위드네트웍스, N²SF 첫 단추 ‘자산·위협 관리’로 푼다

[인터뷰] 이용 위드네트웍스 상무

국가망보안체계(N²SF) 가이드라인 1.0이 정식 발표된 후 공공 보안의 초점이 ‘망분리’에서 ‘업무·정보 중요도와 실제 위험도에 따른 차등 통제’로 이동하고 있다.

5일 바이라인네트워크와 만난 위드네트웍스(WithNetworks)는 이런 전환 국면에서 자산 관리와 위협 관리의 정밀도가 N²SF 구현의 출발점이자 성패를 가르는 조건으로 보고, 자산·취약점 통합 관리 솔루션 ‘withVTM’을 중심으로 한 실질적인 대응 전략을 제시한다고 5일 밝혔다.

N²SF의 첫 단추는 ‘자산’

N²SF는 기관의 업무 정보를 기밀(C)·민감(S)·공개(O) 3단계로 분류하고, 등급과 위협 수준에 따라 6개 영역에서 통제를 차등 적용하는 공공 보안 프레임워크다. 핵심은 ‘망을 어떻게 나누느냐’가 아니라 ‘어떤 업무·정보를 어떻게 보호하느냐’로 관점을 전환하는 데 있다.

하지만 정책이 바뀌었다고 현장에 바로 적용하기는 쉽지 않다. 많은 공공기관에서 자산 정보는 ‘’구성관리 데이터베이스(CMDB)’나 엑셀에, 업무 정보는 기획 문서에, 보안 정보는 개별 솔루션에 흩어져 있다. 이 상태로는 정보서비스 모델 정의, 데이터 분류, 보호수준 결정, 제로트러스트 아키텍처 등 주요 설계를 한 번에 적용하기 어렵다.

이용 위드네트웍스 정보보호부 부서장(상무)는 “N²SF를 하기 위해서는 자산을 어떻게 정리할 것인지가 먼저 되어야 한다”며 “그래야 데이터 등급 분류부터 시작할 수 있다”고 강조했다. 이어 그는 “자산이 정리되지 않으면 위협도 정확히 볼 수 없다. 무엇이 어디에 있고, 어떤 서비스가 열려 있으며, 누가 소유하고 운영하는지 모르는 상태에서 ‘차등 통제’는 문서에만 있는 정책으로 남기 쉽다. 그래서 N²SF에서 자산 관리는 단순 목록화 작업이 아니라, 정책과 통제를 현실에 맞게 짜는 입력값에 가깝다”고 설명했다.

‘목록 관리’에서 ‘의사결정 기준’으로…자산 관리 관점의 변화

이 상무는 N²SF 시대의 위험 관리를 “목록 관리에서 의사결정 기반으로 바꿔야 한다”고 표현했다. 단순히 자산 목록을 늘리고 취약점 항목을 쌓는 게 아니라, “실제 위험이 나오면 무엇을 먼저 해야 할지, 노출된 게 무엇인지, 왜 위험한지”를 똑똑하게 설명해 주는 플랫폼이 필요하다는 의미다.

이 관점은 N²SF 적용 과정에서 가장 먼저 부딪히는 지점을 보여준다. N²SF는 통제를 촘촘하게 나열해도 결국 현장에서 “지금 우리 기관이 먼저 손대야 할 위험은 무엇인가”를 고르지 못하면 작동하지 않는다는 것이다. 선택지를 줄이고 우선순위를 세우는 ‘의사결정 지표’가 있어야 한다는 설명이다.

위드네트웍스가 제시한 N2SF 구축 단계에서 필요한 자산 구성도

withVTM, ‘그림자 IT’까지 자산 자동 식별

위드네트웍스가 N²SF의 시작 단계인 자산 식별을 위해 제시한 솔루션이 ‘withVTM’이다. withVTM은 전사 자산을 식별하고, 자산 중요도와 취약점 정보를 결합해 ‘무엇을 먼저 조치해야 하는지’ 우선순위를 제시하는 자산·보안 취약점 통합 관리 솔루션이다. 자산 현황과 중요도, 취약점과 위협 정보, 조치·규제 대응 흐름을 한데 묶어 보안 거버넌스 운영에 필요한 판단 근거를 제공하는 구조다.

이 기본 틀 위에서 withVTM은 ‘섀도우 IT(조직이 통제하지 못하는 비인가 자산)’까지 포함해 전사 자산을 자동 탐지해 가시성을 확보하는 기능을 전면에 둔다. N²SF가 요구하는 ‘업무·정보 중심 통제’를 하려면, 먼저 업무를 구성하는 자산을 빠짐없이 발견해야 한다. 관리 밖 자산은 패치·계정·접근통제가 느슨해지기 쉬워 공격 경로로 악용될 가능성이 크다.

이를 위해 withVTM는 ‘섀도IT 스캐너’ 기능을 사용한다. 네트워크 스캔 기반으로 미식별 IP와 열린 포트를 찾고, AI 기반 운영체제(OS) 분석을 더해 에이전트를 설치하기 어려운 장비까지 탐지 범위를 넓힌다.

이 상무는 “에이전트를 깔 수 없는 자산도 있다”며 “네트워크 보안 장비 같은 장비들은 에이전트를 설치할 수 있는 형태가 아니다 보니, 밖에서라도 위험 노출을 주기적으로 확인해 줘야 한다”고 설명했다. 즉 단말·서버는 에이전트 기반으로, 설치가 어려운 장비는 에이전트리스(Agentless, 에이전트 설치가 필요 없는) 스캐닝으로 가시성을 맞추는 하이브리드 운영이 현실적이라는 취지다.

“CVSS 점수 낮아도, 외부에 노출되면 위협”…실제 위험도 계산

두 번째는 ‘위험도 산정(VRS) 스코어링’이다. withVTM는 특허를 받은 인공지능(AI) 기반 VRS 스코어링 기술로 자산의 중요도와 위협 정보를 종합 분석해 대응 우선순위를 제공한다.

위드네트웍스는 기존의 ‘공통 취약점 점수 시스템(CVSS)’ 체계만으로는 N²SF 적용 현장의 우선순위를 만들기 어렵다고 보고, 외부 공격 동향을 반영하는 별도의 더 자세한 점수 체계를 만들었다. 이 상무는 “다크웹 같은 데에서 지금 나와 있는 정보의 선호도를 보고, 이런 요소들을 취합해서 별도의 점수 체계를 구축해서 계속 쌓아가고 있다”고 말했다.

VRS 스코어링의 핵심은 ‘맥락 정보(컨텍스트)’에 있다. 이 상무는 “같은 취약점도 맥락에 따라 자산마다 점수가 다르게 나오게 설계한다”며 “기본 CVSS 점수는 낮은 취약점이라도, 만약 외부에 노출돼 있고 서비스가 열려 있다면 적용할 때의 취약점 점수는 높게 측정돼야 한다”고 설명했다. N²SF가 요구하는 건 바로 이 ‘현실적인 위험도’다. 통제를 정책상 동일하게 적용하는 게 아니라, 위험도를 근거로 강화하거나 완화해야 하기 때문이다.

단일 제품 넘어 ‘N²SF 정책 결정’ 지원

위드네트웍스는 withVTM을 ‘엔진’ 또는 ‘플랫폼’으로 표현한다. 이 상무는 산업별로 요구가 갈린다고 설명했다. 그는 “금융권에서는 엔진으로 쓰이는데 공공 분야에서는 플랫폼이 되어야 했다”며 “분야마다 원하는 것도 다르고 주로 사용하는 기능도 달라진다”고 설명했다.

위드네트웍스가 withVTM을 ‘엔진’ 또는 ‘플랫폼’으로 보는 관점은 N²SF의 주요 방법론으로 거론되는 제로트러스트와도 맞닿아 있다. 제로트러스트는 접속을 허용할지를 매 요청마다 판단해야 하는데, 이 판단의 근거가 되는 정보가 흩어져 있으면 정책이 작동하기 어렵다. 그래서 정책결정지점(PDP)에서는 사용자·단말·서비스 요청을 평가할 때 자산의 중요도, 현재 위험도, 자산이 속한 망 구간, 계정·소유자 같은 업무·운영 시의 맥락 정보가 함께 있어야 판단이 가능하다.

이때 withVTM은 자산 식별과 취약점·노출 상태 분석으로 만든 ‘컨텍스트’를 정책 엔진에 공급하는 역할을 맡는다. 예를 들어 같은 ‘민감(S)’ 업무라도 외부 노출 서비스가 열려 있거나 악용 가능성이 높은 취약점이 확인되면 위험도가 올라가고, PDP는 그 값을 근거로 접근을 제한하거나, 추가 인증을 요구하거나, 접속 경로를 우회시키는 식으로 통제를 강화한다. 반대로 위험도가 낮고 통제가 충분한 자산에는 불필요한 차단을 줄여 업무 흐름을 유지할 수 있다. 즉, withVTM이 제공하는 맥락 정보가 PDP의 판단을 ‘위험 기반’으로 바꿔, N²SF가 요구하는 차등 통제를 운영 단계에서 구현하게 해준다는 것이다.

이 상무는 “특정 자산의 목록이나 특정 취약점만 관리하겠다는 것이 아니다”며 “자산·취약점을 유기적으로 묶어서 우리에게 위험이 무엇인지 먼저 알려주고, 왜 위험한지 보여주며 관리 자동화를 도와주는 엔진이자 플랫폼”이라고 설명했다. 이어 “N²SF가 요구하는 모든 통제를 커버하는 제품이 아니라, N²SF의 통제 설계·운영이 돌아가도록 자산·위험·업무에 대한 맥락 정보를 정리해 정책 엔진과 운영 도구에 공급하는 기반 플랫폼이 되는 것이 목표”라고 말했다.

금융·통신·에너지 등 국가 기반 산업에서 문의 늘어

위드네트웍스는 최근 공공기관과 함께 국가 주요 기반 시설 분야에서 N²SF 구축 단계에서 자산 식별을 위한 문의가 늘고 있다고 전했다. 이 상무는 “에너지, 통신 등 국가 기반 시설 분야와 1금융권의 움직임이 뚜렷하다”고 말했다. 이어 “금융 분야에서 최근 추진 중인 자율 보안 체계도 N²SF와 비슷한 흐름인데, 마찬가지로 자산 식별이 중요하다. 금융권에서는 자산을 정확히 식별한 뒤 자율 보안 체계에 어떤 보안을 더 적용할지 판단하려고 하고 있다”고 덧붙였다.

실제로 위드네트웍스는 2025년 9월 한국주택금융공사의 ‘정보보안통합포탈 구축사업’을 수주해 withVTM 기반 체계를 적용한 바 있다. 공사는 사내 통합포털에 서버·네트워크 장비 등 정보자산의 실시간 탐색·자동 분류, 취약점 점검과 보안 취약점 상관관계 분석, 보안 업무 프로세스 체계화·전산화 기능을 구축했다. 이를 통해 공사 전체의 정보자산 관리와 보안 취약점 점검을 자동화하고 보안 업무를 하나의 플랫폼에서 관리해 효율성을 높였다는 설명이다.

통제 연동의 전제는 자산 관리…N²SF 운영 정교함의 출발점

이 상무는 N²SF 구현에서 중요한 건 ‘통제 항목을 얼마나 많이 갖췄느냐’가 아니라 ‘운영이 얼마나 정교하게 돌아가느냐’라고 설명했다. 그는 “정교함은 연동에서 나온다”며 “취약점 관리 솔루션과 다양한 보안 솔루션을 연계해 자산 관리의 정확도를 올리고 자동화할 수 있도록 설계해야 한다”고 강조했다.

그가 말한 연동은 단순히 제품을 붙이는 수준이 아니다. 그는 “포트, 프로세스처럼 따로따로 보이는 정보를 하나로 엮어 서비스 흐름으로 보여주는 게 중요하다”고 설명했다. 서비스가 어떤 구성요소 조합으로 돌아가는지까지 연결해서 보여줘야, 운영자가 위협을 감지했을 때 ‘지금 조치해야 하는 대상’을 빠르게 정할 수 있다는 것이다.

자산 관리에서 운영 공백을 줄이기 위한 연동도 언급했다. 이 상무는 공공기관에서 반복되는 인사 이동 관례를 언급하며 “인사DB와 연동해 자산의 책임자·담당 부서를 자동으로 매핑하고, 담당이 바뀌면 그 사람에게 자산과 관련된 경보가 가도록 설계한다“고 말했다. 자산과 사람을 끊기지 않게 연결해야, 자산 위험 관리가 특정 개인의 경험에 의존하지 않고 운영될 수 있다는 판단이다.

위드네트웍스는 2009년 11월 설립된 ICT 기업으로, 정보보안과 IT 인프라를 아우르는 통합 ICT 파트너를 표방한다. 공공·민간 네트워크 인프라 구축과 함께 보안정보이벤트관리(SIEM), 보안 오케스트레이션 자동화 대응(SOAR) 같은 보안 운영 영역에서 사업을 전개해 왔다. 최근에는 자산·취약점 통합 관리 솔루션 ‘위드브이티엠(withVTM)’을 중심으로 N²SF 도입을 준비하는 공공기관과 금융권의 보안 거버넌스 수요에 대응하고 있다.

---

원문 보기

바이라인네트워크