ai거버넌스2 728x90 생성형 AI 를 업무에 쓸 때 정보 유출 막기 — 사내 이용 가이드라인 만드는 법 직원들은 이미 생성형 AI 를 쓰고 있습니다. 금지하면 개인 계정으로 몰래 쓰는 '섀도우 AI' 가 되고, 그 편이 훨씬 위험합니다. 현실적인 답은 써도 되는 도구와 넣어도 되는 정보를 분명히 정해 주는 것입니다. 가이드라인은 길 필요가 없습니다. 아래 네 가지가 들어가면 됩니다.1. 무엇을 넣으면 안 되는가 — 데이터 등급으로가장 중요한 한 줄은 "고객 개인정보·비밀 정보는 넣지 않는다" 입니다. 이미 데이터 분류 등급(공개·내부·비밀 등)이 있다면 그 등급표에 'AI 입력 가능 여부' 열을 하나 더하면 끝납니다. 소스코드는 특히 주의합니다 — 코드 조각에 API 키·내부 호스트명·DB 접속 정보가 섞여 들어가는 일이 잦습니다. 예시 데이터는 가명 처리하거나 만들어 쓰도록 안내합니다.2. 어떤 도구를 .. 2026. 6. 16. 엔터프라이즈 LLM 보안: 프롬프트 인젝션 및 에이전트 오남용 ‘탐지·보호’ “LLM 보안”을 일반 AppSec처럼 만들기엔터프라이즈에서 LLM 보안을 현실적으로 운영하려면, LLM을 “특수한 AI”로 보기보다 (1) 입력-처리-출력 파이프라인을 가진 애플리케이션으로 보고,예방(Prevent): 설계/권한/데이터 경계탐지(Detect): 입력·출력·행위·세션 단위 탐지대응(Respond): 차단·격리·증거수집·재발방지검증(Validate): 레드팀/모의해킹을 CI/CD로 “상시화”이 네 축을 계층별 통제(Defense-in-Depth)로 배치하는 게 핵심입니다. OWASP는 LLM01(프롬프트 인젝션)을 최상단 리스크로 두고, “지시(instruction)와 데이터(data)가 섞이는 구조” 자체가 취약점의 뿌리라고 정리합니다.NIST AI 600-1(생성형 AI 프로파일)은 “.. 2026. 2. 23. 이전 1 다음 728x90 728x90
