‘안락함의 반대급부’ IT 자동화의 함정 6가지

자동화가 비즈니스 경쟁력을 위한 핵심 IT 전략으로 인식되고 있다. 그러나 주의해야 할 함정들이 만만치 않다.

비즈니스 프로세스 자동화가 서비스를 개선하고 비용을 절감하며 효율성을 높일 수 있는 방법을 모색하는 기업과 IT 조직의 최우선 순위로 떠오르고 있다. 2024 CIO 현황 설문조사(영문)에 따르면 IT 리더들은 올해 조직에서 가장 많은 IT 투자를 주도할 기술 이니셔티브로 비즈니스 프로세스 및 IT 자동화를 2위로 꼽았습니다. 1위인 보안 관리에 이어서다. 또한 설문조사에 참여한 875명의 IT 리더들은 비즈니스 및 IT 프로세스 자동화를 IT 조직이 비즈니스 중심적으로 변모하는 방법 중 1위로 꼽았다.

오늘날 기업들은 관리, 보고, 고객 지원 및 고객 경험, 데이터 마이그레이션, 데이터 분석 등의 영역에 로봇 프로세스 자동화(RPA)와 같은 자동화 툴을 적용하고 있다. 리서치 회사인 포춘 비즈니스 인사이트에 따르면 전 세계 RPA 시장은 2023년 138억 6,000만 달러에서 2030년 505억 달러로, 연평균 20%의 성장률을 보이며 성장할 것으로 예상된다.

이 회사는 2023년 10월 시장 보고서에서 모든 규모의 조직에서 RPA 도입이 증가하고 있으며, 주요 시장 플레이어들은 증가하는 수요를 충족하기 위해 인공지능(AI), 머신러닝, 클라우드 모델에 기반한 새로운 플랫폼을 출시하고 있다고 전했다. 또 비즈니스 프로세스를 자동화하고 점점 더 복잡해지는 데이터를 처리하기 위해 RPA를 도입하는 조직이 늘고 있다고 이 보고서는 밝혔다.

하지만 IT 자동화는 예상치 못한 위험을 수반할 수 있다. IT 리더가 알아야 할 자동화 전략의 함정들을 살펴본다.
 

데이터 접근의 역설
직원들이 업무 수행에 필요한 정보에 대해 안전하게 접근할 수 있도록 해야 한다. 하지만 때로는 자동화가 이러한 노력에 방해가 될 수 있다. 

편의점 체인 기업 레이스트랙(RaceTrac)의 엔터프라이즈 데이터 및 고급 분석 담당 전무이사 존 윌리엄스는 "IT 자동화가 비즈니스 의사 결정을 내리는 데 필요한 신뢰할 수 있는 고품질 데이터에 액세스하는 데 의도치 않게 장벽을 만들 수 있다"라며, "이러한 역설은 IT 환경에서 나타날 수 있는 자동화의 복잡성을 시사한다. 간소화된 프로세스로 인한 이점과 파편화된 정보 접근으로 인한 위험이 균형을 이루도록 해야 한다"라고 말했다.

즉 IT 자동화의 중요한 위험 중 하나는 조직 내에서 데이터 사일로를 강화하거나 새로운 데이터 사일로를 만들 수 있다는 점이다. 윌리엄스는 "이러한 사일로는 데이터가 여러 부서 또는 시스템 내에서 구획화되어 조직의 다른 부서에서 해당 데이터에 효과적으로 액세스하거나 사용하기 어렵거나 불가능하게 만들 때 발생한다"라고 설명했다.

이러한 사일로는 데이터 처리의 불일치, 운영 프로세스의 비효율성, 궁극적으로 생산성 및 비용 관리에 부정적인 영향을 미치는 등 운영상의 문제를 야기할 수 있다.

레이스트랙은 비즈니스 전반에 흩어져 있는 메타데이터를 중앙 집중화하고 정보를 쉽게 검색하고 더 쉽게 이해할 수 있도록 하기 위해 알레이션(Alation)의 데이터 인텔리전스 플랫폼을 구현했다. "이를 통해 데이터 원본을 신뢰할 수 있는 단일 데이터 소스로 통합할 수 있었다. 결과적으로 계산의 일관성을 보장하고, 보고의 신뢰성을 높이며, 무엇보다도 조직 전체에서 더 나은 정보에 기반한 의사결정을 내릴 수 있게 됐다"라고 윌리엄스는 말했다.

새로운 사이버 보안 위협
IT 자동화 이니셔티브는 새로운 공격 경로를 제시할 수 있다. 지속적인 테스트 및 품질 엔지니어링 제품을 제공하는 글로벌 기업 트리센티스(Tricentis)의 제이슨 키첸 CISO는 "자동화된 프로세스에 부여된 신뢰를 악의적인 공격자가 악용할 수 있다. 자동화된 프로세스는 일반적으로 신뢰할 수 있거나 권한이 있는 계정으로 프로비저닝된다. 안타깝게도 여기에 악용 가능성이 있다”라고 말했다.

악용된 계정이 권한이 있는 경우 이 계정의 활동은 쉽게 간과되곤 한다. "면밀한 모니터링이 이루어지지 않을 가능성이 높다는 것을 의미한다. 악의적인 공격자가 악의적인 목적을 달성하기 위한 통로가 될 수 있는 것이다"라고 그는 덧붙였다. 

엔터프라이즈 소프트웨어 회사인 IFS의 미국 CTO인 케빈 밀러는 IT 자동화의 가장 큰 숨겨진 위험 중 하나는 자동화 시스템을 학습시키는 데 사용되는 데이터를 보호하지 않는 것이라고 지적했다. 그는 "한 걸음 더 나아가 자동화 시스템에는 악의적인 공격자가 악용할 수 있는 취약점이 있을 수 있으며, 심지어 이상 징후 탐지 기능 자체도 해킹될 수 있다"라고 그는 말했다.

즉 위협 전파도 자동화될 가능성이 제기된다. "예를 들어 공격자가 자동화된 프로세스를 제어할 수 있게 되면 자동화되지 않은 환경보다 훨씬 더 빠르게 악성 코드, 소프트웨어 또는 활동을 시스템 전체에 확산시킬 수 있다"라고 그는 말했다.

이로 인해 탐지 및 해결에 앞서 광범위한 피해가 빠르게 발생할 수 있다. 기업은 자산, 회사 또는 데이터 유출 등 이상 징후가 발생하는지 여부를 파악하기 위해 가시성을 확보해야 한다.

데이터 관리 문제 확대
데이터 관리는 IT 자동화에 있어 중요한 부분이지만 프로세스 자동화 도구를 배포할 때 간과될 수 있다. 그리고 이로 인해 문제가 발생할 수 있다.

보안기업 태니움의 에릭 가스톤 CIO는 "오래된 데이터를 사용하여 IT 기술을 자동화하는 것은 작년의 트래픽 데이터를 사용하여 우버를 호출하는 것과 비슷하다"라고 말했다. 여기서 ‘오래’의 의미는 경우에 따라 다르다. 일 단위일 수도 있지만 초 단위의 과거 데이터일 수도 있다.

가스톤은 "효과가 없을 뿐만 아니라 부적절하다. 실시간 데이터가 없으면 조직이 확장할 수 있는 범위가 제한된다. 조직이 확장할 수 있는 범위를 넘어서는 자동화를 시도하면 중요한 프로세스가 중단될 수 있다는 위험 요소가 추가된다"라고 말했다.

또한 자동화를 확장할 때 실시간 데이터가 부족하면 사이버 보안 취약성이 커질 수 있다는 지적이다. 가스톤은 "자동화 기술이 실시간 데이터를 사용하지 않으면 심각한 위협이나 제로데이를 탐지하지 못할 수 있으며, 이로 인해 악의적인 공격자가 취약점을 악용하여 시스템이나 데이터에 무단으로 액세스할 수 있을 만큼 오랫동안 데이터 침해가 눈에 띄지 않게 될 수 있다"라고 말했다.

이러한 문제를 해결하기 위해 레이스트랙은 데이터 관리를 위한 구조화된 방법론을 제공하는 연합 데이터 거버넌스 전략을 마련했다고 이 편의점 기업의 윌리엄스는 말했다. 그는 "이 접근 방식의 초석은 IT 자동화를 뒷받침하는 모든 데이터가 철저하게 검증되고 관련 규정을 준수하며 품질 표준에 대응하도록 하는 것이다"라고 설명했다.

윌리엄스에 따르면 연합 데이터 거버넌스 전략은 중앙 집중식 거버넌스 제어와 분산 액세스의 유연성 사이에서 미묘한 균형을 이룬다. "이 방법론은 하향식 거버넌스 감독을 가능하게 하는 동시에 사용자에게 셀프 서비스를 제공할 수 있는 자율성을 부여한다"라고 그는 설명했다.

그는 이러한 전략을 통해 조직은 "IT 자동화의 잠재력을 최대한 활용하여 견고한 데이터 거버넌스의 토대 위에 구축되고 진화하는 기술 환경에서도 탄력적으로 대응할 수 있다"라고 덧붙였다.

안일함의 발생
또 다른 위험은 자동화된 작업의 경우 IT 부서에서 검토하지 않을 가능성에서 비롯된다. 트리센티스의 키첸은 "IT 자동화에 있어 안일함은 매우 현실적인 위험이다. 사람의 개입 없이도 작동하면 쉽게 간과되기 십상이다. IT 팀은 기본 프로세스 단계를 잊거나 무시할 수 있다. 이러한 태도는 잠재적인 문제와 위험의 방치로 이어진다"라고 말했다.

한 가지 예로 인적 자원의 퇴사를 들 수 있다. "모든 사람이 모든 것이 의도한 대로 작동한다고 가정하는 경향이 있기 때문에 프로세스가 중단될 가능성이 매우 높고 문제가 감지되지 않는 경우가 흔하다"라고 그는 설명했다. 즉 자동화가 작동하고 명백한 오류가 발생하지 않는다면 IT 팀은 이를 방치할 수 있다.

한편 이는 이전의 보안 또는 IT 가정이 여전히 유효한지 주기적으로 검토하지 않는다는 것을 의미한다. 해당 자동화 시스템을 만들 당시에는 이러한 결정이 합리적일 수 있다. "하지만 시간이 지나면서 이러한 결정을 내렸던 기본 가정이 바뀌게 된다. IT 팀이 자동화를 주기적으로 검토하는 적절한 프로세스가 없다면, 처음 자동화 시스템을 만들 때는 존재하지 않았지만 지금은 존재하고 관련성이 있는 심각한 위험에 노출될 수 있다”라고 키첸은 강조했다.

자동화 시스템을 모니터링하지 못하면 시장 동향을 파악하지 못하는 문제로까지 확대될 수 있다. 그는 "몇 달 또는 몇 년 사이에 팀이 원래 자동화한 작업을 더 안전하고 효율적으로 수행하는 제품이 등장할 수 있다. 만약 팀이 기존 프로세스가 잘 작동하기 때문에 이러한 발전을 주시하지 않는다면, 나쁜 일이 발생하고 나서야 접근 방식을 재고하고 기술 및 공급업체 환경이 발전했음을 깨닫게 될 것"이라고 말했다.

추가 거버넌스 작업이 필요
모순처럼 들릴 수 있지만 IT 부서는 자동화를 통해 구현되는 유연성과 자율성을 모니터링하고 관리해야 한다. 그렇지 않으면 상황이 통제 불능 상태가 될 수 있다.

태니움의 가스톤은 "요구되는 자동화 수준은 기업에 따라 다르다. 개별 위험 허용 범위를 결정하고 그에 따라 행동하는 것은 각 조직의 몫이다. 이러한 유연성은 유익할 수 있지만 신중한 계획, 정기적인 실시간 모니터링, 지속적인 교육을 통해 IT 담당자가 자동화된 시스템을 관리하고 문제를 해결하는 데 필요한 기술을 갖추도록 해야 한다"라고 말했다.

안정성과 복원력을 유지하려면 자동화된 워크플로우의 종속성을 파악하는 것도 중요하다. 이는 오래된 레거시 시스템의 경우 특히 중요하다. 

자동화 사용을 제어하는 한 가지 해결책은 거버넌스 프로그램의 구축이다. "모든 새로운 기술과 마찬가지로 자동화와 관련된 규정과 표준이 계속 등장하고 있다. 많은 조직이 비즈니스 목표에 부합하는 방식으로 자동화를 수용하는 방법을 마련하지 못하고 있다”라고 가스톤은 말했다.

그는 이어 "동급 최고의 플랫폼을 사용하여 자동화하더라도 워크플로와 프로세스를 살펴보고 올바른 가드레일, 종속성 및 조치를 취하는 것이 필수적이다. 이를 통해 위험을 줄이고 IT 조직의 업무를 관리에서 혁신으로 전환하도록 할 수 있다"라고 말했다.

자동화에 대한 과도한 의존
IT 자동화에 지나치게 의존하는 지 여부를 파악해야 한다. 특히 자동화로 인해 쇠퇴하는 무언가가 있다면 유의해야 한다. IFS의 밀러는 "가령 자동화에 지나치게 의존하면 IT 직원의 기술이 위축되어 수동 문제 해결 및 개입 기술이 저하될 수 있다. 수동 해결이 필요한 예기치 않은 문제가 발생할 때 심각한 위험이 된다”라고 말했다. 

또한 자동화에 지나치게 의존하면 비즈니스에 특화된 시스템 운영의 복잡성에 대한 조직의 지식이 사라질 수 있다. 이는 외부에 적응하거나 혁신하는데 걸림돌로 작용할 가능성으로 이어진다고 밀러는 말했다. ciokr@idg.co.kr