“AI 통제, 문서 출처 추적부터”... 소프트캠프, AI 시대 등급 분류 전략 제시

“정보 출처 추적 통해 자산 식별까지”
“AI 에이전트는 새로운 내부자로 통제해야”

[보안뉴스 강현주 기자] “출처를 알면 등급이 보이고, 등급이 정해지면 통제를 실행할 수 있습니다. AI 에이전트는 새로운 ‘내부자’로서 권한관리가 필요합니다.”

배환국 소프트캠프 대표는 2일 여의도 페어몬트 앰배서더 서울 그랜드볼룸에서 열린 ‘소프트캠프 솔루션데이 2026’에서 이 같이 밝혔다.

‘AI는 허용, 통제는 필수: AI 에이전트 시대의 새로운 보안 패러다임’을 주제로 진행된 이번 행사에서 소프트캠프는 고객사들을 대상으로 AI 에이전트의 안전한 사용을 위한 보안 전략을 제시하며 AI 시대 보안의 핵심 원칙으로 ‘추적(Trace)·통제(Control)·인증(Authenticate)·검증(Verify)’ 4대 축을 제시했다.

배환국 대표는 기조연설을 통해 국가 망 보안 체계(N2SF)가 강조하는 데이터 등급 분류에 부합하는 자사의 전략을 소개했다.

배 대표는 “포렌식 기술을 통해 등급 분류 대상인 ‘출처’를 역으로 추적해 문서가 생성된 업무시스템을 기준으로 등급을 분류할 수 있다”며 “이는 국가정보원의 기밀(C), 민감(S), 공개(O) 등급 분류 기준과도 부합하며, 등급이 보이면 통제를 실행할 수 있다”고 말했다.

사람이 파일 하나하나를 일일이 작업하거나, AI 모델 하나만으로도 정확하게 등급 분류하기는 어렵다는 설명이다. 문서가 어떤 시스템에서 생성 및 다운로드되었는지, 어떤 사용자가 어떤 경로로 유통했는지 등의 출처 경로를 포렌식 기술로 확인할 수 있어 자산 식별도 가능하다는 것이다.

배 대표는 “정해진 등급을 바탕으로 AI나 SaaS에 업로드할 때 실드게이트 등 기존 서비스와 연계하여 안전하게 통제하고 관리할 수 있도록 돕는다”며 “문서 가시성을 확보해 데이터의 출처를 알게 되면 역으로 자산 식별까지 추적되는 효과가 있다”고 말했다.

아울러 배 대표는 “AI 에이전트는 답변은 물론 실행까지 하므로 ‘새로운 내부자’와 같다”며 권한 관리의 중요성을 언급했다.

마지막으로 배 대표는 “이제 보안의 역할은 AI 활용을 막는 것이 아니라, 무엇을 누가 어떤 권한으로 다루는지 추적하고 통제해 안전하게 허용하는 것”이라고 강조했다.

이 날 소프트캠프는 문서의 출처를 자동으로 식별해 업무 시스템별 보안 등급을 관리하는 출처 기반 등급 관리 솔루션 ‘인포디스커버리’(InfoDiscovery)를 선보였다. 이와 함께 조직 내 문서가 언제, 어디서, 누구에 의해 사용되는지 추적하고 시각화하는 문서 가시성 플랫폼 ‘인포리니지’(InfoLineage)도 소개했다.

또 외부 AI·SaaS를 안전하게 이용할 수 있도록 지원하는 제로트러스트 기반의 웹 격리(RBI) 보안 서비스 실드게이트(SHIELD Gate), 마이크로소프트365 등 클라우드 환경에서 요구되는 데이터보안 라벨링·암호화인 MIP(Microsoft Information Protection)를 사용자 개입 없이 자동으로 유지하고 업무시스템별 등급분류를 돕는 클라우드 문서보안 오케스트레이션 실드디알엠(SHIELD DRM)도 선보였다.

이 날 행사에서는 장항배 중앙대학교 산업보안학과 교수가 ‘AI 전환(AX)을 위한 보안 전략’을 주제로 합리적인 데이터 등급 전략의 경제적 가치를 제시했다.

또한 △‘추적되지 않는 데이터는 통제할 수 없다’ 세션에서는 데이터의 생성과 이동을 추적하는 가시성 확보 방안을, △’지금 이 순간에도 기밀은 생성형 AI로 빠져나가고 있다’ 세션에서는 생성형 AI를 통한 기밀 유출 통제 방안을 다뤘다. △‘AI 에이전트는 당신의 새로운 내부자다’ 세션은 사람을 대신해 시스템에 접근하는 AI 에이전트를 새로운 내부 위협으로 보고 신원 관리 방안을 제시했다.

자회사 레드펜소프트는 △‘AI 시대의 SW 보안 자산관리: 취약점 대응은 어떻게 달라져야 하는가’를 주제로 소프트웨어 공급망 검증 방안을 다뤘다.

부스에서는 AI 시대 보안의 핵심 원칙으로 제시한 4개 축인 추적·통제·인증·검증을 중심으로 7종의 솔루션 체험과 컨설팅을 제공했다.

[강현주 기자(jjoo@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다