성평등가족부, N2SF로 2PC 업무 환경 개선

성평등가족부(장관 원민경)가 국가망보안체계(N2SF) 구축 사업을 통해 업무용 PC와 인터넷용 PC 두 대를 사용하는 기존 망분리 환경을 개선하고 있다. 하나의 업무환경에서 생성형 인공지능(AI)과 인터넷을 이용하면서 동시에 문서 등급과 사용자 권한에 따라 외부 전송을 통제하는 것이 골자다.

윈스테크넷(대표 김보연)은 8일 경기 성남시 밀리토피아 호텔 바이마린에서 열린 ‘AIDC 보안 기술 및 내재화 전략’ 워크숍에서 성평등가족부의 N2SF 구축 사례를 소개했다. 윈스테크넷은 엔키화이트햇, SGA솔루션즈, 에어코드, 마크애니와 컨소시엄을 구성해 ‘업무환경에서 생성형 AI를 활용하는 모델 2’와 ‘업무 단말에서 인터넷을 이용하는 모델 4’를 구축하고 있다. 이번 구축은 과학기술정보통신부와 KISA의 ‘2026년 국가망보안체계(N2SF) 도입 지원사업’ 가운데 하나다.

윈스테크넷에 따르면, 성평등가족부는 기존에 업무망과 인터넷망을 나누고 각각 별도의 PC를 이용했다. 가상 데스크톱 인프라(VDI)는 사용하지 않았다. 따라서 가족·청소년·아이돌봄 정책처럼 외부 자료 활용이 많은 업무를 수행하려면 인터넷 PC와 업무 PC 사이를 오가야 했다.

생성형 AI 활용도 제한됐다. 성평등가족부는 이를 개선하기 위해 생성형 AI를 이용하는 모델 2와 인터넷 활용을 확대하는 모델 4를 함께 적용했다. 장기적으로 다른 부처와 지방자치단체에서도 참고할 수 있는 형태로 만드는 것도 목표로 세웠다.

문서 등급부터 자동으로 분류

성평등가족부가 N2SF 구축 과정에서 요구한 기능 가운데 하나는 직원 개인의 판단에만 의존하지 않는 문서 등급 분류다. 정책 문서와 공문이 계속 생산되는 부처 특성상 직원이 모든 문서를 직접 C·S·O(기밀·민감·공개)로 판단하는 방식은 업무 부담이 크고 결과도 달라질 수 있기 때문이다.

이에 윈스테크넷 컨소시엄은 데이터 등급 분류를 위해 대규모언어모델(LLM)을 활용한 문서 분석과 ‘디지털 권한 관리(DRM)’ 기술을 연계했다. 기존 문서를 표본으로 분석해 등급을 분류하고 새 문서를 작성할 때도 내용에 맞는 등급을 안내하는 방식이다.

실제 분석 과정에서는 당초 예상보다 C등급과 S등급으로 분류할 문서가 많이 확인됐다. 등급을 분류한 뒤 끝내는 것이 아니라 직원이 이후 새 문서를 만들 때도 같은 기준을 적용하도록 DRM 정책과 연결하고 있다.

이 과정에서 DRM은 구축 과정의 주요 난제로 떠올랐다. 성평등가족부는 기존에 DRM을 사용하지 않았다. N2SF를 구축하면서 문서 등급별 통제를 위해 새로 DRM을 적용하자 업무 절차가 복잡해졌다. 컨소시엄과 수요기관은 업무 불편을 줄이면서 등급별 통제를 유지할 방법을 약 1개월 동안 조정했다.

인터넷 이용 방식도 기관 업무에 맞게 나눴다. 공직자 통합메일은 업무망에서 내용을 확인할 수 있도록 하되 발송 기능에는 제한을 뒀다. 일반적인 인터넷 서비스는 ‘원격 브라우저 격리(RBI)’를 이용해 업무망에서 사용할 수 있도록 했다. RBI는 외부 웹 콘텐츠를 별도 환경에서 실행하고 화면 결과를 업무 단말에 전달하는 기술이다.

생성형 AI는 허용 목록에 등록한 서비스만 사용할 수 있도록 구성했다. 직원이 AI에 내용을 입력하거나 파일을 첨부하면 ‘인공지능 기반 데이터 유출 방지(AI-DLP)’가 내용을 검사한다. 민감정보나 대외비로 판단할 정보를 발견하면 외부로 보내지 못하도록 차단한다.

업무망에서 인터넷으로 파일을 내보낼 때도 C·S등급 문서는 기본적으로 차단한다. 아직 등급이 정해지지 않은 문서 역시 우선 차단하는 방향으로 정책을 세웠다.

요구사항 반영해 체계 개선, 10월부터 전사에 적용

실제로 N2SF 구축이 진행되면서 당초 계획에 없던 요구사항도 계속 생겼다. 윈스테크넷은 기술협상과 전문위원회, 현장점검 등을 거쳐 받은 성평등가족부의 요구사항은 21건이었고, 컨소시엄은 이 가운데 19건을 구축에 반영했다고 설명했다.

기존에 성평등가족부가 사용하던 PC 보안 프로그램과 새로 도입하는 통합 엔드포인트 관리(UEM)의 기능이 겹치는 문제도 있었다. 성평등가족부는 기존 프로그램을 바로 없애지 않고 N2SF 운영 결과를 확인한 뒤 교체 여부를 결정하기로 했다.

문서에 C·S·O 표시를 넣기 어려운 일부 파일 형식도 과제로 남았다. 현재 기술로 등급을 확인하기 어려운 문서는 우선 차단하고 다른 통제 방안을 찾기로 했다.

이 외에도 사업이 끝난 이후 조직 개편이나 새로운 업무가 생겼을 때 문서 등급을 어떻게 다시 관리할지도 요구사항에 포함됐다. N2SF 구축 당시의 분류 결과를 고정해 사용하는 것이 아니라 기관 업무 변화에 따라 계속 업데이트해야 한다는 것이다.

윈스테크넷에 따르면, 성평등가족부는 N2SF를 정보화 담당 조직에서 우선 적용한 뒤 오는 14일부터 청소년가족정책실 산하 11개 과를 대상으로 시범 운영에 들어갈 예정이다. 10월에는 적용 대상을 부 전체로 넓히는 방안을 추진한다.

10월에는 침투테스트와 AI 레드티밍도 진행한다. 실제 공격자가 데이터 통제를 우회하거나 생성형 AI를 통해 민감정보를 외부로 보내려 하는 상황을 만들어 구축한 보안정책이 제대로 작동하는지 확인할 계획이다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network