💻 computer science

Towards the Development of an LLM-Based Methodology for Automated Security Profiling in Compliance with Ukrainian Cybersecurity Regulations

이 논문은 우크라이나의 사이버 보안 규정을 준수하기 위해 ISO/IEC 27001 및 NIST 프레임워크와 같은 국제 모범 사례를 통합하고, 국가 규정과 조직 정책을 벡터 데이터베이스로 구축한 RAG 기반의 LLM 을 활용하여 보안 프로파일링을 자동화하는 방법론을 제안합니다.

원저자: Daniil Shafranskyi, Iryna Stopochkina, Mykola Ilin

게시일 2026-04-09

📖 3 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Daniil Shafranskyi, Iryna Stopochkina, Mykola Ilin

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

🏠 비유: "맞춤형 보안 시스템 설계사"

상상해 보세요. 여러분이 **새로운 아파트 (정보 시스템)**를 짓고 있다고 칩시다.
이 아파트는 도둑이 들어오지 않도록 강력한 보안 시스템이 필요합니다.

문제점 (기존 방식):
- 과거에는 보안 전문가 (건축가) 가 수백 페이지에 달하는 **법규 책자 (우크라이나의 ND TPI 규정)**를 직접 뒤적이며, "이 아파트는 어떤 층에 있고, 어떤 재료를 썼으니, 이 문은 이렇게 잠가야 해"라고 하나하나 손으로 적었습니다.
- 이 과정은 시간이 너무 오래 걸리고, 실수할 가능성도 높았으며, 법규가 바뀌면 다시 처음부터 해야 하는 번거로움이 있었습니다.
해결책 (이 논문의 제안):
- 연구자들은 **AI(대형 언어 모델, LLM)**를 고용하여 이 일을 대신하게 했습니다. 하지만 AI 가 아무 말이나 지어내면 안 되니까, **실제 법규 책자를 AI 의 눈앞에 펼쳐둔 상태 (RAG 기술)**로 작업하게 했습니다.
- 마치 AI 비서가 "이 아파트의 특징 (입주민, 사용 목적 등)"을 듣고, 법규 책자를 빠르게 찾아보며 "이 문은 A 규정에 따라 잠그고, 이 창문은 B 규정에 따라 강화하세요"라고 초안을 만들어주는 것입니다.

🔍 핵심 내용 3 가지

1. "기본 설계도"에서 "맞춤 설계도"로

기본 설계도 (Base Profile): 모든 아파트에 공통으로 적용되는 최소한의 보안 규칙입니다. (예: 모든 문은 잠겨야 함)
맞춤 설계도 (Target Profile): 하지만 아파트마다 다릅니다. 병원이라면 환자 정보가 중요하고, 은행이라면 돈이 중요하죠.
이 연구의 역할: AI 가 "이 아파트는 병원이다"라고 입력받으면, 기본 설계도를 가져와서 병원 특성에 맞게 수정해 줍니다. (예: "환자 기록실 문은 24 시간 감시 카메라를 추가해야 함")

2. AI 가 "환각 (Hallucination)"을 하지 않게 하는 비결

AI 는 가끔 없는 사실을 지어내는 '환각' 현상이 있습니다. 보안에서는 치명적입니다.
이 논문은 RAG(검색 증강 생성) 기술을 썼습니다.
- 비유: AI 가 시험을 볼 때, 공부한 기억 (학습 데이터) 만 믿지 않고, 시험장에 '법규 책자'를 두고 그 내용을 찾아보며 답을 쓰게 한 것입니다.
- 그래서 AI 가 만든 보안 계획은 실제 우크라이나 법규와 100% 일치하며, 어디서 그 규칙을 가져왔는지 출처를 명시할 수 있습니다.

3. "인간 감독관"의 역할 (Human-in-the-loop)

AI 가 모든 것을 다 결정하는 것은 아닙니다.
비유: AI 는 수석 설계사가 되어 초안을 100% 작성해 줍니다. 하지만 최종 승인권은 **건축주 (인간 전문가)**에게 있습니다.
AI 가 "이 문은 이렇게 잠가야 합니다"라고 제안하면, 인간 전문가가 "그래, 이 아파트 상황엔 맞네"라고 확인하고 서명합니다. 이렇게 하면 실수를 막고 책임 소재도 명확해집니다.

🧪 실험 결과: 어떤 AI 가 가장 잘했을까?

연구진은 세 가지 유명한 AI (Claude, Gemini, ChatGPT) 를 시험해 보았습니다.

결과: Claude가 가장 빠르고 정확하게 "맞춤형 보안 계획서"를 만들어냈습니다.
성공률: AI 가 만든 계획의 75% 는 전문가가 확인했을 때 수정 없이 그대로 쓸 수 있을 만큼 정확했습니다.
주의점: 하지만 입력된 아파트 정보가 부족하면 (예: "어떤 층인지 알려주지 않음"), AI 는 헛소리를 할 확률이 높아졌습니다. 그래서 사용자가 정확한 정보를 주는 것이 중요하다는 교훈을 얻었습니다.

💡 결론: 왜 이 연구가 중요한가요?

이 논문은 **"복잡한 법규를 AI 가 대신 정리해주고, 인간은 최종 확인만 하면 된다"**는 새로운 방식을 제시합니다.

시간 절약: 수주 걸리던 보안 계획 수립을 몇 분 만에 끝낼 수 있습니다.
오류 감소: 사람이 실수할 확률을 줄여줍니다.
유연성: 우크라이나처럼 전쟁 상황이나 빠른 법규 변화 속에서, 조직이 즉시 대응할 수 있는 보안 체계를 쉽게 만들 수 있게 해줍니다.

요약하자면, **"AI 가 법규 책을 들고 와서 우리 집 (시스템) 에 맞는 보안 계획을 짜주지만, 최종 키는 우리가 쥔다"**는 똑똑하고 안전한 방법론을 제안한 것입니다.

논문 요약: 우크라이나 사이버 보안 규정을 준수한 LLM 기반 자동화 보안 프로파일링 방법론 개발

1. 문제 제기 (Problem Statement)

배경: 우크라이나는 정보 시스템 보호를 위해 국제 표준 (ISO/IEC 27001, NIST Cybersecurity Framework) 을 반영한 새로운 규제 프레임워크 (ND TPI 3.6-006-24) 를 도입했습니다. 이 프레임워크는 위험 기반 접근 방식을 채택하여 '기본 보안 프로파일 (Base Profile)'을 기반으로 특정 시스템에 맞는 '목표 보안 프로파일 (Target Security Profile, TSP)'을 도출하도록 요구합니다.
현황 및 한계: 현재 TSP 도출 과정은 보안 전문가가 방대한 규제 문서와 시스템 컨텍스트를 수동으로 분석하여 수행합니다. 이는 시간이 많이 소요되고, 인간의 실수를 유발하며, 복잡한 하이브리드 위협 환경에서 신속한 대응을 어렵게 만듭니다.
연구 격차: 우크라이나의 새로운 위험 기반 승인 방식과 이를 실무적으로 구현할 수 있는 명확하고 재현 가능한 워크플로우 사이의 간극이 존재합니다. 특히 자동화되고 설명 가능하며 규정을 인지하는 TSP 도출 방법의 부재가 주요 문제입니다.

2. 제안된 방법론 (Methodology)

이 논문은 검색 증강 생성 (RAG, Retrieval-Augmented Generation) 기술을 활용한 대형 언어 모델 (LLM) 기반 어드바이저를 제안합니다.

핵심 아키텍처:
- 데이터베이스: 우크라이나의 규제 문서 (ND TPI 3.6-006-24) 와 조직 정책을 벡터 데이터베이스에 저장합니다.
- LLM-RAG 모델: 시스템 설명 (System Passport) 을 입력받아 관련 규제 조항을 검색 (Retrieval) 하고, 이를 바탕으로 생성 (Generation) 을 수행합니다.
- 출력 구조: 각 기본 제어 항목 (Baseline Control) 에 대해 결정 (유지, 정제, 강화, 추가, 보상), 매개변수 구체화, 근거, 검증 증거 등을 포함한 구조화된 TSP 초안을 생성합니다.
구체적인 도출 프로세스 (Formalized Scenario):
1. 시스템 컨텍스트 정형화: 시스템 아키텍처, 데이터 카테고리, 사용자 역할 등을 구조화된 모델 ( $S$ ) 로 변환.
2. 보안 요구사항 추출: 시스템 컨텍스트를 기반으로 기밀성, 무결성, 가용성 등의 요구사항 ( $Q$ ) 도출.
3. 기본 프로파일 선택: 시스템 영향도 (Low, Moderate, High) 에 따라 규제에서 정의된 기본 제어 세트 ( $B$ ) 선택.
4. 작업 행렬 확장: 기본 제어와 시스템 컨텍스트, 위험 요소를 결합한 작업 행렬 ( $W$ ) 생성.
5. 제어 수준 분석 및 결정: 각 제어 항목에 대해 관련성 점수 ( $\rho$ $ρ$ ) 와 충분성 ( $\alpha$ $α$ ) 을 평가하여 다음 결정 중 하나를 내림:
  - Keep: 기본 매개변수 유지.
  - Refine: 매개변수 구체화 (예: 계정 정지 시간 8 시간으로 명시).
  - Enhance: 위험이 높을 경우 강화 옵션 추가.
  - Add: 기본 프로파일에 없는 추가 제어 도입.
  - Compensate: 구현 불가능한 경우 대체 조치 (Compensating Control) 제안.
6. 책임 및 증거 할당: 각 제어 항목에 대한 책임자 (Owner) 와 검증 증거 (Artifacts) 할당.
7. 전문가 검토 (Human-in-the-loop): AI 가 생성한 초안은 최종적으로 인간 전문가의 검토 및 승인을 거쳐 최종 TSP 로 확정됨.

3. 주요 기여 (Key Contributions)

우크라이나 규제 프레임워크에 맞는 TSP 도출 방법론 제안: ND TPI 3.6-006-24 규정을 준수하는 구조화된 워크플로우를 제시.
추적 가능한 근거와 표준화된 출력을 가진 LLM-RAG 아키텍처 설계: 규제 문서 기반의 결정과 그 근거를 명확히 제시하는 모델 구조 제안.
실험적 검증: 여러 대형 언어 모델 (Claude, Gemini, ChatGPT) 을 비교 평가하여 전문가 감독 하에 방법론의 유효성을 입증.

4. 실험 결과 및 논의 (Results & Discussion)

실험 설정: 합성 데이터로 구성된 시스템 명세서를 입력으로 사용하여 Claude Sonnet 4.6, Gemini 3.1 Pro, ChatGPT Thinking 5.4 모델을 비교 평가했습니다.
성능 평가 지표: 규제 관련성, 결정의 적절성, 매개변수 품질, 근거의 질, 수정 필요성, 전문가 판단 일치도, 환각 (Hallucination) 발생률 등을 측정.
주요 결과:
- Claude Sonnet 4.6: 가장 우수한 성능을 보임. 4 분 이내에 60 페이지 분량의 상세 보고서를 생성했으며, 생성된 결정 중 75% 가 전문가 판단과 직접 일치했고, 15% 만 소규모 수정이 필요했습니다.
- ChatGPT Thinking 5.4: 보수적인 태도를 보이며 명확하지 않은 경우 사용자에게 확인을 요청하는 경향이 있었으나, 형식 준수도가 높았습니다.
- Gemini 3.1 Pro: 종합적인 보고서 생성보다는 세그먼트별 분석을 제공했으며, 시스템 정보가 부족할 경우 환각 발생률이 높았습니다 (43%).
입력 데이터의 중요성: 시스템 설명 (System Passport) 이 불완전할 경우 모델의 신뢰도가 급격히 떨어지고 환각이 발생함을 확인했습니다. 이는 인간 전문가의 최종 검증이 필수적임을 강조합니다.

5. 의의 및 결론 (Significance & Conclusion)

자동화 및 효율성: 복잡한 규제 준수 및 보안 프로파일링 과정을 자동화하여 수작업의 복잡성과 오류를 줄이고, 규제 변화에 따른 대응 속도를 높입니다.
하이브리드 위협 대응: 높은 강도의 하이브리드 위협 환경에서 조직이 동적으로 방어 체계를 적응시키고, 전문 인력 증가 없이도 규제 준수를 확장할 수 있는 기반을 마련합니다.
인간 - AI 협업: AI 가 분석 부담을 처리하고 인간이 최종 승인 및 책임 소재를 담당하는 'Human-in-the-loop' 아키텍처를 통해 안전성과 실용성을 동시에 확보했습니다.

이 연구는 우크라이나의 사이버 보안 규제 환경에서 AI 를 활용한 지능형 의사결정 지원 시스템의 실현 가능성을 입증하였으며, 향후 유사한 규제 환경에서의 자동화 보안 관리 시스템 개발에 중요한 이정표가 됩니다.