AI DLP
생성형 AI 정보유출방지
생성형 AI 서비스 정보유출방지
생성형 AI 서비스를 막지 않고, 안전하게 쓰는 방법
ChatGPT, Gemini, Claude 같은 생성형 AI 서비스가 업무 도구로 자리 잡으면서, 정보유출의 경로도 달라졌습니다. 지금까지의 정보유출 방지는 파일이 조직 밖으로 나가는 경로를 지키는 일이었습니다. 그러나 생성형 AI는 이 통제망에 걸리지 않습니다. 대화창에 직접 타이핑한 고객 명단, 검토를 부탁하며 붙여넣은 소스코드, 요약을 위해 올린 계약서는 파일 반출도 메일 발송도 아니기 때문입니다. 유출의 형태가 ‘전송’에서 ‘입력’으로 바뀌었고, 규제 환경도 이미 여기에 맞춰 움직이고 있습니다. 금융권은 망분리 완화 이후 조직 스스로 대비책을 갖춰야 하고, 공공 부문은 국가 망 보안체계 (N2SF) 아래 생성형 AI 사용에 대한 보안 요건을 충족해야 합니다.
AI DLP는 사용자가 생성형 AI에 무엇을 입력하는지 실시간으로 검사하고, 정책에 따라 차단하거나 기록하는 보안 체계입니다. 다만 입력만 본다고 완성되지 않습니다. 조직 안에서 어떤 AI가 실제로 쓰이고 있는지 파악하는 일이 앞에 있어야 하고, AI가 돌려주는 응답이 사용자의 권한에 맞는지 판단하는 일이 뒤에 있어야 합니다. 그리고 그 판단의 기준이 되는 권한(ACL)은 데이터 자체에 내재화돼 있어야 합니다. FDR, Wrapsody, FED가 담당하는 이 데이터 토대 위에서 실제 통제를 수행합니다.
- 프롬프트 입력 통제: 입력되는 개인정보·소스코드·영업기밀을 전송 전 검사하고, 차단 시 사용자 화면에 안내 팝업 표시
- 첨부파일 통제: AI에 업로드되는 문서에 민감정보가 포함돼 있는지 검사해, 프롬프트와 동일한 정책으로 차단
- 로깅 및 관리: 누가 어떤 AI에 무엇을 보냈는지 전송 로그로 기록하고, 중요 기록은 관리자에게 알림 메일 발송
- 접근 제어: 허용 서비스 (URL), 사용자 ID·IP, 데이터 크기, 개인정보 유형 단위로 세부 정책 설정
ChatGPT, Gemini, Claude 같은 서비스는 대부분 웹 브라우저에서 사용됩니다. 통제를 위해 임직원 PC마다 에이전트를 설치하는 방법도 있지만, 배포와 운영 부담이 따릅니다. 쓰던 방식을 바꾸지 않으면서 통제만 얹으려면, 통제 지점이 단말 밖에 있어야 합니다.
트래픽 단에서 시작하는 방법이 네트워크 패킷 기반 AI DLP입니다. 패킷 분석과 AI 기반 분류를 결합해 변형된 표현까지 탐지하기 때문에, 단말에 손대지 않고도 전사 트래픽에 대한 가시성을 먼저 확보할 수 있습니다. 접속 경로 자체를 통제하되 서비스는 열어두고 싶다면 Sandbox 기반 AI DLP가 대안이 됩니다. 생성형 AI를 로컬이 아닌 격리된 원격 브라우저에서만 실행해, 사용자는 평소와 같은 화면을 쓰지만 모든 활동은 세션 단위로 추적됩니다.
이를 통해 조직은
- 생성형 AI 활용 중 발생하는 민감정보 유출을 사전에 차단
- 정확한 탐지와 낮은 오탐율로 보안성과 생산성을 동시에 확보
- 전송 로그와 정책 이력을 근거로 AI 활용 보안 요건에 대응
생성형 AI 보안에서 어려운 것은 막는 일이 아니라, 무엇이 중요한 정보인지 이해하면서 정작 업무는 막지 않는 균형입니다. 그리고 그 균형점은 조직마다 다릅니다. Fasoo AI는 고객 환경에 맞는 통제 지점을 함께 설계합니다.
AI Security
AI 보안 전문가
만나러 가기
FDI go
찾아가는 세미나
자세히 알아보기
