온라인 신호와 물리적 이벤트 위험의 연결

대부분의 보안팀이 인정하고 싶어 하는 것보다 자주 벌어지는 시나리오가 있습니다. 분석관이 특정 경영진을 지목한 적대적 게시물을 포착합니다. 게시물은 기록되고, 티켓이 열리고, 검토 대기열에 들어갑니다. 그사이 통합관제센터(GSOC)는 그날 저녁 경영진의 호텔에서 두 블록 떨어진 곳에서 형성되고 있는 시위를 추적하고 있습니다. 아무도 이 둘을 연결하지 못합니다. 경영진은 온라인에서 분노한 최소 한 사람이 이미 그곳에 가겠다고 공언한 군중 속으로 걸어 들어갑니다.

이것은 기술의 실패가 아닙니다. 워크플로의 실패입니다. 그리고 디지털 모니터링과 물리적 이벤트 추적이 서로 거의 대화하지 않는 별개의 팀과 별개의 시스템에 존재할 때 끊임없이 일어나는 일입니다.

사일로화된 모니터링의 문제

디지털 분석관은 의도를 봅니다. 누군가 무슨 말을 하는지, 얼마나 분노해 있는지, 언어가 격화되고 있는지 봅니다. 그러나 그들이 보통 보지 못하는 것은 그 사람이 어디에 있는지, 경호 대상자 근처에서 물리적으로 무슨 일이 벌어지고 있는지, 그 시점이 일정상의 무언가와 겹치는지입니다.

GSOC 팀은 정반대의 문제를 안고 있습니다. 그들은 현장에서 벌어지는 일을 봅니다. 시위 경로, 범죄 사건, 이동에 영향을 주는 기상, 출입 통제 이벤트 등입니다. 그러나 그들에게 없는 것은 누가 온라인에서 위협을 해 왔는지, 특정 계정이 몇 달째 그 경영진에게 집착하고 있는지, 행사장 근처에 모이는 군중 속에 해를 끼치겠다고 공공연히 말해 온 사람이 포함되어 있는지에 대한 맥락입니다.

어느 한쪽의 시야만으로는 확신 있는 결정을 내리기에 충분하지 않습니다. 게시물을 본 분석관은 그것이 결정적인 순간에 벌어지고 있다는 것을 모릅니다. 군중을 보는 GSOC 운영자는 그 안의 한 사람이 몇 주째 온라인에서 위협 수위를 높여 왔다는 것을 모릅니다. 그 두 그림 사이의 간극이 바로 사건이 일어나는 곳입니다.

업계 연구는 위협 행위자가 단일 영역에만 머무는 경우가 드물다는 것을 일관되게 보여 왔습니다. 온라인에서 의도를 드러내는 사람은 물리적 환경에도 정기적으로 나타납니다. 대면 상황에서 위협적으로 행동하는 사람은 거의 항상 디지털 흔적을 남깁니다. 이를 별개의 팀이 별개의 데이터로 처리하는 별개의 문제로 취급하는 것이야말로 조직이 미리 볼 수 있었던 일에 뒤늦게 반응하게 되는 이유입니다.

실제로 상관관계를 파악해야 하는 것들

본능적인 대응은 대개 문제에 더 많은 데이터를 쏟아붓는 것입니다. 더 많은 피드, 더 많은 경보, 더 많은 대시보드. 그것은 답이 아닙니다. 구조 없는 원시 데이터가 늘어나면 경보 피로만 더 빨라질 뿐입니다.

필요한 것은 어떤 신호의 조합이, 언제 중요한지를 판단하기 위한 프레임워크입니다.

네 가지 정보 계층이 동시에 같은 화면에 있어야 합니다.

• 대상 인물의 활동: 온라인에서 누가 무슨 말을 하고 있으며, 격화되고 있는가? 여기에는 소셜 플랫폼, 메시징 앱, 다크웹 소스, 그리고 과거에 경호 대상자나 조직에 집착했던 모든 계정이 포함됩니다.
• 물리적 이벤트 맥락: 지금 경호 대상자의 위치 근처에서 무슨 일이 벌어지고 있는가? 시위, 집회, 범죄 사건, 악천후, 인프라 장애, 대규모 모임. 이 중 어느 것이든 작전 상황을 바꿉니다.
• 경호 대상자의 맥락: 경호 대상자가 실제로 어디로 가는가? 이동 경로, 행사장, 호텔, 식사 장소, 공개 일정, 일정 변경. 다른 모든 것을 유의미하게 또는 무의미하게 만드는 계층이 바로 이것입니다.
• 과거 행동: 이 대상 인물이 이전에도 위협 수위를 높인 적이 있는가? 과거에 유사한 조건이 사건에 선행한 적이 있는가? 여기서의 패턴 인식은 대단히 중요하지만 끊임없이 무시됩니다.

목표는 이 모든 것을 자동으로 융합하는 것이 아닙니다. 분석관이 올바른 질문을 던질 수 있을 만큼의 중첩을 제공하는 것입니다. 즉, 인근에서 물리적으로 벌어지고 있는 일을 고려할 때 이 온라인 신호가 더 우려스러워지는가?

지오펜싱은 신호 대 잡음비를 바꿉니다

디지털 모니터링과 물리적 모니터링을 연결하는 가장 실용적인 도구 중 하나는 지오펜스 기반 인텔리전스입니다. 행사장, 호텔, 이동 경로, 경호 대상자가 정기적으로 방문하는 장소 주변에 지리적 경계를 정의한 다음, 들어오는 신호가 해당 구역에서 발생했거나 해당 구역을 언급하는지에 따라 필터링하는 것입니다.

인구 백만의 도시 전체를 대상으로 하는 일반적인 소셜 미디어 모니터링 피드는 엄청난 양의 콘텐츠를 생성하며, 그중 오늘 밤 상황과 작전상 관련이 있는 것은 거의 없습니다. 호텔 주변과 행사장 반경 두 블록으로 지오펜스를 설정한 피드는 그 양의 극히 일부만 생성하며, 표면화되는 것 중 실제로 읽을 가치가 있는 비율이 훨씬 높습니다.

시위 집결지에 물리적으로 있는 사람들의 게시물은 해당 활동이 공식 보도 채널에 도달하기 15~30분 전에 들어올 수 있습니다. 경호 대상자의 호텔 근처에서 위치 태그가 달린 콘텐츠를 올리면서 동시에 온라인에서 적대적인 콘텐츠를 게시해 온 사람은, 각각의 데이터 포인트가 단독으로 가질 수 있는 의미와는 다른 종류의 신호입니다.

이것이 작동하려면 원시 피드와 분석관 사이에 AI 분류가 자리 잡아야 합니다. 그것 없이는 대형 행사에서 지오펜스가 적용된 피드조차 인간이 실시간으로 유용하게 검토할 수 있는 양을 초과합니다. 물리 보안 신호를 일반적인 행사 잡담, 군중 상황 업데이트, 무관한 지역 콘텐츠와 분리하는 분류가 있어야 피드가 실제로 쓸 만해집니다.

근접이 되기 전에 실행 움직임을 알아차리는 방법

대부분의 위협 평가 프레임워크는 누군가가 무슨 말을 하는지에 초점을 맞춥니다. 더 어렵고 더 중요한 질문은 그들이 그것에 대해 무언가 행동하고 있는가입니다.

실행 움직임(mobilization) 지표가 바로 여러분이 주시해야 할 변화입니다. 불만을 표출하던 대상 인물이 특정 행사, 특정 날짜, 특정 장소를 언급하기 시작했다면 의미 있는 선을 넘은 것입니다. 경호 대상자의 일정에 대해 질문하거나, 공개 일정 발표에 반응하거나, 공유된 불만을 중심으로 다른 계정들과 조율하는 사람은 그저 정기적으로 분노를 표출하는 사람과는 다릅니다.

이동 신호도 중요합니다. 어느 도시에 거주하던 대상 인물이 다른 뚜렷한 이유 없이 갑자기 다가오는 경영진 공개 일정과 같은 대도시권에 있다고 게시한다면 더 주의 깊게 살펴볼 가치가 있습니다. 그 시점이 공개적으로 발표된 행사와 일치할 때는 특히 그렇습니다.

의도에서 근접으로의 전환이 바로 실제 접촉이 가능해지는 지점입니다. 이를 포착하려면 온라인상의 행동 패턴과 경호 대상자가 있게 될 물리적 맥락을 모두 알아야 합니다. 어느 한 조각만으로는 도달할 수 없습니다.

이동 결정의 문제

융합이 실제로 가치를 증명하는 곳이 바로 여기입니다. 경호팀이 경호 대상자를 도시를 가로질러 이동시키려 합니다. 경로가 계획되어 있습니다. GSOC는 한 거리에서 시위를 포착했습니다. 디지털 모니터링은 그 일대 계정들의 적대감 상승을 포착했습니다. 날씨는 맑습니다. 시위는 지금까지는 평화로워 보입니다.

경로를 그대로 진행해도 안전합니까? 대체 경로가 더 낫습니까? 시간을 조정해야 합니까? 이번 이동에 추가 경호 인력이 필요합니까?

이 질문들 중 어느 것도 단일 데이터 스트림만으로는 확신 있게 답할 수 없습니다. 시위 위치와 추정 규모, 온라인 여론의 논조와 추이, 경호 대상자의 일정과 현실적으로 조정 가능한 범위, 그리고 이 상황이 과거에 격화되었거나 격화되지 않았던 상황들과 얼마나 닮았는지에 대한 감각이 필요합니다.

디지털 인텔리전스와 물리적 인텔리전스를 별개의 시스템에서 운영하는 팀은 이 질문에 답해야 할 때마다 맥락을 처음부터 다시 짜 맞춰야 합니다. 누군가는 소셜 모니터링 도구를 열고, 다른 누군가는 이벤트 피드를 확인하고, 또 누군가는 GSOC에 전화를 겁니다. 그림이 완성될 즈음에는 대응 가능한 시간이 이미 지나가 버린 경우가 많습니다.

두 가지를 통합 플랫폼에서 운영하는 팀은 그런 재구성 단계 없이 "흥미로운 신호"에서 "오늘 밤 이동 계획에 이것이 의미하는 바"로 곧바로 나아갑니다. 이것은 사소한 효율성 향상이 아닙니다. 타이밍이 중요한 시나리오에서 이것은 예방적 조치와 사후 대응의 차이입니다.

실제로 작동하는 지표 및 경고 체계 구축

GSOC가 일관되게 투자를 소홀히 하는 부분 중 하나가 경호 대상자의 프로필과 운영 환경에 특화된 지표 및 경고(indicators and warnings) 체계를 구축하는 일입니다. 대부분의 조직은 실제로 직면한 위협에 맞춘 정보 요구 사항을 구축하는 대신 일반적인 경보 임계값으로 만족합니다.

우선 정보 요구(PIR)는 기업의 보호 인텔리전스에도 잘 적용되는 군사 개념입니다. PIR은 모든 것을 광범위하게 모니터링하며 관련 있는 무언가가 떠오르기를 바라는 대신, 결정을 내리기 위해 구체적으로 무엇을 알아야 하는지를 식별합니다. 경영진 경호의 경우 PIR은 다음과 같이 정의할 수 있습니다. 어떤 온라인 행동이 어떤 물리적 지표와 결합되면 경로 변경이 필요한가? 어떤 신호의 조합이 사전 답사 요원 추가 투입을 촉발하는가? 무엇이 법 집행 기관 통보를 정당화하는가?

이러한 임계값이 사전에 정의되어 있고 올바른 신호를 실제로 포착할 수 있는 데이터 피드와 연결되어 있으면, 압박 상황에서의 의사결정 과정이 극적으로 빨라집니다. 분석관은 그 순간에 즉흥적으로 판단하는 것이 아닙니다. 이미 합의된 프레임워크에 자신이 본 것을 대조하는 것입니다.

도메인 간 통합이 실무에서 실제로 갖는 모습

디지털 인텔리전스와 물리적 인텔리전스가 진정으로 융합되면, 그렇지 않고서는 불가능한 몇 가지 일이 가능해집니다.

위협 행위자 프로필을 실시간으로 보강할 수 있습니다. 6개월째 모니터링 대기열에 있던 온라인상의 인물은 그의 위치가 경호 대상자의 일정과 겹치는 순간 작전상 유의미해집니다. 통합이 없으면 그 연결은 몇 시간 늦게 이루어지거나 아예 이루어지지 않습니다.

맥락이 걸러 주기 때문에 오탐이 줄어듭니다. 단독으로 보면 불안해 보이는 적대적 게시물도, 경호 대상자 주변의 물리적 환경이 평온하고 대상 인물에게 실행 움직임의 징후가 없다면 다르게 보입니다. 맥락이 항상 상황을 격상시키는 것은 아닙니다. 때로는 완화시키기도 하며, 이는 경호 대상자의 일정에 불필요한 차질을 피하려는 팀에게 똑같이 가치 있는 일입니다.

사후 분석이 개선됩니다. 모든 것이 하나의 시스템에 있으면 사건 발생 전에 어떤 신호가 있었는지 돌아보고 그 패턴이 어떤 모습이었는지 이해할 수 있습니다. 동일한 일반 모니터링을 무한정 반복하는 대신, 시간이 지남에 따라 지표와 경고 체계를 조율해 나가는 방법이 바로 이것입니다.

진짜 문제는 워크플로의 간극입니다

디지털-물리 융합 모니터링을 위한 기술은 존재합니다. 소셜 인텔리전스, 이벤트 피드, 지오펜스 데이터, 경호 대상자의 맥락을 통합된 화면으로 끌어오는 플랫폼은 이미 나와 있고, 이 문제를 진지하게 다루는 조직들에 배치되어 있습니다.

고치기 더 어려운 것은 워크플로의 간극입니다. 디지털 보안팀과 물리 보안팀은 종종 조직의 서로 다른 부문에 보고하고, 다른 도구를 사용하며, 운영 리듬도 다릅니다. 인텔리전스 분석관과 경호 요원이 무엇을 신빙성 있는 위협으로 볼지에 대한 공유된 언어를 항상 갖고 있는 것도 아닙니다. 급박하게 전개되는 상황에서 팀 간 인수인계가 이루어질 때 맥락이 유실됩니다.

융합은 단순히 기술적 결정이 아닙니다. 운영상의 결정입니다. 어느 팀이 도메인 간 에스컬레이션을 담당하는지, 신호가 디지털과 물리 양쪽 영역에 걸쳐 있을 때 통보 경로가 어떻게 되는지, 대응 프레임워크의 각 등급이 어떤 조치를 승인하는지 사전에 정의해야 합니다.

워크플로를 제대로 갖추면 기술은 매우 강력해집니다. 워크플로가 망가진 채로 두면 최고의 플랫폼조차 아무도 제때 조치하지 않는 경보를 띄울 뿐입니다.