AI를 활용한 정보보안 인증 Evidence 자동 생성 및 Gap Analysis 플랫폼 설계
|
| 인공지능과 사이버 보안, 정보보안 및 개인정보보호 논문 |
|
(사)한국인터넷정보학회
2026년도 춘계 학술발표대회
|
❖ 일시 : 2026. 5. 07(목) ~ 08(토)
❖ 장소 : 제주도 서귀포시, 휘닉스아일랜드
❖ 연구회 발표일 : 2026년 5월 07일(금)
|
|
|
 |
|
 논문 주제 AI를 활용한 정보보안 인증 Evidence 자동 생성 및 Gap Analysis 플랫폼 설계 |
|
| 영문명 Design of an AI-Powered Platform for Automated Evidence Generation and Gap Analysis in Information Security Certification |
|
| 논문 저자 박태균 Park Tae Kyun, 여동균 Yeo Dong Kun |
|
 1. 서 론 |
|
 정보보안 인증은 조직의 보안 역량을 객관적으로 입증하는 핵심 수단이다. ISO 27001, SOC 2, ISMS-P 등 주요 인증 프레임워크의 취득 과정에서 증적(Evidence) 수집과 통제항목 Gap 분석에 통상 6~12개월의 준비 기간이 소요되는 것으로 보고되고 있다. 특히 다중 프레임워크를 동시에 준수해야 하는 조직은 중복되는 통제항목에 대해 유사한 증적을 반복 수집하는 비효율이 발생한다. 최근 AI 기반 컴플라이언스 자동화 플랫폼(Drata, Vanta, Sprinto 등)이 등장하여 증적 수집에 소요되는 수작업 시간을 크게 단축하고 있다. Gartner(2023)는 2026년까지 법률·컴플라이언스 부서의 GRC 도구 투자가 50% 증가할 것으로 전망하였으며, 연속적(continuous) 모니터링과 기계 판독 가능한(machine-readable) 증적 생성이 차세대 컴플라이언스의 핵심 요건으로 부상하고 있다. 그러나 기존 플랫폼의 대부분은 규칙 기반(rule-based) 자동화에 의존하여, 정책 문서의 맥락적 생성이나 이기종 프레임워크 간 의미론적 Gap 분석에는 한계가 있다. 이에 본 연구는 LLM(Large Language Model)과 API 기반 시스템 연동을 활용하여 보안 인증 Evidence를 자동 생성하고, 다중 프레임워크 간 통제항목 Gap을 실시간으로 분석하는 AI 기반 플랫폼 아키텍처를 설계하고 그 유효성을 검토한다. |
|
| 2. 관련 연구 |
|
정보보안 인증 자동화 연구는 크게 세 가지 흐름으로 구분된다. 첫째, 규칙 기반 증적 수집 자동화로, API를 통해 클라우드 환경(AWS, Azure)의 구성 정보, 접근 로그, 취약점 스캔 결과 등을 자동으로 수집하는 방식이다. 둘째, 프레임워크 간 통제항목 매핑(crosswalk) 연구로, ISO 27001과 SOC 2, NIST CSF 간 공통 통제를 식별하여 중복 업무를 제거하는 접근이다. 셋째, AI 기반 GRC 플랫폼 연구로, LLM을 활용하여 보안 질의서 자동 응답, 정책 문서 초안 생성, 위험 평가 자동화를 구현하는 최신 동향이다. 그러나 기존 연구는 단일 프레임워크 대상의 증적 수집에 집중되어 있으며, LLM을 활용한 다중 프레임워크 간 의미론적 Gap 분석과 맥락 기반 증적 생성을 통합적으로 다룬 연구는 제한적이다. 국내에서도 ISMS-P 인증 자동화에 대한 수요가 증가하고 있으나, AI 기반 통합 플랫폼에 대한 학술적 논의는 초기 단계에 머물러 있다.
3. AI 기반 플랫폼 설계
3.1 전체 아키텍쳐
표 1과 같이 제안 플랫폼은 3개 핵심 모듈과 통합 대시보드로 구성된다. 데이터 계층에서 API 커넥터를 통해 조직의 IT 인프라(클라우드, IAM, SIEM, 형상관리 등)와 연동하고, AI 계층에서 LLM 기반 분석·생성을 수행하며, 표현 계층에서 인증 담당자와 심사자에게 실시간 대시보드를 제공한다.
3.2 다중 프레임워크 Gap Analysis 프로세스
Gap Analyzer는 3단계로 동작한다. 1단계(통제 매핑): 각 프레임워크의 통제항목을 텍스트 임베딩으로 벡터화하고, 코사인 유사도 기반으로 의미론적 매핑을 수행한다. 2단계(현황 평가): 수집된 Evidence를 통제항목과 자동 대조하여 이행(Implemented), 부분 이행(Partial), 미이행(Not Implemented)의 3단계로 판정한다. 3단계(Gap 리포트): 미이행 항목에 대해 위험도(Impact × Likelihood)를 자동 산정하고, 프레임워크 간 공통 Gap을 식별하여 우선 순위화된 조치 계획(remediation plan)을 생성한다.
4. 기대 효과 및 비교 분석 |
|
| 3. 결 론 |
|
| 본 논문에서는 LLM과 API 기반 시스템 연동을 활용한 정보보안 인증 Evidence 자동 생성 및 다중 프레임워크 Gap Analysis 플랫폼 아키텍처를 설계하였다. 학문적으로 규칙 기반 컴플라이언스 자동화의 한계를 LLM 기반 의미론적 분석으로 극복하는 접근을 제시하였으며, 실무적으로 인증 준비 기간의 대폭 단축과 인적 오류 감소를 기대할 수 있다. 본 연구는 아키텍처 설계 단계의 연구로, 프로토타입 구현 및 실증 평가가 수행되지 않았다는 한계를 지닌다. 또한 LLM 기반 정책 문서 생성의 환각(hallucination) 위험과 생성 결과의 법적 유효성 검증 문제가 남아 있다. 향후 ISO 27001 및 ISMS-P를 대상으로 프로토타입을 구현하고, 실제 인증 심사 환경에서의 효과성 실증, LLM 출력 정확성 평가 벤치마크 개발, 국내외 프레임워크 간 자동 크로스워크 확장을 추진할 계획이다. |
|
|
|
  |
|
|
박태균-AI를_활용한_정보보안_인증_Evidence.pdf
AI 공급망 보안을 위한 CMMC 2.0과 NIST AI RMF 통제항목 매핑 및 정합성 분석 
국제기구에서의 해양 조선 및 선박 분야 사이버 보안 전문가 양성 방안 연구