[데이터넷] ‘N2SF’, 제로 트러스트 원칙으로 구현한다

• 국가 보안체계 혁신 위한 N2SF, 제로 트러스트 원칙 필수

• 소프트캠프 ID·RBI·문서 보안 오케스트레이션으로 N2SF 필수 요건 지원

[데이터넷]  국가 보안체계 혁신을 위한 국가 망 보안체계(N2SF)가 시행된다. N2SF는 정부 전산망을 업무 중요도에 따라 기밀(Classified)·민감(Sensitive)·공개(Open) 등급으로 분류하고, 보안통제 항목을 차등 적용해 보안성과 데이터 공유 활성화를 동시에 충족하기 위해 진행하는 새로운 보안체계다.

N2SF는 획일적인 망분리 정책을 개선하는 것뿐만 아니라 급변하는 디지털 환경에 맞춰 사이버 안보를 강화한다는 목적도 갖고 있다. 국방, 외교, 행정, 금융 등 국가 핵심 기능을 담당하는 국가·공공기관도 클라우드, AI, 원격근무 등 새로운 기술을 통한 혁신을 추구하고 있다.

이 과정에서 반드시 고려해야 하는 것이 사이버 보안이다. 우리나라는 세계적으로 악명높은 사이버 공격 집단의 중요한 표적이 되고 있기 때문에 국가 안보 차원의 보안 체계가 시급하다.

이러한 요구를 반영한 N2SF는 다양한 업무 환경과 중요도에 맞춰 보안 등급을 나누고, 각 등급에 맞는 보안 통제 정책을 적용한다. 자유로운 정보 유통으로 신기술 융합을 활성화하고, 스마트한 업무 환경을 조성한다. 이를 통해 각 기관의 자율성을 보장하되 안전한 디지털 혁신을 추진할 수 있도록 돕는다. 이 과정에서 보안, AI, 데이터 등 다양한 산업의 발전과 육성으로 디지털경제 창출에 기여한다.

정보서비스 모델별 N2SF구축 방안

국가정보원 ‘국가 망 보안체계 보안 가이드라인(Draft)’의 보안 통제 항목 해설서에서는 ▲권한 ▲인증 ▲분리와 격리 ▲통제 ▲데이터 ▲정보자산 등 6개 영역의 176개 보안통제 항목을 나열하고 N2SF우선 검토 사항을 설명했다. 보안 통제항목은 기술 변화를 반영해 지속적으로 갱신될 예정이다.

국가정보원은 주요 정보서비스 모델에 대한 보안 위협과 대응 방안을 제안한 정보서비스 모델 해설서도 발간했다. 이 해설서에서는 생성형 AI 활용, 클라우드 활용 업무 협업 체계 구축, 연구 목적 단말의 신기술 활용 등 다양한 서비스 모델에서의 N2SF 체계 구축 방안을 제안했다. 이러한 모델 역시 지속적으로 개발해 제공할 계획이다.

이 해설서에서 예시로 든 모델 중 가장 높은 관심을 받고 있는 업무 환경에 대해, 소프트캠프 보안 솔루션을 활용한 N2SF구축 방법을 다음과 같이 제안할 수 있다.

● 업무 환경에서 생성형 AI 활용

정부·공공기관에서도 업무 효율성을 높이기 위해 여러 생성형 AI 사용을 검토하고 있지만, 현행 망분리 환경에서 생성형 AI 사용이 쉽지 않다. 그런데 N2SF는 정부·공공기관에서도 생성형 AI를 사용할 수 있도록 보안 원칙을 정의하고 있어 높은 관심을 받는다.

N2SF체계에 따라 생성형 AI 사용을 설계한다면, S등급 영역에 위치한 S등급의 업무 단말이나 온북에서 O등급의 인터넷 영역에 위치한 생성형 AI에 접속하게 된다. 이때 O등급 정보만 업·다운로드할 수 있으며, S등급 이상 정보는 생성형 AI로 전송할 수 없다.

생성형 AI 사용 시, 보안 수준이 다른 환경으로 데이터가 유통되는 것을 통제해야 할 뿐만 아니라, 다양한 보안 위협을 방지할 수 있는 대안이 마련되어야 한다. 예를 들어 생성형 AI는 데이터 유·노출 위협이 높으며, 허가받지 않은 AI 서비스 사용으로 인한 공격표면 확장의 문제도 있다. 생성형 AI로 위장한 피싱·유해 사이트, AI 서비스 계정 도용, 생성형 AI 자체의 보안 취약점과 API 취약점 등 여러 보안 문제가 발생할 수 있다.

소프트캠프의 ICAM·IdP 솔루션 ‘SHIELD ID(실드아이디)’와 보안 접속 솔루션 ‘SHIELD Gate(실드게이트)’, 문서 보안 오케스트레이션 솔루션 ‘도큐먼트 시큐리티(Document Security)’가 이러한 보안 조치를 이행할 수 있다.

소프트캠프 솔루션을 적용하면 사용자, 디바이스, 위치(IP) 등을 확인하고, 인가된 생성형 AI로만 접속할 수 있도록 통제할 수 있다. 생성형 AI에 파일을 전송할 때 O등급 저장소 내 문서에 한하여 질의·업로드를 허용할 수 있다. 또한 생성형 AI가 생성한 파일을 다운로드 할 때 공개(O) 저장소에 전송함으로써 보안 통제 원칙을 준수한다.

또한 소프트캠프 솔루션은 생성형 AI 사용 시 프롬프트 입력 내용을 검사하고 통제하는 기능도 제공한다. 개인신용정보, 민감정보, 특정 문구 포함 여부 등 정규식 기반의 프롬프트 검사를 수행하고, 입력 텍스트를 로깅한다. 검사 후 문제가 없는 텍스트만 생성형 AI로 전송되며, 답변 결과 출력 시에도 로깅이 진행된다. 관리자는 사용자의 생성형 AI 입력과 출력을 모두 감사하고 관리할 수 있다.

● 외부 클라우드 활용 업무 협업 체계

현대 사회의 디지털 업무는 다양한 내·외부 조직과 여러방식으로 협업해야 한다. 이는 국가·공공기관도 마찬가지이며, SaaS로 제공되는 협업 도구를 사용하는 것이 편의성이나 효율성 측면에서 더 낫다. 협업 도구를 사용하는 사례는 다음의 두 가지로 나눠 볼 수 있다.

① O등급 단말(인터넷 영역의 원격 단말, 모바일 단말, 온북 등)을 통해 SaaS 협업 도구(O등급)에 접속하는 경우, O등급 업무 정보를 생산·저장하고, SaaS 협업 도구로 파일을 유통할 수 있다.

② S등급 단말(기관 전산망의 업무 단말, 온북 내 S등급 영역)에서 인터넷 영역(O등급)에 위치한 협업 도구(O등급)에 접속하는 경우, 업무 단말과 온북은 S·O등급 업무 정보를 생산·저장할 수 있지만, 생산·저장한 S등급 정보를 협업 도구로 전송해서는 안 된다.

이 환경에서 발생할 수 있는 보안 위협으로는 사용자 계정 탈취, 데이터 유출, SaaS를 통한 악성코드 유입과 비인가 기기 및 사용자 접근 등이 있다.

소프트캠프는 RBI(Remote Browser Isolation) 기술을 활용해 SaaS 및 인터넷 접속을 보호한다. 사용자가 SaaS 및 인터넷 접속을 시도하면 단말기와 격리된 환경에서 브라우저가 탑재된 일회용 격리 컨테이너가 실행된다. 실행된 일회용 격리 컨테이너는 사용자가 접속하려는 SaaS 및 인터넷 접속을 대행한다.

일회용 격리 컨테이너는 비주얼 스트림(Visual Stream)으로 사용자에게 화면에 보이는 것만 전송하며 SaaS 및 인터넷의 어떤 스크립트도 단말기로 전달하지 않는다.

SaaS 및 인터넷을 통해 다운로드한 파일은 콘텐츠 무해화(CDR)를 통해 악성코드를 선제적으로 제거한다. 이로써 웹사이트와 파일에 숨어 있는 악성요소는 사용자 단말에 도달하지 않는다.

또한 단말에서 생성되는 데이터를 등급화하고, 데이터 등급별로 전송-차단 여부를 결정한다. 전송 가능한 등급의 데이터는 파일 격리 저장소에 저장한 후 문서 업·다운로드 여부를 제어한다. 필요한 경우 문서 암호화 혹은 CDR을 적용해 데이터 노출과 악성코드 감염을 방지한다. 마지막으로 SaaS 접속한 후에도 인가되지 않은 사이트나 악성 사이트로의 이동을 통제한다.

● 연구개발 환경에서 신기술 활용과 개발환경 편의성 향상

하루가 멀다하고 신기술이 등장하는 IT 환경에서 연구 및 개발 환경을 폐쇄망으로 운영하는 것은 현실과 맞지 않다. 특히 장소와 시간에 구애받지 않고 자유롭게 일하기 원하거나, 긴급한 업무로 인해 원격지에서 접근해야 하는 개발자를 위한 새로운 환경이 필요하다. 그래서 N2SF 가이드라인은 연구개발 환경에서 신기술 활용과 개발환경 편의성 향상을 위한 정책을 정의한다.

연구개발 단말은 O등급인 외부 인터넷 및 SaaS를 이용할 수 있으므로 연구·중요 데이터 유출, 악성코드 감염, 악성 오픈소스 사용으로 인한 공급망 공격, 원격 데스크톱 접근 시도 및 비인가 원격 관리 도구 사용, 비업무 사이트·피싱 사이트 접속으로 인한 위협에 대한 보안대책도 수립해야 한다.

연구·개발 환경 및 개발환경 편의성 향상을 위한 소프트캠프 솔루션 활용 예시는 다음과 같다.

① 연구·개발 환경의 신기술 활용

소프트캠프는 연구·개발 단말에서 O등급의 외부 인터넷, SaaS 및 생성형 AI 접속 시 격리 컨테이너를 적용해 안전하게 접근할 수 있도록 한다. 사용자는 접속이 인가된 사이트(SaaS, 생성형 AI 포함)만 접속을 허가하고, 유해 사이트 및 인가되지 않은 사이트로의 접속은 차단한다. 연구·개발망 PC와 접속한 사이트 간 클립보드 제어를 통해 데이터 유출을 통제한다.

사이트로 파일 전송 시 전송 가능한 O등급의 파일만 전송하고, 개인정보 또는 민감정보가 포함된 S등급의 파일 전송은 차단한다. 접속한 사이트를 통해 다운로드 받은 파일은 파일 무해화(CDR)를 통해 악성코드를 차단하고, DRM으로 암호화해 보호한다. 이를 통해 데이터 유출을 효과적으로 방지하면서 악성코드가 유입되지 않는 연구·개발 단말 이용에 최적화된 보안을 제공한다.

② 개발환경 편의성 향상

개발환경 편의성을 높이기 위해서는 개발자가 인터넷에 접속해 오픈소스 등을 활용하거나, 원격지에서 단말에 접속하고, 업무를 수행할 수 있어야 한다. N2SF 체계에서는 개발자가 기관 전산망 내 S등급 영역에 위치한 개발 단말(S등급)에서 개발에 필요한 인터넷 정보 검색과 열람을 통해 S·O등급 업무 정보를 생산·저장할 수 있다.

또한 O등급 인터넷 영역이지만 소프트캠프 솔루션을 통해 원격지에서도 업무가 가능하다. 솔루션에서 제공하는 강화된 신원인증, 보안서약서, 사용기간, 접속 리소스 제한 등을 통해 원격지에서 S등급 단말에 접속한다.

이때, 원격지에서 S등급 단말에 직접 접속하지 않고 격리 환경을 통해 접속해 악성코드 유입을 방지한다. 격리 접속이 완료된 후에는 클립보드, 데이터 전송이 모두 차단되며, 스크린 마킹 및 키로깅을 통해 추가 보안이 적용된다.

사용자는 격리 접속한 단말을 통해서도 업무를 수행할 수 있으며, 기존 단말을 통해 기관 전산망 내 개발 시스템(S등급)에 접속할 수 있다.

협력업체·공급망 등 제3자 리스크 보호

소프트캠프의 솔루션은 협력업체, 소프트웨어 공급망 등을 악용하는 제3자 리스크 완화를 위해서도 제안된다. SHIELD Gate는 외부 협력사가 내부 업무 시스템을 사용할 때 VPN 수준의 보안을 보장하는 원격 접속 환경도 제공한다. 특히 보안 정책을 적용하기 어려운 N차 협력사와 고객까지 내부와 동일한 수준의 강력한 보안을 실현할 수 있다.

외부망 협력업체 사용자가 권한을 부여받은 내부 업무 시스템에 접근할 때, 상황에 따른 적절한 수준의 인증을 거친 후 격리 브라우저와 IAP(Identity Aware Proxy)를 거치도록 한다. 또한 웹 격리 저장소에서 다운로드 파일을 열람·편집할 수 있어 협력업체 사용자 PC에 다운로드 하지 않고 안전하게 협업을 진행할 수 있다.

OT 네트워크에 대한 안전한 원격접근도 지원한다. 사용자가 원격지에서 웹이나 RDP를 통해 접근할 때, 접속 환경 정보를 종합적으로 분석해 정상적인 접근 요청인 경우에만 허용하며, 웹 격리 기술을 적용해 보안을 한층 강화한다.

공급망 보안 솔루션 XSCAN(엑스스캔)을 사용해 감염된 외부 코드로 인한 공급망 공격도 선제적으로 차단한다. 엑스스캔은 외부에서 공급받은 코드와 컨테이너에서 악의적인 활동이 일어날 가능성이 있는 요소를 찾아내며, 그 외의 악성·의심스러운 요소를 탐지하고, 소프트웨어 자재 명세서(SBOM) 및 파일의 무결성을 검사한다. 안전성이 검증된 코드와 컨테이너만 개발환경에 적용해 공급망 위협을 낮춘다. 더불어 AI를 활용해 빠르고 정확한 위협 분석 보고서를 제공한다.

제로 트러스트 보안으로 N2SF 대응

N2SF는 국가 망 보안체계를 바꾸는 사업이기 때문에 장기 계획을 갖고 추진해야 한다. 그런데 신기술 등장 속도가 빨라지면서 새로운 유형의 위협이 등장하고 있기 때문에 장기 계획을 수립하고 이행하는 것이 쉽지 않다.

N2SF 가이드라인은 미국의 NIST RMF와 DoD 제로 트러스트 정책을 참조해 작성되었다. 이는 우리나라 제로 트러스트 가이드라인에서도 참조한 것으로, 우리나라 제로 트러스트 가이드라인을 준수하는 보안 설계는 N2SF도 만족할 수 있다. 소프트캠프의 보안 솔루션은 제로 트러스트 원칙에 따라 설계됐기 때문에 제로 트러스트 가이드라인과 오버레이되는 N2SF 가이드라인도 지킬 수 있다.

소프트캠프 솔루션은 ZTCAP(Zero Trust Conditional Adaptive Policy) 엔진을 탑재해 지속적으로 신뢰를 확인하면서 안전하게 업무를 수행할 수 있게 한다. 또한 온프레미스와 퍼블릭·프라이빗 클라우드 환경에 맞춰 보안 정책을 자동으로 오케스트레이션해 환경에 따라 달라지는 보안 정책을 자동 변환시킨다. 이를 통해 현재는 물론, 미래의 기술 환경에서도 지속적인 제로 트러스트 원칙을 지킬 수 있도록 해 새로운 보안 위협 대응과 규제준수 요건을 만족할 수 있도록 돕는다.

※기사 원문 바로가기 : ‘N2SF’, 제로 트러스트 원칙으로 구현한다 / 데이터넷