[백종민의 쇼크웨이브]보안의 진화 "공무원도 챗GPT 쓸 수 있다"

국정원, 생성형 AI 시대 망분리 정책 변경 'N2SF' 발표
기존 VDI 가상화 방식 대비 편리하고 사용도 쉬워
안전하게 생성형 AI 가용가능해져
소프트캠프, 'RBI' 기술로 시연

대한민국 공공·금융 보안의 근간이었던 '망 분리 정책'이 대전환을 맞이했다. 국가정보원이 인공지능(AI), 클라우드 등 신기술 도입을 가로막던 기존 규제를 허물고, 데이터 중요도에 따라 보안을 차등 적용하는 '국가망 보안체계(N2SF, National Network Security Framework)'를 본격 가동하면서다.

14일 정보기술 업계에 따르면 지난 9월30일 발표된 국정원의 N2SF 가이드라인은 보안 패러다임의 근본적 변화를 예고한다. 업무망과 인터넷망을 획일적으로 분리하던, 이른바 '망 분리'라고 불리는 기존 방식에서 대신 데이터를 ▲기밀(C) ▲민감(S) ▲공개(O) 등급으로 분류하고 등급별로 차등화된 보안 통제를 적용한 것이 특징이다.

가장 눈에 띄는 변화는 '접근 CDS(Cross Domain Solution)'의 도입이다. 기존에는 내부 업무망(S등급)에서 인터넷을 통해 서비스되는 챗GPT와 같은 외부 AI 서비스 접속이 원천 차단됐지만, N2SF 체계에서는 보안 가이드라인을 준수하는 '접근 CDS' 기술을 통해 이를 허용한다.

가이드라인은 접근 CDS에 대해 "내부망 사용자가 외부 인터넷 자료를 열람할 때, 격리된 가상 환경에서 웹사이트에 대신 접속하고 화면 정보만 전송하는 기술"이라고 명시하고 있다. 즉, 외부의 악성코드가 내부로 유입될 가능성을 원천 봉쇄하면서도, 화면을 통해 자유롭게 AI 서비스를 이용할 수 있는 길이 열린 것이다.

이 가이드라인이 어떻게 구현되는지를 확인하기 위해 문서보안 전문 기업 소프트캠프를 방문했다.

배환국 소프트캠프 대표가 국정원이 최근 발표한 N2SF 가이드라인에 따라 작동하는 RBI 기술 기반 망분리 브라우저를 시연해 보이고 있다. 사진=백종민 테크 스페셜리스트

소프트캠프는 최근 들어 지속적인 투자를 통해 N2SF 시대를 준비해왔다. 매출 감소에도 과감한 투자를 해온 배환국 대표는 선제적인 투자가 빛을 발할 때가 왔다고 기대했다. 이런 자신감은 '국가망 보안체계(N2SF)' 가이드라인이 소프트캠프의 주력 신기술인 '실드게이트(ShieldGate)'와 정확히 맞닿아 있기 때문이다. 소프트캠프는 내부망 사용자가 외부 인터넷 자료를 열람할 때 격리된 가상 환경에서 접속하고 화면 정보만 전송하는 방식인 RBI(Remote Browser Isolation, 원격 브라우저 격리) 기술을 개발해 왔다.

배 대표가 설명하는 RBI 기술의 핵심은 '격리'와 '제로 트러스트'다. 사용자가 내부망에서 챗GPT 등 외부 사이트에 접속하면, 실제 웹 브라우저는 사용자의 PC가 아닌 서버의 가상 컨테이너 안에서 실행된다. 사용자에게는 그 결괏값인 화면(이미지)만 스트리밍 방식으로 전송된다.

배 대표가 직접 시연을 해 보였다. RBI 기술로 보안 처리돼 열린 웹브라우저에서는 챗GPT 대화를 해도 HTML 코드상에서는 아무런 변화가 없었다. 배 대표는 HTML 코드가 변하지 않는다는 것은 이 화면이 컴퓨터가 아닌 외부에서 보안 처리된 화면만 보여주는 것을 입증한다고 설명했다.

웹브라우저만 실행하면 되다 보니 가상화 방식과 비교해 무척 편리했다. 배 대표는 "기존의 데스크톱 가상화(VDI) 방식은 윈도우 OS 라이선스 비용과 무거운 구동 속도 탓에 AI 시대의 웹 접속 환경에는 적합하지 않다"며 "RBI 기술은 브라우저만 가상으로 띄워 화면을 전송하기 때문에 비용 효율적이고, 악성코드가 유입되더라도 서버의 컨테이너만 삭제하면 되어 원천적인 보안이 가능하다"고 강조했다.

소프트캠프의 이미 RBI 기술기반 N2SF 실증 사업을 특허청과 국가과학기술연구회(NST) 등 주요 공공기관에서 진행 중이다. 내부망에서 안전하게 외부 생성형 AI를 사용하거나 반대로 외부에서 내부 시스템에 접속하는 보안 수단으로 활용 가능한지를 검증받고 있다. 금융권에도 공급이 추진 중이다.

배 대표는 "AI 기술 발전으로 SaaS(서비스형 소프트웨어) 이용이 필수적인 시대가 되면서, 망분리 환경에서도 안전한 연결을 지원하는 RBI 기술 수요는 폭발적으로 늘어날 것"이라고 전망했다.

배환국 소프트캠프 대표가 기술력에 대한 인증을 상징하는 각종 상패 앞에서 포즈를 취하고 있다. 사진=백종민 테크 스페셜리스트

배 대표는 "일본의 '웹 무해화' 보안 지침에 맞춰 2년 전부터 현지 파트너사들과 협력해 왔으며, 내년 4~5월경부터 본격적인 사업 성과가 가시화될 것"이라고 예상했다.

소프트캠프는 RBI 외에도 자회사 레드펜소프트를 통해 소프트웨어 공급망 보안(SBOM) 시장도 선제적으로 공략하고 있다. 최근 전 세계적으로 소프트웨어 구성 요소 명세서(SBOM) 제출 의무화가 확산됨에 따라, 오픈소스 취약점을 관리해 주는 구독형 서비스 매출이 내년부터 본격화될 것으로 보인다.

배 대표는 주로 4분기에 실적이 몰리는 소프트웨어 기업의 약점을 보완하기 위해 매월 실적이 발생하는 구독형 서비스 도입을 확대 중이다. 그는 "회사의 체질이 기존 구축형 중심에서 구독형 서비스 모델로 성공적으로 전환되고 있다"며 "국가 보안 정책의 변화와 AI 시대의 도래라는 거대한 흐름 속에서 준비된 기술력을 바탕으로 내년에는 더욱 가파른 실적 성장을 달성할 것"이라고 자신감을 내비쳤다.

소프트캠프가 13일 발표한 3분기 보고서에 따르면 연결 기준 매출액은 157억4000만원, 영업이익 3억2500만원으로 흑자 전환했다. 지난해 같은 기간 25억 원의 영업손실을 기록했던 것과 비교하면 뚜렷한 실적 개선세다. 기존 주력 사업인 문서 보안 솔루션(DRM)을 기반으로 구독형 클라우드 서비스 전환과 신규 보안 솔루션 공급이 본격화되며 수익성 개선을 이끌었다는 분석이다.

배 대표는 "지난 2~3년간 신기술(RBI 등) 확보를 위해 감내했던 연구개발 투자가 이제 실질적인 성과로 돌아오고 있는 단계"라고 설명했다.

백종민 테크 스페셜리스트 cinqange@asiae.co.kr