[데이터넷] N2SF 구현 방안, 안전한 외부 클라우드 사용 기술

• 격리·무해화로 외부 위협 제거···컨텍스트 인지 정책 자동화 지원

• 다양한 환경서 지속적인 데이터 보호 정책 유지

[데이터넷] 국가 망 보안체계(N2SF) 대응을 위한 국내 보안 기업의 움직임이 빨라지고 있다. N2SF는 정부·공공기관 전반의 보안 정책이 바뀌는 사업으로 국내 정보보호 시장의 빅뱅을 불러올 것이라는 기대가 높다. 아직 N2SF 가이드라인이 확정된 것은 아니지만, 큰 원칙과 방향을 담은 드래프트 버전을 통해 어떤 기술을 어떻게 적용해서 보안을 강화하면서 AI·클라우드 등 신기술을 사용할 수 있을지 고민해 볼 수 있다. 정보서비스 모델별로 각 보안기업이 제안하는 N2SF 구현 방안을 소개한다. <편집자>

다양한 SaaS 사용 기대

N2SF 전환으로 가장 기대하는 모델은 외부 클라우드 사용이다. 생성형 AI, 클라우드 기반 협업 도구와 문서편집 도구 등 업무 편의성을 높일 수 있는 다양한 SaaS를 사용할 수 있게 되는 만큼, 높아지는 보안위협에 대응하기 위한 기술이 필요하다.

외부 클라우드를 사용할 때에는 S·C 등급 데이터가 외부로 전송되거나, O등급 단말에서 S·C 등급 데이터가 생성·저장되지 않도록 해야 한다. 허가된 SaaS만 사용하며, SaaS에서 기관망으로 직접 연결되지 않도록 하며, 내부 업무용 계정과 개인 계정, SaaS 계정을 동일하게 해 SaaS 계정을 훔친 공격자가 내부 업무로 침입하게 해서는 안 된다. 또한 단말 보안 정책을 지켜 승인된 단말만을 사용하고, 필수 보안 소프트웨어 설치와 실시간 감시 기능을 활성화하고, 소프트웨어는 최신 업데이트를 지켜 취약점 공격 위협을 낮춘다.

여기에 더해 사용자의 권한과 연결 상태에 따라 차등적인 보안 정책을 적용해 신뢰가 확인된 연결만, 최소권한 원칙 하에서 허가한다. 외부 인터넷의 위협이 내부망으로 유입되지 못하도록 격리 기술을 사용하며, 혹시라도 감염되었을 때 확산을 막기 위해 적절한 세그멘테이션을 적용한다.

이러한 요건을 만족하기 위해서는 거의 대부분의 보안 솔루션이 필요하다. 단말과 데이터 보안, 원격 브라우저 격리(RBI), 마이크로세그멘테이션, 클라우드 애플리케이션 접근 브로커(CASB) 등의 솔루션이 적용되어야 한다.

내부망서 외부 클라우드 안전하게 사용

소프트캠프는 제로 트러스트 조건부 적응형 정책(ZTCAP) 엔진이 탑재된 제로 트러스트 제품군으로 N2SF에서 요구하는 많은 통제항목을 만족시킬 수 있다고 설명한다. ZTCAP은 사용자와 기기, 리소스의 환경을 파악하고 적응형 보안 정책을 자동으로 적용하는 엔진이다. ZTCAP이 적용된 계정관리 ‘실드아이디(SHIELD ID)’, 웹 격리(RBI) 적용 보안 원격접속 서비스 ‘실드게이트(SHIELD Gate)’, 그리고 문서 보안 오케스트레이션이 주요 제품군이다.

RBI와 콘텐츠 무해화(CDR) 기술을 이용해 웹과 문서의 잠재된 위협을 선제적으로 제거하며, 문서의 중요도와 사용 환경에 따라 자동으로 정책에 맞는 보안을 적용하는 오케스트레이션 기술로 N2SF 환경에서 지속적으로 보안을 유지할 수 있도록 한다.

더불어 자회사 레드펜소프트의 ‘엑스스캔’ 제품을 이용해 공급망을 보호한다. 외부에서 공급받은 코드, 소프트웨어의 구성요소에서 악의적이거나 의심스러운 행위가 발생할 수 있는 것을 찾아 조치하도록 한다. SBOM과 함께 취약점 수준에 따른 우선조치를 제공해 취약점 대응을 효과적으로 한다.

배환국 소프트캠프 대표는 “N2SF는 내부에서 외부로 안전하게 연결해 업무를 수행하는 것에 중점을 두어야 한다. 소프트캠프는 제로 트러스트 원칙에 따라 사용자 권한 내에서, 승인된 업무 애플리케이션으로만, 보안 정책에 따라 안전하게 연결하고 업무할 수 있도록 돕는다. 그 과정에서 발생 가능한 위해요인은 격리, 무해화를 통해 사전에 제거한다”며 “대형 제조사, 금융사 등에서 입증한 제로 트러스트 원칙의 보안 기술력을 N2SF에서도 성공적으로 입증할 것”이라고 말했다.

SaaS 사용 시 데이터 주권 보장해야

생성형 AI를 사용하는 환경에서는 더 많은 보안 고려사항이 있다. 사용자가 생성형 AI에 입력하는 데이터와 생성형 AI가 출력하는 데이터 및 생성하는 콘텐츠에서 위협요인이 있는지 확인해야 한다. 보안 수준에 맞는 데이터 중 사용자 권한에서 접근할 수 있는 데이터만 생성형 AI에 질의해야 하며, 그 결과값도 보안수준과 권한에 맞아야 한다.

※기사 원문 바로가기 : [N2SF 구현 방안②] 안전한 외부 클라우드 사용 기술 제공 / 데이터넷