이 글에서는 조직 내에서 AI 앱에 대한 안전한 접근 방법을 설명합니다．
AI 기반 도구의 사용은 생산성을 높이지만 조직에 새로운 보안 과제와 위험을 제기합니다. 예를 들어, 사용자들이 AI 앱의 무료 버전에 독점 데이터를 입력하면 앱 공급업체가 이 정보를 사용할 권한을 가지게 됩니다. 악성 행위자는 AI 앱의 LLM을 쿼리하여 독점 데이터를 추출할 수 있습니다. AI 앱의 수가 급속히 증가함에 따라 보안 팀은 어떤 애플리케이션이 사용 중이며 어디서 민감한 데이터가 공유되고 있는지를 아는 것에 어려움을 겪고 있습니다.
조직과의 민감한 데이터를 보호하면서 안전한 AI 애플리케이션 사용을 가능하게 하기 위해, 카토는 세 부분으로 나누어진 전략을 권장합니다:
-
가시성 확보: 어떤 AI 애플리케이션이 사용 중인지, 누가 그것을 사용 중인지, 어떻게 사용되고 있는지를 이해하세요
-
접근 제어: AI 애플리케이션에 대한 접근을 규제하기 위한 정책을 구현하고 보안 조치를 시행하세요
-
데이터 보호: AI 애플리케이션 내에서 무단 접근이나 공유를 방지하여 민감한 정보를 보호하세요
기능 조합을 활용하면 이 전략을 구현하고 AI 앱 트래픽을 모니터링하고 보호할 수 있습니다. 인터넷 방화벽 규칙을 정의하여 AI 앱의 카테고리에 대한 접근을 제어하고 특정 AI 앱에 대한 규칙을 설정할 수 있습니다. 또한, 애플리케이션 제어 정책을 정의하여 사용자들이 AI 앱의 엔터프라이즈 테넌트만 접근하거나 세부적인 동작을 차단하여 독점 정보를 안전하게 보호할 수 있습니다. 또 다른 보호 계층으로, 민감한 데이터가 AI 앱으로 전송되는 것을 방지하기 위해 데이터 제어 정책을 구성할 수 있습니다.
조직 내에서 사용되는 AI 앱과 관련된 위험을 알고 이해함으로써 데이터 유출 위험, 규정 준수 위반, 잠재적 보안 취약성을 예방할 수 있습니다. 어떤 AI 앱이 사용 중인지, 누가 그것을 사용 중인지, 어떤 방식으로 민감한 데이터와 상호작용하는지를 이해하면 정책을 시행하고 위협을 완화하며 책임있는 AI 채택을 보장할 수 있습니다. 가시성은 또한 AI 앱의 잠재적 위험을 평가하고, 거버넌스를 유지하며, AI 사용을 조직의 보안 프레임워크와 일치시키는 데 도움을 줍니다.
GenAI 앱 대시보드와 앱 카탈로그는 환경에서 사용되는 AI 앱의 가시성과 이해를 제공합니다.
GenAI 앱 대시보드는 중앙에서 포괄적인 인라인 GenAI 앱 사용에 대한 가시성을 제공하며, 섀도우 AI도 포함됩니다. 대시보드는 조직 전반에서 어떤 AI 애플리케이션이 사용되고 있는지, 누가 사용하는지에 대한 세부 정보를 제공하며 모든 사용자 상호작용과 민감한 데이터 공유를 추적합니다. GenAI 앱 대시보드가 제공하는 가시성을 통해 위험을 식별하여 데이터 유출을 사전에 방지할 수 있습니다. 자세한 정보는 GenAI 앱 대시보드 사용을 참조하세요.
앱 카탈로그는 수백 개의 AI 앱과 서비스에 대한 광범위한 보안 데이터, 규정 준수, 일반 정보를 포함하고 있습니다. 이에는 TPRM(제3자 위험 관리)을 수행하고 이 앱 사용 시 위험을 평가할 수 있는 모든 인사이트가 포함됩니다. 조직에서 앱을 어떻게 사용할지를 결정하기 위해 카탈로그를 사용하여 애플리케이션에 대해 더 많은 정보를 배울 수 있습니다. 자세한 정보는 앱 카탈로그 사용을 참조하세요.
감사 활동은 사용자가 Cato 클라우드에 연결되어 있지 않더라도 연결된 SaaS 애플리케이션에서 사용자가 수행한 모든 활동을 대역 외 가시성으로 제공합니다. Microsoft Copilot과 ChatGPT는 Cato와 통합되어 이 앱에 공유된 채팅과 데이터를 보여줍니다. 자세한 정보는 앱 활동을 통한 API 애플리케이션 제어란?을 참조하세요.
적절한 접근 제어가 없으면 사용자가 무심코 AI 모델에 기밀 정보를 입력하여 데이터 유출 또는 규제 위반이 발생할 수 있습니다. 비검증된 AI 애플리케이션은 보안 취약성을 초래하거나 독점 코드를 공개하거나 오해의 소지 또는 해로운 콘텐츠를 생성할 수 있습니다. 엄격한 접근 정책을 시행하여 승인된 사용자만 승인된 AI 도구와 상호작용하도록 함으로써 위험을 최소화하면서 AI 도입을 가능하게 할 수 있습니다.
카토는 일반 생성 AI 도구 카테고리 외에도 AI 앱에 대해 8 시스템 카테고리를 유지합니다. 이는 인터넷 방화벽에서 코드 어시스턴트 앱 또는 ChatGPT, AgentGPT, Google Bard, Elicit AI, MagicPen AI, Poe AI, OpenAI 등과 같은 인기 있는 AI 앱에 대한 접근을 제어하는 데 사용될 수 있습니다.
특정 AI 앱이나 앱 카테고리에 대한 규칙을 정의할 수도 있습니다. 예를 들어, 생성적 AI 도구 범주의 트래픽을 차단하는 규칙을 만든 후, ChatGPT에 접근이 필요한 특정 사용자 그룹의 트래픽을 허용하는 더 높은 우선순위의 규칙을 만들 수 있습니다． 자세한 정보는 Cato 인터넷 방화벽이란?을 참조하세요.
다음 예시는 인터넷 방화벽 규칙으로 사용자 그룹 연구팀이 ChatGPT에 접근할 수 있도록 하며, 생성적 AI 도구 범주에 대한 모든 접근을 차단합니다：
애플리케이션 제어 정책은 앱의 위험 점수나 규정 준수 수준과 같은 특정 기준에 따라 앱 접근을 세부적으로 제어할 수 있습니다. 애플리케이션 제어 정책 구성을 더 알아보려면 애플리케이션 제어 정책 관리를 참고하세요．
앱의 무료 버전에서 독점 정보가 노출되는 것을 방지하기 위해, 애플리케이션 제어 정책에 사용자가 비공개 계정에 접근하지 못하도록 하고, 오직 귀하의 기업 테넌트에만 접근을 허용하는 규칙을 생성할 수 있습니다． 예를 들어, 귀 조직의 테넌트로만 로그인 활동을 허용하고 모든 다른 로그인을 차단하는 OpenAI 앱 규칙을 정의할 수 있습니다 (예를 들어, 비공개 이메일 주소로 로그인하는 경우)．
아래는 첫 번째 규칙이 회사 도메인을 포함한 사용자 이름으로 OpenAI에 로그인할 수 있도록 허용한 다음, 직접 및 타사 인증을 통해 OpenAI로의 모든 로그인을 차단하는 샘플 규칙 집합입니다．
GenAI 앱은 사용자의 입력을 처리하는 과정에서 데이터 유출을 초래할 수 있으며, 사용자가 실수로 독점 코드를 공유하거나 개인 식별 가능 정보(PII) 또는 기밀 사업 데이터를 공유할 수 있습니다. 카토 데이터 유출 방지(DLP) 서비스는 AI 앱에서 콘텐츠를 스캔하고 정책을 시행하여 사용자가 앱 사용 시 민감한 데이터를 손상시키지 않도록 도와줍니다. GenAI 앱을 위한 DLP 규칙을 생성하여 AI 모델에 민감한 데이터가 입력되지 않도록 감지하고 차단하는 정책을 시행할 수 있습니다.
Cato의 DLP 서비스는 고급 기술을 사용하여 트래픽 흐름에 민감한 데이터를 감지할 수 있는 수십 개의 모델을 사용합니다. 여기에는 금융, 법률, 인사, 이민, 의료와 같은 카테고리가 포함됩니다. 또한, DLP에는 GenAI 앱에서 사용할 데이터 유형도 포함됩니다. 예를 들어, PII 데이터 프로필에는 신용 카드 정보 및 운전 면허 정보와 같은 데이터 유형이 포함됩니다. 이것은 관련 민감 데이터에만 적용되는 세부적인 정책을 생성하고 AI 애플리케이션에서 사용하지 못하도록 방지합니다.
미리 정의된 데이터 프로필은 사용자가 지정한 파일/데이터를 사용하여 맞춤형 ML 모델을 훈련할 수 있습니다. 고급 AI 엔진은 이 입력에서 학습하여 문맥을 추론하고 나중에 동일한 도메인 내 민감한 데이터를 감지합니다.
자세한 정보는 DLP를 위한 사용자 정의 데이터 타입 작업을 참조하세요.
Note
참고: 이 기능은 2025년 3월 25일 이후에 생성된 계정에서 기본적으로 제공됩니다. 이 날짜 이전에 생성된 계정은 수동으로 데이터 유형을 생성할 수 있습니다. 자세한 정보는 AI 앱 모니터링을 위한 권장 DLP 규칙을 참조하세요.
애플리케이션 제어 및 DLP 정책에는 미리 정의된 Cato 권장 규칙이 포함되어 있습니다. 여기에는 AI 앱 보호 규칙이 포함되어 있습니다. 기본적으로 DLP는 다음 데이터 유형이 GenAI 도구에 업로드되는 이벤트를 모니터링하고 생성합니다:
-
PII
-
금융 데이터
-
액세스 키 및 토큰
-
법률 데이터
댓글 0개
이 문서에는 댓글을 달 수 없습니다.