[정보보호 솔루션 컨퍼런스] “공공 AI 확산…AI-DLP로 N2SF 대응 체계 구축”

공공 분야에서 생성형 인공지능(AI) 확산이 이뤄지면서 생성형 AI 특화 DLP 체계의 필요성이 커지고 있다는 점이 제시됐다. DLP는 조직 내 데이터 보호 보안 기술로, 중요·민감정보를 탐지하고 외부 유출을 차단·통제하는 기능의 중요성이 부각됐다.

이 같은 배경 속에 김주섭 윈스테크넷 클라우드전략사업실 이사는 9일 서울 양재동 엘타워에서 열린 '2026 정보보호 솔루션 컨퍼런스'에서 발표를 진행했다. 김주섭 이사의 발표 주제는 '안전한 AI 보안 체계를 기반으로 한 생성형 AI 활용 전략'이었다.

김주섭 이사는 발표에서 공공분야 생성형 AI 도입 확산에 따른 보안 위협을 설명하고 대응 방안을 제시했다. 이번 행사는 아이티데일리가 보도했으며, 사진기자는 성원영이었다.

공공분야의 AI 활용이 최근 급증했다. 343개 공공기관 중 132개 기관에서 AI 활용·정부 서비스 구축 381건이 이뤄졌다. 김 이사는 공공분야의 AI 활용이 증가하고 있다고 밝혔다.

공공기관의 AI 도입과 서비스 구축이 늘면서 보안 위협 관리 필요성도 함께 부각됐다. 김 이사는 주요 AI시스템 위협 5가지로 민감정보 입력·유출, 첨부파일 기반 정보 유출, 비인가 AI 서비스 사용, 학습데이터 추출, 프롬프트 인젝션(AI 대상 악의적 명령 입력)을 제시했다.

국가정보원(국정원)은 생성형 AI 활용 과정에서의 보안 위협을 고려했다. 국가정보원(국정원)은 필수 관리 대상과 통제 필요성도 제시했다.

한편 지난해 공개된 국가망보안체계(N2SF)에 따라 각 기관은 업무정보·정보시스템을 식별 적용해야 한다. 업무 중요도를 기준으로 C‧S‧O 등급별 차등 보안 통제를 적용해야 하며, 이를 위해서는 업무 구분이 선행돼야 한다. 각 등급별 통제용 보안장비를 정의하는 것도 등급별 차등 보안 적용의 전제다.

김 이사는 국정원이 제시한 주요 AI 시스템 보안 위협 대응책으로 입력·출력 데이터 로깅·모니터링을 강조했다. 또 김 이사는 생성형 AI 환경에 특화한 DLP의 도입이 필요하다고 언급했다. 도입 목적은 AI를 경유하는 데이터의 가시성을 확보하고 데이터 유출을 통제하는 데 있다고 설명했다.

이어 N2SF 가이드라인의 N2SF 정보서비스 모델이 총 11개 구성이라고 밝히고, 이 가운데 공공기관 활용도가 높은 모델로 2번 '업무환경에서 생성형 AI 활용', 4번 '업무 단말의 인터넷 이용', 8번 '클라우드 기반 통합문서체계'를 선정했다고 전했다.

김 이사는 생성형 AI 환경에 대해서는 기존 패턴·시그니처 기반 보안만으로는 대응이 불충분하다고 지적했다. 아울러 거대언어모델(LLM)·그래픽처리장치(GPU)를 사용하는 구조의 위협 대응에는 별도 접근이 필요하고 대안도 필요하다고 설명했다.

김 이사는 AI-DLP 솔루션의 핵심 요소로 프롬프트 보안·코딩 어시스턴트 보안·모델 컨텍스트 프로토콜(MCP) 보안·네트워크 기반 보안을 제시했다. 김 이사는 AI-DLP 솔루션이 보호해야 할 지점을 사용자 입력, 코드 작업, AI·서버 통신, 네트워크 구간으로 나눠 설명했다.

김 이사는 프롬프트 보안의 필요성에 대해 생성형 AI에 입력하는 질문·지시·표현 과정에서 민감정보의 유입을 방지하고, 위험한 형태의 전달을 통제해야 한다고 밝혔다. 또 코딩 어시스턴트 보안의 필요성에 대해서는 코드 생성·수정 과정에서 보안상 문제가 있는 정보의 입력을 막고, 결과 노출을 방지하는 관리가 필요하다고 설명했다.

김 이사는 MCP 보안의 필요성과 관련해 MCP 기반 AI·서버 간 통신 흐름에서 부적절한 데이터 전달을 차단할 수 있어야 한다고 말했다. 이어 네트워크 기반 보안의 필요성으로는 기존 보안 제품 영역으로 커버하기 어려운 SSL 인스펙션(SSL inspection)의 포함이 필요하다고 밝혔다.

김 이사는 특히 암호화 구간에서도 유출 가능성을 점검하고 통제할 수 있어야 한다고 설명했다. SSL 인스펙션(SSL inspection)은 HTTPS 등 암호화 네트워크 통신을 중간에서 복호화해 내부 데이터를 검사한 뒤 재암호화해 전달하는 보안 기술이다.

김 이사는 외부 AI로의 무단 전송을 차단할 필요가 있고 민감정보 데이터 노출을 원천 차단할 필요가 있으며, 문맥별 데이터 통제 수단과 첨부파일 등급별 데이터 통제 수단이 필요하다고 말했다. 이어 이를 구현하려면 AI-DLP를 통한 가시성 확보와 AI-DLP를 통한 투명성 확보가 필요하다고 밝혔으며, 해당 과제는 기관이 단독으로 소화하기 어려운 만큼 경험 있는 사업자와 협업체계를 구축할 필요가 있다고 말했다. 또 협업체계를 구축할 경우 내년도 사업 준비의 좋은 기회가 될 것이라고 설명했다.

출처: 아이티데일리 (IT DAILY) · 성원영 기자
원문: https://www.itdaily.kr/news/articleView.html?idxno=241497

참고자료

• https://www.itdaily.kr/news/articleView.html?idxno=241497