AI 앱 트래픽 보안

이 글은 조직 내에서 AI 앱에 안전하게 액세스하는 방법을 설명합니다.

개요

AI 기반 도구 사용은 생산성을 높이지만, 조직에 새로운 보안 챌린지와 위험을 제기합니다. 예를 들어, 사용자가 AI 앱의 무료 티어 버전에 독점 데이터를 입력하면 앱 공급자가 이 정보를 사용할 권리를 가집니다. 악성 행위자는 AI 앱의 LLM을 쿼리하여 독점 데이터를 추출할 수 있습니다. AI 앱의 수가 빠르게 증가함에 따라 보안 팀은 어떤 애플리케이션이 사용 중이며 어디에서 민감한 데이터가 공유되는지 파악하는 문제에 직면합니다.

조직과 민감한 데이터를 보호하면서 AI 애플리케이션을 안전하게 사용하기 위해 Cato에서는 다음과 같은 세 가지 전략을 추천합니다:

가시성 확보: 어떤 AI 애플리케이션이 사용 중인지, 누가 사용하는지, 어떻게 활용되는지를 이해합니다
접근 제어: AI 애플리케이션에 대한 접근을 규제하고 보안 조치를 강화하는 정책을 시행합니다
데이터 보호: AI 애플리케이션 내에서 무단 접근이나 공유를 방지하여 민감한 정보를 보호합니다

기능 조합을 활용하여 이 전략을 구현하고 AI 앱 트래픽을 모니터링 및 보호할 수 있습니다. AI 앱의 카테고리에 대한 접근을 통제하고 특정 AI 앱에 대한 규칙을 설정하기 위해 인터넷 방화벽 규칙을 정의할 수 있습니다. 또한, AI 앱에 액세스하는 사용자들이 기업 테넌트에만 접속하고 세부 행동을 차단하여 독점 정보를 안전하게 유지하기 위한 애플리케이션 정책을 정의할 수 있습니다. 더 강력한 보호 층으로, 민감한 데이터가 AI 앱으로 전송되는 것을 막기 위해 데이터 통제 정책을 구성할 수 있습니다.

환경에서 AI 앱 가시성 확보하기

조직 내에서 사용되는 AI 앱과 관련된 위험을 인식하고 이해함으로써 데이터 누출 위험, 규제 위반 및 잠재적 보안 취약성을 예방할 수 있습니다. 어떤 AI 앱이 사용 중인지, 누가 사용 중인지, 그리고 어떻게 민감한 데이터와 상호작용하는지를 이해함으로써 정책을 강제하고 위협을 완화하며 책임 있는 AI 채택을 보장할 수 있습니다. 가시성은 또한 AI 앱의 잠재적 위험을 평가하고 거버넌스를 유지하며 조직의 보안 프레임워크에 AI 사용을 맞출 수 있습니다.

GenAI 앱 대시보드 및 앱 카탈로그는 환경에서 사용 중인 AI 앱에 대한 가시성과 이해를 제공해 줍니다.

GenAI 대시보드

GenAI 앱 대시보드는 인라인 GenAI 앱 사용을 포함한 중부가시성을 제공합니다. 대시보드는 조직 전체에서 어떤 AI 애플리케이션들이 사용 중인지, 누가 사용하는지, 모든 사용자 상호작용 및 민감한 데이터 공유를 추적합니다. GenAI 앱 대시보드가 제공하는 가시성을 기반으로 위험을 식별하여 데이터를 신속하게 보호할 수 있습니다. 추가 정보는 GenAI 앱 대시보드 사용을 참조하십시오.

앱 카탈로그

앱 카탈로그에는 수백 개의 AI 앱 및 서비스에 대한 보안 데이터, 준수, 일반 정보가 포함되어 있습니다. 여기에는 이 앱 사용의 위험을 평가하기 위한 TPRM(타사 위험 관리)을 수행하기 위한 모든 통찰력이 포함되어 있습니다. 앱에 대해 더 많은 정보를 얻고 조직에서 어떻게 사용할지를 결정하기 위해 카탈로그를 사용할 수 있습니다. 추가 정보는 앱 카탈로그 사용을 참조하십시오.

감사 활동이 GenAI 앱을 지원합니다

감사 활동은 사용자가 연결된 SaaS 애플리케이션에서 수행한 모든 활동을 Cato Cloud에 연결되지 않았더라도 외부에서 볼 수 있는 기능을 제공합니다. Microsoft Copilot과 ChatGPT가 Cato와 통합되어 채팅 및 이 앱에 공유되는 데이터를 볼 수 있게 해줍니다. 추가 정보는 앱 활동을 통한 API의 애플리케이션 제어을 참조하십시오.

사용 사례 - 그림자 AI 식별하기

회사 ABC는 GenAI 앱 대시보드를 검토하고 알 수 없는 AI 기반 코드 분석 도구를 식별합니다. 그들은 앱 카탈로그에서 앱을 검색하고 앱이 위험 점수가 6임을 확인합니다. 민감한 정보가 공개될 위험을 피하기 위해, 그들은 애플리케이션 제어 역할을 만들어 앱에 대한 접근을 차단합니다.

AI 앱에 대한 접근 제어

적절한 접근 제어 없이 사용자가 AI 모델에 기밀 정보를 무심코 입력하면 데이터 누출이나 규제 위반으로 이어질 수 있습니다. 게다가, 검토되지 않은 AI 애플리케이션은 보안 취약점을 초래하거나 독점 코드를 노출하거나 오해의 소지가 있는 또는 유해한 내용을 생성할 수 있습니다. 엄격한 접근 정책을 시행하여 권한이 부여된 사용자만 허가된 AI 도구에 접근할 수 있도록 보장하여 AI 채택을 가능하게 하면서 위험을 최소화할 수 있습니다.

앱 카테고리에 대한 접근 제어

Cato는 일반 생성 AI 도구 카테고리 외에도 AI 앱에 대해 8개의 시스템 카테고리를 유지합니다. 이들은 인터넷 방화벽에서 코드 어시스턴트 앱 또는 ChatGPT, AgentGPT, Google Bard, Elicit AI, MagicPen AI, Poe AI, OpenAI 등을 포함한 가장 인기 있는 AI 앱 카테고리에 대한 접근을 통제하는 데 사용됩니다.

특정 AI 앱이나 앱 카테고리에 대한 규칙도 정의할 수 있습니다. 예를 들어, 생성 AI 도구 카테고리에 대한 트래픽을 차단하는 규칙을 만든 후, ChatGPT에 대한 트래픽을 허용하는 더 높은 우선 순위의 규칙을 생성하여 접근이 필요한 특정 사용자 그룹에 허용할 수 있습니다. 추가 정보는 Cato 인터넷 방화벽이란 무엇인가?을 참조하십시오..

다음 예제 인터넷 방화벽 규칙은 User Group 연구팀이 ChatGPT에 접근할 수 있게 하며 생성 AI 도구 카테고리에 다른 모든 접근을 차단합니다.

애플리케이션 정책을 통해 특정 기준에 따라 앱 접근을 세분화하여 제어할 수 있으며, 여기에는 앱의 위험 점수 또는 준수가 포함됩니다. 애플리케이션 정책 규칙 구성에 대한 자세한 내용은 애플리케이션 정책 관리을 참조하십시오.

테넌트 접근 제어

앱의 무료 티어에서 독점 정보가 노출되는 것을 방지하기 위해 사설 계정 접근을 차단하고 오직 기업 테넌트에만 접근을 허용하는 애플리케이션 정책 규칙을 만들 수 있습니다. 예를 들어, OpenAI 앱의 규칙을 정의하여 조직의 테넌트에 대한 로그인 활동만을 허용하고, 다른 모든 로그인(예: 개인 이메일 주소로의 로그인)을 차단할 수 있습니다.

아래는 첫 번째 규칙이 회사 도메인이 포함된 사용자 이름의 OpenAI 로그인 혀용 후에 다음 규칙들이 OpenAI에 대한 직접 및 타사 인증을 통한 모든 로그인을 차단하는 샘플 규칙집입니다.

세부 활동 제어

일부 앱에는 꼭 필요한 애플리케이션에 대한 접근을 허용하는 동시에 위험한 활동을 차단하여 보안과 생산성을 균형 있게 유지할 수 있습니다. 이를 실행하기 위해 세분화된 활동이 포함된 애플리케이션 정책 규칙을 만들 수 있습니다. 예를 들어, Wordtune에 대한 접근을 허용하되 사용자가 파일을 업로드하는 것을 차단할 수 있습니다.

임시 채팅 강제 적용 (ChatGPT)

ChatGPT는 사용자 프라이버시를 강화하기 위해 설계된 임시 채팅 기능을 제공합니다. OpenAI에 따르면, 이러한 채팅은 사용자의 기록에 나타나지 않으며, 메모리에 저장되지 않고, 모델 학습에 사용되지 않습니다. 그러나 이 프라이버시 안전장치는 기본적으로 비활성화되어 있습니다. 사용자가 수동으로 이를 활성화하지 않으면, 모든 상호작용이 저장되어 업무 관련 사용 시 잠재적 위험을 초래할 수 있습니다.

응용 프로그램 제어 정책은 사용자가 임시 채팅 중인지 감지할 수 있으며, 그렇지 않은 경우 트래픽을 차단할 수 있습니다. 이를 통해 조직은 사용자가 ChatGPT에 접근할 수 있도록 하면서도 민감한 데이터가 실수로 노출되지 않도록 보장할 수 있습니다.

민감한 데이터 보호

GenAI 앱은 사용자 입력을 처리하는 방법이 데이터를 누출할 수 있으며, 사용자가 무심코 독점 코드, 개인 식별 정보(PII) 또는 기밀 비즈니스 데이터를 공유할 수 있습니다. Cato DLP 서비스는 AI 앱 내에서 콘텐츠를 스캔하고 정책을 시행하여 사용자가 앱을 사용할 때 민감한 데이터를 유출하지 않도록 돕습니다. GenAI 앱에 대한 DLP 규칙을 생성하여 AI 모델에 민감한 데이터가 입력되는 것을 탐지하고 차단하는 정책을 강제할 수 있습니다.

사전 정의된 데이터 프로파일

Cato의 DLP 서비스는 고급 기술을 사용하여 트래픽 흐름에서 민감한 데이터를 감지할 수 있는 수십 개의 모델을 사용합니다. 여기에는 금융, 법률, 인사, 이민 및 의료와 같은 카테고리가 포함됩니다. 또한, DLP는 GenAI 앱에 사용할 수 있는 데이터 유형도 포함합니다. 예를 들어, PII 데이터 프로파일에는 신용 카드 정보 및 운전 면허와 같은 데이터 유형이 포함됩니다. 이것은 관련 민감 데이터에만 적용되는 세분화된 정책을 생성하고 AI 앱 내에서 이를 사용하지 않도록 방지합니다.

사전 정의된 데이터 프로파일이 사용자 파일/데이터를 제공하여 맞춤형 ML 모델을 훈련시킬 수 있습니다. 고급 AI 엔진은 이 입력을 학습하고 맥락을 추론하여 동일한 도메인 안의 민감한 데이터를 후에 감지합니다.

추가 정보는 DLP에 대한 맞춤형 데이터 유형 작업을 참조하십시오.

사전 정의된 데이터 위반 모니터링

참고

참고: 이 기능은 2025년 3월 25일 이후에 생성된 계정에서 기본으로 제공됩니다. 이 날짜 이전에 생성된 계정의 경우, 데이터 유형을 수동으로 생성할 수 있습니다. 자세한 정보는 AI 앱 모니터링을 위한 권장 DLP 구성을 참조하십시오.

애플리케이션 제어 및 DLP 정책에는 사전 정의된 Cato 권장 규칙이 포함되어 있습니다. 여기에는 AI 앱 보호를 위한 규칙이 포함되어 있습니다. 기본적으로 DLP는 GenAI 도구에 업로드되는 다음 데이터 유형을 모니터하고 이벤트를 생성합니다:

개인 식별 정보
재무 데이터
액세스 키 및 토큰
법률 데이터

사용 사례 - 데이터 정책 위반 식별

회사 ABC는 새로운 SaaS 애플리케이션에 대한 구독 계약을 체결하고 있습니다. 그들은 계약서를 서명하기 위해 전달받고, 사용자가 계약서를 검토 및 요약하기 위해 높은 위험의 GenAI 앱의 무료 티어에 업로드합니다. 사전 정의된 DLP 규칙은 보안 팀에 이 정책 위반에 대한 경고 이벤트를 생성합니다.