위드네트웍스, 'ISEC 2026'서 새 자산·취약점 통합 관리 플랫폼 공개
AI 기반 사이버 보안 및 IT 인프라 통합 플랫폼 기업 위드네트웍스(대표 안종업)가 11~12일 서울 코엑스에서 열린 'ISEC 2026(제20회 국제 시큐리티 콘퍼런스)'에 참가, AI 기반 자산·취약점 통합 관리 플랫폼 'withVTM' 신규 버전을 처음 공개했다. 이 제품은 실제 인프라를 3D 가상 공간에 그대로 재현하는 '보안 디지털 트윈'을 적용했다. 12일 회사에 따르면, 'AI로 구현하는 자율보안의 미래'를 주제로 열린 이번 행사에서 'AI가 취약점을 쏟아내는 미토스 시대'를 화두로 제시하고, N2SF·ISMS-P 대응을 위한 지속적 위협 노출 관리(CTEM) 체계와 이를 구현한 'withVTM'을 전면에 내세웠다. AI가 스스로 취약점을 탐지하는 '미토스 쇼크' 이후 공격 표면 관리의 기준이 근본적으로 달라졌다. 또 AI 기술 확산으로 공격은 빠르고 정교해지는 동시에 공격 범위도 확대되고 있으나, 이에 대응할 보안 인력과 예산은 한정돼 있다. 위드네트웍스는 이러한 비대칭 환경에서 조직이 증명해야 할 지표는 처리한 취약점 건수가 아니라 실제 위험 수준을 얼마나 신속하게 낮췄는지라고 보고, 전체 취약점을 일괄 점검하는 기존 방식 대신 외부에 실제로 노출된 위험부터 처리하는 '지속적 위협 노출 관리(CTEM)'로의 전환을 제시했다. 위드네트웍스는 실제 위험이 단일 취약점이 아니라 여러 약점의 '조합'에서 발생한다는 점에 주목했다. 외부에 노출된 API와 불필요한 개방 포트, SBOM 내 취약 라이브러리, 기본 계정과 과도한 접근 권한, 민감 데이터 접근 경로가 하나의 자산에서 겹치면 개별 취약점 점수가 낮더라도 악용 가능성은 급격히 상승한다. 개별 취약점 단위로 산정되는 CVSS(Common Vulnerability Scoring system) 점수만으로는 이러한 조합 위험이 드러나지 않는다. 'withVTM'은 취약점 점수 하나로 위험을 판단하지 않는다. 자산 중요도와 외부 노출 현황, KEV·EPSS 등 실제 악용 신호, 설정 결함과 권한 상태를 자산 단위로 결합해 AI 기반 위험 등급으로 환산하고, 개별 점수는 낮지만 결합 시 악용 가능성이 높아지는 자산을 우선 조치 대상으로 제시한다. 한편 디지털 트윈은 실제 설비나 공간을 가상 환경에 동일하게 복제하고 상태를 실시간으로 동기화해 변화를 검증하는 기술로, 제조와 도시·시설 관리 분야에서 먼저 상용화됐다. 보안 영역에 적용하면 운영 환경에 영향을 주지 않고 자산 구성과 연결 관계를 검증할 수 있으며, 자산 목록만으로는 확인되지 않는 연결 구조와 외부 노출 지점을 단일 화면에서 파악하는 효과를 얻을 수 있다. 위드네트웍스는 이 기술을 IT 자산·취약점 관리에 적용해 이번 'withVTM' 신규 버전에 3D 보안 디지털 트윈으로 구현했다. 국내에서 디지털 트윈을 IT 자산·취약점 관리에 적용한 상용 사례는 위드네트웍스가 처음이라고 회사는 강조했다. 'withVTM'의 3D 보안 디지털 트윈은 실제 자산과 네트워크 구성을 가상 공간에 그대로 재현한다. 점검 시점마다 새로 작성되는 목록이 아니라 상시 동기화되는 단일 환경에서 조직 전체를 조망하는 방식이다. 자산 식별 단위도 서버·IP에 한정되지 않는다. 서비스와 API, 컨테이너, SBOM 구성요소까지 분해해 공격 표면 전반을 반영하며, 자산 목록에 등재된 적 없는 섀도우 IT와 미관리 자산도 동일한 화면에서 확인된다. 자산별 AI 기반 위험 등급은 3D 화면에 그대로 표시돼 우선 조치 대상이 즉시 식별된다. 자산과 취약점의 관계, 자산 간 연결 관계가 함께 매핑되므로 특정 취약점이 어느 자산에 존재하고 해당 자산이 어떤 자산·서비스와 연결돼 있는지 화면에서 추적할 수 있다. 신규 도입 자산과 미관리 자산, 신규 공개 취약점은 식별되는 즉시 디지털 트윈에 반영돼 정기 점검 주기 사이에 발생하던 가시성 공백을 해소한다. 표와 보고서로 분산돼 있던 자산·취약점 관리를 단일 화면 기반의 상시 관리 체계로 전환한 것이 이번 버전의 핵심 변화다. 또 'withVTM'은 3D 보안 디지털 트윈을 중심으로 전사 자산 통합 가시성, 섀도우 IT·API 관리, SBOM 공급망 보안, CVE·CCE 상시 점검, AI 기반 위험 우선순위, AI 디펜스 데이터셋, 보안 운영 자동화, N2SF C·S·O 등급 관리, 감사·컴플라이언스 대응까지 하나의 운영 체계로 연결한다. 식별·분석·판단·조치·검증·증적 여섯 단계가 단절 없이 이어지며, 점검·조치 이력에서 감사 증적이 자동으로 축적돼 N2SF와 ISMS·ISMS-P 인증 개편, 정보보호 실태평가 대응에 활용된다. 함께 선보인 'withREX'는 위협 노출 진단 서비스다. 에이전트를 설치하지 않아 운영 중단 없이 전사 공격 표면을 단기간에 점검하며, 자산 목록에서 누락된 자산과 외부에 개방된 API를 식별하고 노출 수준을 수치로 산출한다. 두 제품 모두 조달청 디지털서비스몰에 등록돼 공공기관이 별도 절차 없이 도입할 수 있다. 행사 첫날 부스에는 공공기관과 금융·제조 분야 보안 담당자의 방문이 이어졌다고 회사는 밝혔다. N2SF와 ISMS·ISMS-P 인증 개편 대응을 앞둔 실무자들은 자산 식별 범위와 감사 증적 확보 방안을 집중적으로 문의했다. 안종업 위드네트웍스 대표는 “보안 담당자를 가장 위태롭게 만드는 것은 알고도 못 고친 취약점이 아니라, 있는 줄도 몰랐던 자산”이라며 “빠짐없이 찾아내고, 그 자산 위에서 취약점이 어떻게 조합되는지까지 분석해 지금 무엇을 먼저 조치할지 답을 내는 것이 핵심이다. 보안 디지털 트윈은 그 판단 결과를 누구나 같은 화면에서 보게 만드는 방식”이라고 말했다. 이어 “자산과 취약점, 노출, 위협 정보를 상시로 수집해 일관되게 정규화한 데이터가 결국 AI 자율보안의 기초 자산이 될 것”이라고 덧붙였다.
