GS네오텍·EDB, ISMS-P 증적관리 포함한 AI 보안 솔루션 공개…인공지능기본법 대응 과제는

핵심 요약

- GS네오텍과 EDB가 엑스포 2026에서 ISMS-P 인증 증적관리 기능을 탑재한 AI·보안 솔루션 4종 시연 - AI 모델 교체 시에도 데이터 및 권한 정보가 지속 관리되는 기업용 AI 관리 체계 제시 - CNAPP(클라우드 네이티브 애플리케이션 보호 플랫폼) 도입과 인공지능기본법 준수 간 정합성 검토 필요

주요 내용

GS네오텍과 EDB는 2026년 8월 엑스포 2026에서 기업 AI 관리시장을 겨냥한 보안 솔루션을 공개했다. 이번 행사에는 7개국 118개 기업이 307개 부스를 운영하며 최신 보안 기술을 선보였다. 두 기업이 시연한 4종의 AI·보안 솔루션은 특히 AI 모델을 변경하거나 교체하더라도 기존 데이터와 접근 권한 정보가 소실되지 않고 유지되는 점을 핵심 차별화 요소로 내세웠다.

이번 솔루션의 주요 특징은 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증 취득 및 유지에 필요한 증적관리 기능을 기본 탑재했다는 점이다. 기업들이 AI 시스템을 도입·운영하면서 동시에 개인정보보호법과 정보통신망법상 요구되는 관리체계 인증을 효율적으로 대응할 수 있도록 설계된 것으로 보인다. 특히 AI 모델의 잦은 업데이트나 교체가 발생하는 환경에서도 일관된 보안 정책과 접근 통제가 유지된다는 점은 실무적으로 중요한 의미를 갖는다.

한편 CNAPP(Cloud-Native Application Protection Platform) 도입이 2026년 시행 중인 인공지능기본법 준수 요건과 어떻게 연계되는지에 대한 검토가 필요하다는 지적도 제기됐다. CNAPP은 클라우드 환경에서 개발·운영되는 애플리케이션의 보안을 통합 관리하는 플랫폼으로, AI 서비스의 라이프사이클 전반에 걸친 보안 관리 도구로 주목받고 있다.

전문가 시각

ISMS-P 심사 현장에서 가장 빈번하게 지적되는 사항 중 하나가 바로 AI·ML 모델 변경 시 접근 권한 및 개인정보 처리 이력의 단절 문제다. 특히 생성형 AI를 활용하는 기업들은 모델을 수시로 교체하거나 파인튜닝하는 과정에서 기존 데이터 접근 로그, 동의 이력, 처리 목적 등의 증적이 소실되는 경우가 많다. GS네오텍과 EDB의 이번 솔루션은 이러한 실무 공백을 기술적으로 보완하려는 시도로 평가할 수 있으며, 특히 ISMS-P 2.8.3(접근권한 검토) 및 3.1.2(개인정보 처리 현황 관리) 항목 대응에 유용할 것으로 예상된다.

다만 CNAPP 도입만으로 인공지능기본법상 요구되는 '신뢰할 수 있는 인공지능' 요건을 충족했다고 보기는 어렵다. 인공지능기본법 제49조(인공지능사업자의 책무)는 알고리즘의 투명성, 편향성 방지, 설명 가능성 등을 요구하는데, 이는 단순 접근통제나 로그 관리를 넘어서는 거버넌스 차원의 대응이 필요하기 때문이다. 따라서 기업들은 CNAPP과 같은 기술 솔루션과 함께 AI 윤리 위원회 운영, 영향평가 체계 구축 등 조직적 통제 수단을 병행해야 한다.

ISMS-P 심사원 체크포인트

1. 인증기준 2.8.3(접근권한 검토) 및 3.1.2(개인정보 처리 현황 관리)
AI 모델 변경 시에도 개인정보 처리시스템에 대한 접근권한 목록이 최신으로 유지되고 있는지, 모델별·버전별 처리 현황이 문서화되어 있는지 확인한다. 특히 개인정보보호법 제30조(개인정보 처리방침의 수립 및 공개) 및 제31조(개인정보 보호책임자의 지정)와 연계하여, AI 모델 교체가 처리방침 변경 사유에 해당하는지 검토하고 필요시 재공개 여부를 점검한다.

2. 인증기준 2.10.2(접속기록의 보관 및 점검)
CNAPP 등 통합 보안 플랫폼 도입 시, AI 시스템 접속 로그가 기존 시스템과 통합 관리되는지, 로그 저장 기간(최소 6개월 이상)이 준수되는지 확인한다. 정보통신망법 제28조(개인정보의 보호조치) 및 동법 시행령 제15조에 따른 접속기록 보관 의무가 AI 모델 변경 시에도 연속성 있게 이행되는지가 핵심 심사 포인트다.

3. 인증기준 3.1.5(개인정보 영향평가) - 인공지능기본법 연계
2026년 현재 인공지능기본법 제51조(고위험 인공지능에 대한 사전점검)가 시행 중이므로, 개인정보를 처리하는 고위험 AI 시스템의 경우 ISMS-P상 개인정보 영향평가와 인공지능기본법상 사전점검을 통합 수행하는 것이 효율적이다. 심사 시 두 제도 간 중복 평가 항목(편향성, 보안성 등)을 확인하고 통합 문서화 여부를 점검한다.

CPPG·ISMS-P 연계 포인트

접근통제의 지속성(Continuity of Access Control)
AI 시스템의 모델 변경, 버전 업그레이드, 클라우드 마이그레이션 등 기술적 변화 상황에서도 접근권한 매트릭스, 인증·인가 정책, 감사 로그가 일관되게 유지되어야 한다는 원칙. ISMS-P 인증기준 2.8장(접근통제) 전반에 적용되며, 특히 DevSecOps 환경에서 중요도가 높다.

증적관리의 자동화(Automated Evidence Management)
ISMS-P 인증 준비 및 사후관리 단계에서 요구되는 각종 증적(정책 문서, 교육 이력, 접속 로그, 취약점 점검 결과 등)을 수작업이 아닌 시스템 차원에서 자동 수집·분류·보관하는 체계. 2.1.4(정보보호 및 개인정보보호 문서 관리), 2.11.1(정보시스템 및 개인정보처리시스템 도입 및 개발 보안) 등 다수 항목과 연관되며, AI 기반 증적관리 솔루션이 확산되는 추세다.