한국연구재단, N2SF로 AI·인터넷 업무 활용 확대

한국연구재단(이사장 홍원화)이 국가망보안체계(N2SF) 구축 사업을 통해 업무망에서 생성형 인공지능(AI)과 인터넷을 함께 활용할 수 있는 환경을 만들고 있다. 데이터 등급에 따라 연구 자료의 접속과 반출을 통제하면서 기존 망분리 환경의 업무 불편을 줄이는 것이 목표다.

안랩은 지난 6월부터 모니터랩, 드림시큐리티, 시큐어원과 컨소시엄을 구성해 한국연구재단에 N2SF를 도입하고 있다. ‘업무망에서 생성형 AI를 활용하는 모델 2’와 ‘인터넷을 이용하는 모델 4’를 함께 적용한다. 백민경 안랩 팀장은 8일 경기 성남시 밀리토피아 호텔 바이마린에서 열린 ‘AIDC 보안 기술 및 내재화 전략’ 워크숍에서 한국연구재단의 N2SF 구축 현황과 적용 사례를 소개했다.

한국연구재단은 국가 연구개발(R&D) 전주기를 지원하는 기관이다. 기존에는 업무망과 인터넷망을 분리하고 가상 데스크톱 인프라(VDI)를 통해 외부 인터넷을 이용했다. 업무 과정에서 업무망과 인터넷 환경을 반복해서 오가야 했고, 생성형 AI와 같은 외부 서비스를 활용하기에도 제약이 있었다.

재단이 컨소시엄에 요구한 핵심은 인터넷을 단순히 열어주는 것이 아니었다. 기관 내부의 업무와 데이터를 먼저 파악한 뒤 데이터 등급에 맞춰 AI와 인터넷 이용 범위를 통제하는 체계를 요구했다.

안랩 컨소시엄은 보안 솔루션을 적용하기에 앞서 업무와 데이터의 흐름부터 정리했다. 한국연구재단이 실제 업무를 기준으로 데이터의 C·S·O(기밀·민감·공개) 등급을 먼저 분류하고 컨소시엄이 결과를 다시 검증하는 방식이다. 4명 이상의 전문 컨설턴트가 투입돼 분류 결과와 실제 업무 사이에 차이가 없는지도 확인했다.

이후에는 ‘정부기능분류체계(BRM)’를 기반으로 업무를 식별하고 해당 업무에서 사용하는 데이터와 시스템, 사용자를 연결했다. 한국연구자정보(KRI)와 연구사업통합지원시스템(e-R&D) 관련 업무처럼 시스템 사이에서 중요한 데이터가 오가는 경우에는 이동 과정에서도 기존 등급에 맞는 통제가 유지되는지를 살폈다. 특히 업무망에 C등급으로 봐야 할 데이터가 없는지, 평소 S등급으로 관리하는 데이터가 생성형 AI를 이용하는 과정에서 외부로 넘어갈 가능성은 없는지 등을 확인했다.

안랩은 기관이 직접 분류한 결과를 그대로 적용하지 않고 컨소시엄 차원에서 정합성을 다시 검증했다고 설명했다. 데이터 등급이 잘못 정해지면 이후 인터넷 접속과 파일 반출 정책도 잘못 적용될 수 있기 때문이다.

분류한 데이터는 실제 보안 통제와 연결된다. 직원이 인터넷이나 생성형 AI에 접속하면 먼저 ‘제로 트러스트 네트워크 접근(ZTNA)’을 기반으로 사용자 신원과 단말 상태를 확인한다. 외부 웹 접속은 ‘원격 브라우저 격리(RBI)’를 통해 파일을 주고받을 때는 ‘보안 웹 게이트웨이(SWG)’와 ‘데이터 유출 방지(DLP)’가 문서 등급을 다시 확인한다.

예를 들어, 정상적인 직원과 정상적인 단말이 허용된 생성형 AI에 접속했더라도 S등급 파일을 외부로 보내려고 하면 데이터 통제 정책이 작동한다. 사용자 인증과 데이터 반출을 서로 다른 단계에서 확인하는 구조다. 이후 각 통제 구간에서 발생한 보안 정보는 ‘확장형 탐지·대응(XDR)’ 체계와 연결했다. 개별 제품을 따로 운영하기보다 사용자와 단말, 웹 접속, 데이터 이동 과정에서 발생한 정보를 연결해 탐지와 대응에 활용하는 방식이다.

안랩 컨소시엄은 지난 6월부터 현재까지 74명의 직원을 대상으로 실제 업무환경에서 N2SF 적용 상태를 확인하고 있다고 밝혔다. 검증 대상은 보안 기능에만 국한되지 않는다. 업무시스템을 이용하면서 인터넷과 생성형 AI에 접속할 때 인증이나 데이터 검사가 실제 업무를 지나치게 방해하지 않는지도 함께 살피고 있다.

안랩에 따르면, 한국연구재단은 검증을 거쳐 N2SF 체계 적용 대상을 약 600명 규모로 확대할 계획이다. 오는 15일에는 전 직원을 대상으로 N2SF 교육도 진행한다. 이후 보안적합성 관련 절차 등을 거쳐 실제 운영 환경을 다듬을 예정이다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network