사용자·기기·AI·SaaS 지속적 신뢰 확인 및 통제 필수
‘이미 침해되었다는 가정’ 위한 마이크로세그멘테이션 중요

[데이터넷] 정부와 공공기관이 20년 가까이 유지해 온 망 분리 환경을 새로운 보안 체계인 국가 망 보안체계(N2SF)로 일시에 전환하기는 쉽지 않다. 그래서 N2SF 가이드라인에서는 11종의 정보서비스 모델을 예시로 들며 보안 대책 수립에 도움을 주고 있다. 정보서비스 모델 해설서는 업무 환경마다 요구되는 보안 대책을 설명하며, 위협 모델링, 보안 요구사항 도출 및 보안 통제 항목 선정 방법을설명한다.

이 해설서의 정보서비스 모델 중 생성형 AI 등 외부 인터넷 서비스를 안전하게 사용하는 방법을 안내한 ▲업무 환경에서 생성형 AI 활용 ▲외부 클라우드 활용 업무 협업 체계 ▲클라우드 기반 통합 문서 체계 등에 대한 N2SF 구현 방법에 대한 관심이 매우 높다.

안전한 생성형 AI·SaaS 사용 모델 제안

업무 환경의 생성형 AI 활용 모델은 N2SF를 설계하게 된 가장 중요한 요인이다. 생성형 AI가 AI 에이전트로 진화하면서 업무 효율성과 생산성을 획기적으로 높일 수 있게 됐다. 정부·행정 서비스 혁신을 위해서도 생성형 AI 사용은 필수이며, SaaS로 제공되는 민간 서비스를 안전하게 사용할 수 있는 보안 모델이 필요하다.

이 모델은 S등급인 기관 전산망 내 업무 단말이나 온북에서 O등급의 인터넷망 생성형 AI 서비스에 접근해 업무를 수행한다. S등급의 업무 단말이나 온북에서는 O등급의 정보만 생성형 AI 서비스로 공유되어야 하며, 생성형 AI 서비스 역시 O등급의 정보만 생산, 저장, 공유할 수 있다.

외부 클라우드 활용 업무 체계와 클라우드 기반 통합 문서 체계는 다음의 세 가지 형태로 구축될 수 있다.

① S등급의 기관 전산망의 업무 단말과 온북이 O등급의 인터넷·SaaS·업무 협업체계로 접근하는 경우

② O등급의 인터넷 영역 모바일 단말과 원격 단말이 인터넷·SaaS·업무 협업체계로 접근하는 경우

③ O등급의 인터넷 영역 모바일 단말과 원격 단말이 S등급의 기관 전산망 통합문서체계와 업무 시스템으로 접근하는 경우

이 세 가지 모델은 모두 기관 내·외부의 단말을 이용해 인터넷 영역의 서비스를 이용하는 것으로, 별도의 보안 조치 없이 S등급의 데이터가 O등급으로 공유되거나, O등급 시스템에서 S등급 데이터가 생성, 저장, 활용되어서는 안 된다.

또한 단말 및 생성형 AI·SaaS의 보안 취약점, 허가되지 않은 단말 및 생성형 AI·SaaS 사용, 민감정보 유출과 오남용, 악성코드 유입 등의 위협이 발생할 수 있으므로 강화된 보안 조치가 필요하다.



지속적인 신뢰 확인으로 업무·데이터 보호

이 모델을 보호하기 위해서는 제로 트러스트 원칙의 보안 접근이 필수다. 사용자와 기기 및 AI·SaaS에 대한 지속적인 신뢰 확인과 검증, 최소권한 원칙의 접근, 정책에 맞는 데이터 활용과 무단 유출 및 오남용 방지, 콘텐츠 필터링, 악성코드 등 유해요소 유입 차단 등의 조치를 해야 한다. 혹시 모를 감염에 대비한 지속적인 위협 탐지와 대응, 마이크로세그멘테이션을 이용한 피해 확산 차단도 필수다. 이는 모두 제로 트러스트의 핵심 기술 요소다.

이러한 요구를 모두 만족할 수 있는 SGA솔루션즈의 SGA ZTA는 위험도가 높은 인터넷 업무도 안전하게 수행할 수 있는 기술과 서비스를 제공한다.

SGA ZTA는 정책결정지점(PDP), 정책시행지점(PEP) 역할을 하는 기술을 갖고 있으며, 허가된 사용자와 단말이, 허용된 애플리케이션에만 최소권한 원칙에 따라 접근할 수 있도록 제어한다. 또한 기존 시스템과 제로 트러스트·N2SF 관련 다양한 기술·서비스, API와 연동해 ZTA 통합 플랫폼의 역할을 수행할 수있다.

SGA ZTA에 포함된 ICAM 솔루션 ‘SecureGuardICAM’은 ID 및 자격증명 관리와 접근제어를 통합한다. 조직이 관리해야 할 계정과 자격증명을 자동으로 발급, 수정, 회수, 폐기해 입사부터 퇴사까지 자동화된 정책 기반 관리를 가능하게 한다. 최소권한 원칙을 기반으로 계정의 권한을 부여·관리하며, 권한 내 접근만 허용한다.

통합 엔드포인트 관리(UEM) 솔루션인 SGA EPS의 제품군은 내·외부 기기로 인한 위협을 선제적으로 차단한다. 안티바이러스 ‘VirusChaser’와 APT 탐지·대응 솔루션 ‘SentryAIR’로 악성코드 유입을 막으며, 패치관리 솔루션 ‘PatchChaser’로 제로데이 취약점 공격에 대응한다.

또한 PC 보안수준 진단 솔루션 ‘VirusChaser 내PC 지키미’로 단말 무결성을 검증하며, 위협 인텔리전스 서비스 ‘VirusChaser Intelligence’를 통해 최신 공격 위협에 대응한다. 엔드포인트 보안 솔루션은 모두 단일 에이전트를 통해 통합 제공돼 엔드포인트 보안 복잡성 문제를 해결할 수 있다.

‘이미 침해되었다’는 가정, 마이크로세그멘테이션으로 수평이동 차단

이 모델에서 매우 중요하게 검토해야 하는 기술 중 하나가 마이크로세그멘테이션이다. 지속적으로 신뢰를 평가하고 안전한 접근만 허용한다 해도 정교하게 설계된 우회공격이 들어올 수 있다.

그래서 제로 트러스트 원칙에서도 ‘이미 침해되었다는 가정’으로 내부 네트워크에서 발생하는 위협을 지속적으로 찾는 한편, 감염 확산을 차단하는 마이크로세그멘테이션이 필요하다고 강조한다.

SGA솔루션즈의 서버 보안 솔루션 ‘RedCastle’을 통해 내부 네트워크를 보호하고, ‘vAegis’와 ‘cAegis’로 클라우드 및 하이브리드 환경을 방어하는 마이크로세그멘테이션을 구축할 수 있다.

RedCastle은 강제적 접근제어(MAC), 임의적 접근제어(DAC), 역할기반 접근제어(RBAC) 등 다양한 보안 모델을 유연하게 지원해 세분화된 접근 권한 제어가 가능하다. 특히 서버 접근통제를 강화하고 관리자 권한 오남용을 방지하며 내부자 불법행위를 차단해 특권접근관리(PAM) 기능도 수행할 수 있다.

vAegis는 하이브리드 환경에서 서버 워크로드를 보호하는 솔루션으로, 워크로드 별 방화벽, 네트워크 트래픽 분석을 통한 제로데이 취약점 대응, 네트워크 분할과 방화벽 설정 등을 통한 마이크로세그멘테이션 기능을 제공한다.

cAegis는 컨테이너 이미지 보안 검증을 위한 이미지 스캐닝, 서명 검증, 취약점 점검을 실시하며, 컨테이너 간 통신을 통제한다. 또한 정책 기반 컨테이너 플랫폼 승인 제어와 클러스터 보안 표준 규정 준수, 보안운영과 모니터링으로 컨테이너 기반 클라우드 네이티브 환경을 보호할 수 있다. 특히 cAegis는 N2SF 가이드라인에서 분리 항목의 예시로 든 ‘컨테이너 환경의 분리 정책 강화’ 항목을 충족할 수 있다.

세 솔루션은 서로 연계되어 멀티 플랫폼 환경에서 자동으로 확장되는 통합 보안 관리를 구성할 수 있다.