지란지교소프트, 생성형 AI 정보유출 방지 ‘AX필터 2.0’ GS인증 1등급 획득

공공기관과 기업에서 생성형 인공지능(AI)의 업무 활용이 확대되면서 직원이 AI 서비스에 입력하는 정보의 보안 관리가 중요한 과제로 떠오르고 있다. 보고서 작성이나 자료 분석, 프로그램 개발 등에 AI를 활용하는 과정에서 개인정보나 내부 업무자료가 외부 서비스로 전송될 가능성이 있기 때문이다. 특히 여러 생성형 AI 서비스를 사용하는 조직에서는 서비스별 접근 권한을 통제하고 정보 전송 이력을 관리할 수 있는 체계가 필요하다. 이러한 수요에 대응해 지란지교소프트가 생성형 AI 프롬프트의 개인정보를 사전에 탐지하고 전송을 통제하는 보안 솔루션의 품질 인증을 확보했다.

지란지교소프트(대표 박승애·유병완)는 생성형 AI 정보유출 방지 솔루션 ‘AX필터(AXFILTER) 2.0’이 굿소프트웨어(GS)인증 1등급을 획득했다. GS인증은 소프트웨어의 기능과 성능, 사용성, 보안성 등을 시험·평가하는 국가 품질 인증 제도다. 인증 등급은 1등급과 2등급으로 구분되며, 이번 AX필터 2.0의 시험과 인증은 한국화학융합시험연구원(KTR)이 담당했다.

AX필터 2.0은 사용자가 생성형 AI 서비스에 입력하는 프롬프트를 외부로 전송하기 전에 검사하는 솔루션이다. 입력 내용에서 개인정보와 민감정보를 탐지하고, 기관이 설정한 보안 정책에 따라 해당 정보를 가리거나 전송을 차단하는 방식으로 작동한다.

예를 들어 직원이 보고서 초안을 생성형 AI로 수정하는 과정에서 주민등록번호 등 개인정보가 포함된 내용을 입력하면 AX필터가 이를 탐지한다. 기관의 정책에 따라 개인정보에 해당하는 부분을 마스킹한 뒤 전송하거나, 프롬프트 자체의 전송을 차단할 수 있다.

전송이 차단된 경우에는 기관이 설정한 안내 문구가 사용자에게 표시된다. 사용자는 해당 내용을 수정한 뒤 다시 전송할 수 있어 보안 정책을 적용하면서도 업무를 이어갈 수 있도록 설계됐다.

생성형 AI 서비스에 대한 접근 통제 기능도 제공한다. 기관은 서비스별 접속 허용 여부를 설정하고 부서에 따라 이용 가능한 서비스와 시간을 구분할 수 있다. 지원 대상은 챗GPT(ChatGPT), 클로드(Claude), 제미나이(Gemini), 깃허브 코파일럿(GitHub Copilot), 퍼플렉시티(Perplexity) 등이다. 지란지교소프트는 지원 서비스를 지속적으로 확대하고 있다. 이러한 기능은 생성형 AI 이용을 전면 제한했던 조직에서도 부서별 업무 특성과 보안 수준에 따라 일부 서비스의 사용을 허용할 수 있도록 지원한다.

생성형 AI 사용 이력 관리도 AX필터 2.0의 주요 기능이다. 직원이 입력한 프롬프트의 검출 사유와 보안 조치 내역이 서버에 기록되며, 원문은 별도의 열람 권한을 부여받은 관리자만 확인할 수 있다.

관리자의 보안 정책 변경 이력 역시 별도로 저장된다. 이를 통해 기관은 어떤 정책이 적용됐고, 정보 전송 과정에서 어떤 조치가 이뤄졌는지 확인할 수 있다.

대시보드에서는 생성형 AI 서비스별 이용 현황과 부서·사용자별 정보 검출 현황을 살펴볼 수 있다. 담당자는 검출 빈도가 높은 부서나 사용자를 파악해 보안 교육과 관리가 필요한 영역을 확인할 수 있다.

AI 이용 통제부터 감사 증적 관리까지…공공기관 보안 요구사항 대응

AX필터 2.0은 생성형 AI 사용 과정에서 발생하는 정보유출 위험을 관리하는 동시에 기관의 정보보호 인증과 감사 업무에 필요한 자료를 확보하도록 지원한다. 기관이 설정한 접속 정책과 서비스 이용 이력, 개인정보 검출 및 조치 기록은 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증과 국제표준 ISO/IEC 27001 심사에서 증적 자료로 활용할 수 있다.

ISMS-P의 인터넷 접속 통제와 정보 전송, 로그 관리 관련 항목에 대응할 수 있도록 기능을 구성했다. 공공기관 개인정보 보호수준 평가에서 다루는 ‘내부자 보안’ 지표에 필요한 관리 자료를 확보하는 데도 활용할 수 있다.

지란지교소프트는 고객이 요청할 경우 보안 요구사항과 AX필터 2.0의 기능을 연결한 별도의 매핑 보고서도 제공할 계획이다. 이는 생성형 AI를 도입하는 조직이 단순히 외부 서비스 접속을 허용하거나 차단하는 수준을 넘어, 정보보호 정책의 적용 여부와 관리 이력을 확인할 수 있도록 하기 위한 것이다.

공공기관의 생성형 AI 활용에 관한 보안 요구도 구체화되고 있다. 국가정보원은 국가 망 보안체계(N2SF)의 ‘업무환경에서 생성형 AI 활용’ 모델을 통해 공공기관의 생성형 AI 이용에 필요한 보안 요구사항을 제시했다. 주요 내용에는 비인가 AI 서비스 접근 차단과 업무정보 유출 방지 등이 포함된다.