
# Intent 기반 라우팅 및 실시간 위험 점수: 보안 설문 자동화의 차세대 진화

기업들은 오늘날 공급업체, 파트너, 감사인으로부터 끊임없이 쏟아지는 보안 설문에 직면하고 있습니다. 기존 자동화 도구는 각 설문을 정적 양식 작성 작업으로만 처리하며, 질문 뒤에 숨은 맥락을 무시하는 경우가 많습니다. **Procurize의 최신 AI 플랫폼**은 **요청 뒤의 Intent를 이해**하고 **연관된 위험을 실시간으로 점수화**함으로써 이러한 모델을 완전히 뒤집습니다. 그 결과, 질문을 적절한 지식 원천으로 라우팅하고, 가장 관련성 높은 증거를 제시하며, 자체 성능을 지속적으로 개선하는 동적인 자체 최적화 워크플로가 탄생합니다.

> **핵심 요점:** Intent 기반 라우팅과 실시간 위험 점수를 결합하면 규칙 기반 시스템보다 더 빠르고 정확하며 감사 가능한 답변을 제공하는 적응형 엔진이 만들어집니다.

---

## 1. 구문보다 Intent가 더 중요한 이유

대다수 기존 설문 솔루션은 키워드 매칭에 의존합니다. “encryption”(암호화)이라는 단어가 포함된 질문은 질문자의 의도가 데이터‑at‑rest, 데이터‑in‑transit, 혹은 키‑관리 프로세스 중 무엇인지와 관계없이 사전 정의된 저장소 항목을 트리거합니다. 이는 다음과 같은 문제를 야기합니다.

* **증거 과다·과소 제공** – 노력 낭비 또는 준수 격차.  
* **검토 사이클 증가** – 검토자는 관련 없는 섹션을 수동으로 제거해야 함.  
* **위험 체계 불일치** – 동일한 기술 통제가 평가마다 다르게 점수화됨.

### Intent 추출 워크플로

```mermaid
flowchart TD
    A["Incoming Questionnaire"] --> B["Natural Language Parser"]
    B --> C["Intent Classifier"]
    C --> D["Risk Context Engine"]
    D --> E["Routing Decision"]
    E --> F["Knowledge Graph Query"]
    F --> G["Evidence Assembly"]
    G --> H["Answer Generation"]
    H --> I["Human‑in‑the‑Loop Review"]
    I --> J["Submit to Requester"]
```

* **Natural Language Parser**는 텍스트를 토큰으로 분해하고, “AES‑256”, “[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)”와 같은 엔터티를 감지합니다.  
* **Intent Classifier**(세밀히 조정된 LLM)는 질문을 *Data‑Encryption*, *Incident‑Response*, *Access‑Control* 등 수십 개의 Intent 카테고리 중 하나에 매핑합니다.  
* **Risk Context Engine**은 요청자의 위험 프로파일(공급업체 등급, 데이터 민감도, 계약 규모)을 평가하고 **실시간 위험 점수**(0‑100)를 부여합니다.  

**Routing Decision**은 Intent와 위험 점수를 모두 활용해 정책 문서, 감사 로그, 혹은 주제 전문가(SME) 등 최적의 지식 원천을 선택합니다.

---

## 2. 실시간 위험 점수: 정적 체크리스트에서 동적 평가로

위험 점수는 전통적으로 수동 단계입니다. 컴플라이언스 팀이 사후에 위험 매트릭스를 참고하죠. 우리 플랫폼은 **밀리초 단위**로 여러 요인을 결합해 이를 자동화합니다.

| 요인 | 설명 | 가중치 |
|------|------|--------|
| 공급업체 등급 | 전략적, 핵심, 저위험 | 30% |
| 데이터 민감도 | PII, PHI, 재무, 공개 | 25% |
| 규제 중복 | [GDPR](https://gdpr.eu/), [CCPA](https://oag.ca.gov/privacy/ccpa), [HIPAA](https://www.hhs.gov/hipaa/index.html), [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) | 20% |
| 과거 발견 | 이전 감사 예외 | 15% |
| 질문 복잡도 | 기술 하위 구성 요소 수 | 10% |

최종 점수는 두 가지 핵심 행동을 좌우합니다.

1. **증거 깊이** – 위험도가 높은 질문은 감사 추적, 암호키, 제3자 증명 등을 자동으로 더 깊게 가져옵니다.  
2. **인간 검토 수준** – 점수가 80을 초과하면 필수 SME 승인, 40 이하이면 AI 신뢰도 검증 후 자동 승인됩니다.

```goat
// Pseudo‑code for risk calculation (illustrative only)
score = 0
score += vendorTierWeight * tierFactor
score += dataSensitivityWeight * sensitivityFactor
score += regulatoryWeight * overlapFactor
score += historyWeight * findingsFactor
score += complexityWeight * complexityFactor
return clamp(score, 0, 100)
```

> *참고:* 위 다이어그램은 **goat** 구문을 사용하여 의사코드를 표시합니다; 실제 문서에서는 시각적 흐름을 위해 Mermaid 다이어그램을 사용합니다.

---

## 3. 통합 플랫폼의 아키텍처 청사진

플랫폼은 세 가지 핵심 레이어를 엮어 구성됩니다.

1. **Intent Engine** – 지속적인 피드백 루프를 통해 미세 조정되는 LLM 기반 분류기.  
2. **Risk Scoring Service** – 기능 저장소를 활용하는 무상태 마이크로서비스이며 REST 엔드포인트를 노출합니다.  
3. **Evidence Orchestrator** – 이벤트 기반 오케스트레이터(Kafka + Temporal)로 문서 저장소, 버전 관리 정책 저장소, 외부 API 등을 연결합니다.

```mermaid
graph LR
    subgraph Frontend
        UI[Web UI / API Gateway]
    end
    subgraph Backend
        IE[Intention Engine] --> RS[Risk Service]
        RS --> EO[Evidence Orchestrator]
        EO --> DS[Document Store]
        EO --> PS[Policy Store]
        EO --> ES[External Services]
    end
    UI --> IE
```

**주요 장점**

* **확장성** – 각 구성 요소를 독립적으로 확장할 수 있어 오케스트레이터는 분당 수천 개 질문을 처리합니다.  
* **감사 가능성** – 모든 의사 결정은 불변 ID와 함께 로그에 기록돼 감사인에게 전체 추적성을 제공합니다.  
* **확장성** – 핵심 코드를 건드리지 않고도 새로운 Intent 카테고리를 LLM 어댑터를 추가해 쉽게 확장할 수 있습니다.

---

## 4. 구현 로드맵 – 제로부터 프로덕션까지

| 단계 | 주요 마일스톤 | 예상 노력 |
|------|--------------|-----------|
| **Discovery** | 설문 말뭉치 수집, Intent 분류 체계 정의, 위험 요인 매핑 | 2주 |
| **Model Development** | Intent용 LLM 미세조정, 위험 점수 마이크로서비스 구축, 기능 저장소 설정 | 4주 |
| **Orchestration Setup** | Kafka와 Temporal 워커 배포, 문서 리포지터리 연동 | 3주 |
| **Pilot Run** | 일부 공급업체에 적용, 인간‑in‑the‑loop 피드백 수집 | 2주 |
| **Full Rollout** | 모든 설문 유형으로 확대, 자동 승인 임계값 적용 | 2주 |
| **Continuous Learning** | 피드백 루프 구현, 월간 모델 재학습 일정 수립 | 지속 |

**원활한 출시 팁**

* **작게 시작** – 기본적인 [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) 요청과 같이 위험도가 낮은 설문을 선택해 Intent 분류기를 검증합니다.  
* **전체 계측** – 신뢰도 점수, 라우팅 결정, 검토자 의견을 모두 캡처해 향후 모델 개선에 활용합니다.  
* **데이터 접근 관리** – 역할 기반 정책을 적용해 고위험 증거에 대한 접근을 제한합니다.

---

## 5. 실제 영향: 초기 도입 사례 지표

| 지표 | Intent 엔진 도입 전 | Intent 엔진 도입 후 |
|------|-------------------|-------------------|
| 평균 처리 시간(일) | 5.2 | 1.1 |
| 월간 수동 검토 시간 | 48 | 12 |
| 불완전 증거와 관련된 감사 발견 건수 | 7 | 1 |
| SME 만족도 점수(1‑5) | 3.2 | 4.7 |

위 수치는 **응답 시간이 78% 단축**되고 **수동 업무가 75% 감소**했으며, 감사 결과가 크게 개선됐음을 보여줍니다.

---

## 6. 향후 확장 – 다음 단계는?

1. **Zero‑Trust 검증** – 기밀 컴퓨팅 엔클레이브와 결합해 원시 데이터를 노출하지 않고도 증거를 인증합니다.  
2. **기업 간 연합 학습** – 파트너 네트워크와 위험·Intent 모델을 안전하게 공유해 데이터 유출 없이 분류 성능을 향상시킵니다.  
3. **예측 규제 레이더** – 규제 뉴스 피드를 위험 엔진에 공급해 점수 임계값을 사전에 조정합니다.  

이러한 기능을 지속적으로 추가함으로써 플랫폼은 **반응형 답변 생성기**에서 **능동형 컴플라이언스 스튜어드**로 진화합니다.

---

## 7. Procurize 시작하기

1. Procurize 웹사이트에서 **무료 체험** 등록.  
2. 기존 설문 라이브러리(CSV, JSON, 혹은 직접 API)를 **가져오기**.  
3. **Intent 마법사** 실행 – 산업에 맞는 분류 체계를 선택.  
4. 조직의 위험 감수성에 맞게 **위험 임계값 설정**.  
5. **SME 초대** – 고위험 답변을 검토하고 피드백 루프를 닫기.  

위 단계만 따르면, 매 인터랙션마다 학습하는 실시간 Intent‑aware 설문 허브를 손쉽게 구축할 수 있습니다.

---

## 8. 결론

Intent 기반 라우팅과 실시간 위험 점수는 보안 설문 자동화의 가능성을 근본적으로 재정의합니다. **“왜” 질문이 제기됐는지**와 **그 질문이 얼마나 중요한지**를 이해함으로써 Procurize의 통합 AI 플랫폼은 다음을 제공합니다.

* 더 빠르고 정확한 답변.  
* 수동 전달 단계 최소화.  
* 감사 가능하고 위험 인식이 가능한 증거 흐름.

이 접근 방식을 채택하는 기업은 운영 비용을 절감할 뿐 아니라 전략적 컴플라이언스 경쟁력을 확보하게 됩니다—이제까지는 병목이었던 설문 프로세스를 신뢰와 투명성의 원천으로 전환하는 것입니다.

---

## <span class='highlight-content'>보기</span> Also
- <https://www.isaca.org/resources/news-and-trends/newsletters/atisac/2024/intent-based-compliance-automation>
- <https://cloud.google.com/architecture/real-time-risk-scoring-ml>
- <https://www.openai.com/research/retrieval-augmented-generation>
- <https://www.crowdsec.net/blog/zero-trust-ai-compliance>