어 있는가?
- withVTM과 같은 자산·취약점 관리 플랫폼 도입 시, 자동 탐지된 자산 목록을 정기적으로 검토·승인하는 프로세스가 있어야 하며, 취약점 우선순위 결정 기준(심각도, 자산 중요도, 악용 가능성 등)이 문서화되어 있어야 함
- 관련 법령: 정보통신망법 제45조(정보보호 최고책임자의 지정 등), 개인정보보호법 제29조(안전조치의무)

2. 인증기준 2.2.2 (위험 평가) 및 2.2.3 (보호대책 선정)
- 주요 점검사항: CTEM 플랫폼이 제공하는 위험 점수나 우선순위가 조직의 위험 평가 방법론과 일관성 있게 연계되어 있는가? 식별된 위협에 대한 보호대책 선정 및 적용이 체계적으로 이루어지는가?
- AI 기반 자동화 도구를 사용하더라도, 최종적인 위험 판단과 보호대책 결정은 조직의 보안 책임자가 수행해야 하며, 그 근거와 승인 이력이 명확해야 함
- 심사 시 확인사항: 위험평가 결과 보고서, 경영진 보고 이력, 고위험 항목에 대한 조치 완료 증적

3. 인증기준 2.10.4 (로그 및 접속기록 관리)
- 주요 점검사항: withVTM 자체의 접근 기록, 취약점 점검 이력, 자산 변경 이력 등이 안전하게 로그로 기록·보관되고 있는가?
- CTEM 플랫폼은 중요 보안 정보를 다루므로, 플랫폼 자체에 대한 접근 통제, 로그 무결성 보장, 정기적 로그 검토가 필수적으로 이루어져야 함

CPPG·ISMS-P 연계 포인트

1. 지속적 위협 노출 관리(CTEM)
CTEM은 가트너가 제시한 최신 보안 운영 방법론으로, 일회성 취약점 점검이 아닌 지속적·반복적 위협 관리 프로세스를 의미한다. ISMS-P 인증기준의 '위험 관리 생명주기(Plan-Do-Check-Act)' 개념과 직접 연계되며, 특히 2.9.1(취약점 점검 및 조치) 요구사항 충족을 위한 실무적 접근법으로 활용 가능하다. 개인정보보호 관리체계(PIMS)에서도 유사한 지속적 개선 원칙이 적용된다.

2. 정보자산 분류 및 중요도 평가
AI 기반 자산 관리 플랫폼은 자산을 자동으로 탐지하지만, ISMS-P 인증기준 2.3.2(정보자산 분류)에서 요구하는 '중요도 등급 부여'는 조직의 비즈니스 맥락을 반영해야 한다. 개인정보를 처리하는 자산인지, 중요정보를 저장하는지 등을 고려한 분류 체계가 필요하며, 이는 개인정보보호법 시행령 제30조(개인정보 안전성 확보조치 기준)의 '중요도 분석'과도 연계된다. 자동화 도구와 인간의 판단이 결합된 하이브리드 접근이 바람직하다.