데이터 중심 보안체계로의 전환은 녹록치 않다
시스템 전체를 하나의 등급으로 묶는 CSAP의 한계를 짚고, 데이터 중심 등급분류로 가려면 표준 분류체계와 책임 거버넌스, 분류 자동화 산업, AI 시대형 분류 틀까지 함께 설계해야 한다고 정리했다.
공감한다. 현행 CSAP의 가장 큰 문제는 시스템 전체를 하나의 등급으로 묶어 평가하다 보니, 일부 민감정보가 포함된 경우 전체 시스템이 고등급으로 올라가고, 결국 공공기관 실무자는 책임을 피하기 위해 상향 분류를 선택하게 된다는 데 있다. 그 결과 실제로는 대부분 공개 가능하거나 일반 업무 수준의 데이터를 처리하는 시스템조차 과도한 인증 비용과 시간을 감수해야 하고, 클라우드 전환과 AI 활용도 함께 지연되는 일이 반복되어 왔다.
따라서 앞으로는 시스템 중심이 아니라 데이터 중심으로 등급을 나누어, 개별 데이터 항목을 보다 세분화해 관리하고, 정말 민감한 데이터만 분리 보호하는 방식으로 전환할 필요가 있다. 이렇게 해야 나머지 업무 영역은 보다 낮은 보안부담 아래 민간 클라우드와 AI 서비스를 적극 활용할 수 있고, 공공부문의 클라우드 전환도 훨씬 현실적으로 추진할 수 있다.
결국 향후 클라우드 보안인증과 보안정책은 시스템 전체를 일괄 통제하는 방식에서 벗어나, 데이터의 민감도와 활용 목적에 따라 안전하게 허용하는 정교한 정보(데이터) 중심 체계로 재설계되어야 한다는 김승주 교수, 이승현 부사장 등의 주장에 공감을 다시 한번 표한다.
아울러 이것도 필요하다. 즉 데이터 중심 등급분류로 가려면 분류체계만 바꾸는 것으로는 부족하고, 이를 실제로 굴릴 수 있는 정책·산업 기반을 함께 만들어야 한다는 점이다. 지금의 CSAP는 클라우드 서비스의 보안인증 제도이고, N2SF도 기관이 업무와 정보를 식별·분류해 적용하는 구조를 전제로 하지만, 현장에서는 여전히 “시스템 전체를 어떤 등급으로 볼 것인가”가 의사결정의 중심이 되기 쉽기 때문이다.
국가 차원의 표준 데이터 분류체계
그래서 향후 정책과제로 먼저 국가 차원의 표준 데이터 분류체계가 필요하다. 상/중/하, C/S/O 등 큰 틀의 데이터 등급만 제시하는 데 그치지 말고, 개인정보, 가명정보, 연구데이터, 로그, 모델 가중치, 임베딩, 프롬프트, 추론 결과물처럼 데이터 유형별 표준 분류사전 및 판정기준을 만들어야 한다는 것이다. 그래야 기관마다 자의적으로 상향 분류하는 문제를 줄일 수 있고, N2SF의 C/S/O 분류체계와도 정합적으로 연결할 수 있을 것이다.
분류 책임 구조의 개편
또한 데이터 분류 책임 구조의 개편도 필요하다. 이승현 부사장의 지적처럼 분류 담당자가 사고 책임을 거의 전적으로 떠안는 구조에서는 상향 분류가 합리적 선택이 되기 쉽다. 그래서 기관 내부에 ‘데이터 분류위원회’나 ‘아키텍처 검토기구’를 두고, 일정 기준을 충족한 분류 결정에는 면책 또는 책임분산 장치를 두는 식으로 거버넌스를 바꿔야 한다.
그렇지 않으면 좋은 프레임워크를 만들어도 현장에서는 다시 보수적으로 운영될 가능성이 크다. 이 점은 CSAP가 인증제이고, 공공 도입 시 별도 보안성 검토까지 얹히며 사실상 이중 부담이 된다는 최근 논의와도 맞닿아 있다.
데이터 분류 산업의 활성화
그리고 그 어느 때보다도 데이터 분류 산업의 활성화가 필요하다. 앞으로는 단순 컨설팅이 아니라, 데이터 자동 식별·태깅, 민감도 탐지, 반출심사 지원, 프롬프트 DLP, AI 응답물 분류, 로그 기반 지속 점검 같은 기능이 모두 필요해지는 상황이 다가오고 있다.
작년 미국 정부가 FedRAMP 20x를 통해 AI 자동화와 지속 검증을 강조한 것도 결국 이런 데이터분류 산업을 키우기 위한 것이었다. 한국도 공공조달과 실증사업을 통해 “데이터 분류·정책집행·AI 보안” 도구 시장을 키워야 하고, CSAP나 ISMS-P 심사 생태계와 연결되는 평가기준도 만들어야 할 것이다.
AI 시대형 데이터 분류정책 틀
끝으로, AI 시대형 데이터 분류정책 틀이 필요하다. 기존에는 문서, DB, 시스템 중심 분류가 주였지만, 이제는 모델 가중치, 벡터DB 임베딩, 프롬프트, 추론 로그, 에이전트 실행기록처럼 전혀 새로운 데이터 객체가 등장하고 있기 때문이다.
따라서 데이터 분류체계는 단순 개인정보 분류를 넘어, AI 데이터 라이프사이클 전체를 포괄하는 기준으로 확장되어야 할지도 모르겠다. 그렇지 않으면 N2SF나 차세대 CSAP가 또 다시 “AI는 예외”처럼 붙는 체계로 후퇴할 가능성이 있기 때문이다.
그만큼 데이터 중심 보안체계로의 전환이 그리 녹록치 않다. 단순히 등급표만 바꿀 것이 아니라면, 표준 분류체계, 책임 거버넌스, 자동화 도구 산업, AI 데이터 분류체계까지 포함한 차세대 데이터 분류정책 전반을 근본적으로 설계해야 하는 문제이기 때문이다.
원문 보기
공감한다. 현행 CSAP의 가장 큰 문제는 시스템 전체를 하나의 등급으로 묶어 평가하다 보니, 일부 민감정보가 포함된 경우 전체 시스템이 고등급으로 올라가고, 결국 공공기관 실무자는 책임을 피하기 위해 상향 분류를 선택하게 된다는 데 있다. 그 결과 실제로는 대부분 공개 가능하거나 일반 업무 수준의 데이터를 처리하는 시스템조차 과도한 인증 비용과 시간을 감수해야 하고, 클라우드 전환과 AI 활용도 함께 지연되는 일이 반복되어 왔다. 따라서 앞으로는 시스템 중심이 아니라 데이터 중심으로 등급을 나누어, 개별 데이터 항목을 보다 세분화해 관리하고, 정말 민감한 데이터만 분리 보호하는 방식으로 전환할 필요가 있다. 이렇게 해야 나머지 업무 영역은 보다 낮은 보안부담 아래 민간 클라우드와 AI 서비스를 적극 활용할 수 있고, 공공부문의 클라우드 전환도 훨씬 현실적으로 추진할 수 있다. 결국 향후 클라우드 보안인증과 보안정책은 시스템 전체를 일괄 통제하는 방식에서 벗어나, 데이터의 민감도와 활용 목적에 따라 안전하게 허용하는 정교한 정보(데이터) 중심 체계로 재설계되어야 한다는 김승주 교수, 이승현 부사장 등의 주장에 공감을 다시 한번 표한다.
아울러 이것도 필요하다. 즉 데이터 중심 등급분류로 가려면 분류체계만 바꾸는 것으로는 부족하고, 이를 실제로 굴릴 수 있는 정책·산업 기반을 함께 만들어야 한다는 점이다. 지금의 CSAP는 클라우드 서비스의 보안인증 제도이고, N2SF도 기관이 업무와 정보를 식별·분류해 적용하는 구조를 전제로 하지만, 현장에서는 여전히 “시스템 전체를 어떤 등급으로 볼 것인가”가 의사결정의 중심이 되기 쉽기 때문이다. 그래서 향후 정책과제로 먼저 국가 차원의 표준 데이터 분류체계가 필요하다. 상/중/하, C/S/O 등 큰 틀의 데이터 등급만 제시하는 데 그치지 말고, 개인정보, 가명정보, 연구데이터, 로그, 모델 가중치, 임베딩, 프롬프트, 추론 결과물처럼 데이터 유형별 표준 분류사전 및 판정기준을 만들어야 한다는 것이다. 그래야 기관마다 자의적으로 상향 분류하는 문제를 줄일 수 있고, N2SF의 C/S/O 분류체계와도 정합적으로 연결할 수 있을 것이다.
또한 데이터 분류 책임 구조의 개편도 필요하다. 이승현 부사장의 지적처럼 분류 담당자가 사고 책임을 거의 전적으로 떠안는 구조에서는 상향 분류가 합리적 선택이 되기 쉽다. 그래서 기관 내부에 ‘데이터 분류위원회’나 ‘아키텍처 검토기구’를 두고, 일정 기준을 충족한 분류 결정에는 면책 또는 책임분산 장치를 두는 식으로 거버넌스를 바꿔야 한다. 그렇지 않으면 좋은 프레임워크를 만들어도 현장에서는 다시 보수적으로 운영될 가능성이 크다. 이 점은 CSAP가 인증제이고, 공공 도입 시 별도 보안성 검토까지 얹히며 사실상 이중 부담이 된다는 최근 논의와도 맞닿아 있다.
그리고 그 어느때 보다도 데이터 분류 산업의 활성화가 필요하다. 앞으로는 단순 컨설팅이 아니라, 데이터 자동 식별·태깅, 민감도 탐지, 반출심사 지원, 프롬프트 DLP, AI 응답물 분류, 로그 기반 지속 점검 같은 기능이 모두 필요해지는 상황이 다가오고 있다. 작년 미국 정부가 FedRAMP 20x를 통해 AI 자동화와 지속 검증을 강조한 것도 결국 이런 데이터분류 산업을 키우기 위한 것이었다. 한국도 공공조달과 실증사업을 통해 “데이터 분류·정책집행·AI 보안” 도구 시장을 키워야 하고, CSAP나 ISMS-P 심사 생태계와 연결되는 평가기준도 만들어야 할 것이다.
끝으로, AI 시대형 데이터 분류정책 틀이 필요하다. 기존에는 문서, DB, 시스템 중심 분류가 주였지만, 이제는 모델 가중치, 벡터DB 임베딩, 프롬프트, 추론 로그, 에이전트 실행기록처럼 전혀 새로운 데이터 객체가 등장하고 있기 때문이다. 따라서 데이터 분류체계는 단순 개인정보 분류를 넘어, AI 데이터 라이프사이클 전체를 포괄하는 기준으로 확장되어야 할지도 모르겠다. 그렇지 않으면 N2SF나 차세대 CSAP가 또 다시 “AI는 예외”처럼 붙는 체계로 후퇴할 가능성이 있기 때문이다.
그만큼 데이터 중심 보안체계로의 전환이 그리 녹록치 않다. 단순히 등급표만 바꿀 것이 아니라면, 표준 분류체계, 책임 거버넌스, 자동화 도구 산업, AI 데이터 분류체계까지 포함한 차세대 데이터 분류정책 전반을 근본적으로 설계해야 하는 문제이기 때문이다.
Source
이 글은 페이스북 게시물을 옮겨 재편집한 것이다. 위 「원문 보기」에 수집 당시의 전문이 그대로 있다.
페이스북 원문 게시물post id 26460988590179578