여행과 숙박 / 종합 여행 서비스
TUI: 디지털 서비스 구조도의 보안 위협 모델 작성과 사내 보안 기준 대조
- 기업
- TUI
- 국가
- 다국가
- 도입 상태
- 운영
- 자료 공개
- 날짜 기준
- 자료 발표 시점. 도입 시작일과 다를 수 있음
- 근거 확인 방법
- 원문 본문 열람
업무 문제
TUI의 보안 엔지니어 네 명이 디지털 제품팀 100개 이상을 지원했다. 구조도를 읽고 위협을 찾은 뒤 사내 기준과 연결하고 결과를 문서화하는 평가에 4~6시간이 들었다. 월 3~4회만 처리할 수 있어 검토가 밀렸고 모든 신규 서비스에 같은 기준을 적용하기 어려웠다.
적용한 기술과 데이터
엔지니어가 구조도와 설명을 올리면 Amazon Bedrock의 Claude Sonnet 4.5와 AgentCore에서 실행하는 LangGraph 흐름이 구성요소와 데이터 흐름을 읽는다. 보안 기준 전체를 넣지 않고 문서 메타데이터로 관련 기준을 고른 뒤 STRIDE 위협을 생성하고 누락을 점검해 보완한다. 사내 승인 도구를 이용한 완화 방안과 관련 통제 항목을 결과에 붙인다. 전문가가 만든 평가를 추가하면 AI와 위험 등급이 다른 부분을 표시해 사람이 검토한다.
성과
TUI는 운영 전후 내부 측정에서 평가당 작업 시간이 최대 70% 줄었고 월 처리량이 3~4회에서 10~12회가 됐다고 밝혔다. 2026년 10월 기준 등록 이용자는 255명, 작성된 위협 모델은 86개, 활동 작성자는 43명이라고 설명했다. 대기하던 보안 평가를 팀이 직접 요청하고 근거와 권장 조치를 검토하는 방식으로 넓혔다.
한계와 남은 과제
시간 감소와 사용량은 TUI가 밝힌 운영 지표다. 실제 침해 사고 감소나 위협 탐지의 오탐률은 원문에 없다. Jira 작업 자동 생성과 배포 전 검사 연계는 향후 계획이다.
출처
공개된 자료를 정리한 사례입니다. ATF Works 도입 고객의 결과가 아닙니다.