“LLM 보안 정책, 모두에게 같은 기준은 없습니다.”
같은 정보, 다른 기준
LLM 보안을 도입하려는 기업과 기관들이 가장 먼저 마주하는 질문이 있습니다.
“어떤 정보를 민감정보로 탐지해야 하나요?”
“이 정보도 마스킹 대상인가요?”
하지만 이 질문에 단일한 정답은 없습니다.
같은 정보도, 업종이나 사용 맥락에 따라 ‘민감도’는 전혀 달라질 수 있기 때문입니다.
모든 산업이 같은 개인정보 관리 기준을 적용하는 것은, 현실적으로 불가능합니다.
📌 금융권에서는 고객의 카드번호가 민감정보로 분류되어 마스킹이 필요할 수 있지만,
공공기관에서는 민원 처리를 위해 이름이나 주소가 정확히 전달돼야 하는 업무상 필수 정보일 수 있습니다.
이처럼 모든 산업에 동일한 보안 정책을 적용하는 것 자체가 비현실적이며,
오히려 오탐이나 업무 지연을 유발하는 리스크가 됩니다.
업종에 따라 달라지는 ‘민감정보’의 정의
같은 정보라도, 어떤 환경에서 쓰이는지에 따라 ‘민감도’가 전혀 다를 수 있습니다.
| 업종 | 동일한 정보에 대한 민감도 |
| 금융권 | 고객 이름, 계좌번호, 카드정보 등 → 강력한 마스킹 필요 |
| 공공기관 | 주민번호, 주소 등은 마스킹되면 업무처리 자체 불가 |
| 병원 | 질병명, 진료 이력 등은 특수한 보호가 요구되는 민감정보 |
| 교육기관 | 학생의 나이, 학교, 학년은 맥락에 따라 유출 위험이 급상승 |
| IT 기업 | 테스트 로그에 들어간 이름이나 전화번호도 이슈 가능성 |
각 산업군은 업무 수행에 필요한 정보와 보호해야 할 정보가 다르며,
민감정보 탐지 기준 또한 “조직의 업무 목적과 사용 맥락”에 따라 달라져야 합니다.
같은 이름, 같은 주소라도 맥락에 따라 민감도가 달라지는 것,
이것이 바로 ‘맞춤형 보안 정책’이 필요한 이유입니다.
사례로 보는 ‘정책 커스터마이징’의 필요성
LLM 시스템이 민감정보를 잘 탐지하느냐보다 더 중요한 건,
“무엇을 민감정보로 정의할 것인가” 입니다.
🏦 금융기관 : 일부 정보는 마스킹이 오히려 장애
고객 : “계좌번호 123-456-7890123으로 이체 부탁드려요.”
→ 계좌번호가 마스킹되면 업무 불가능
→ 탐지하되, 출력은 허용하는 정책 필요
🏥 의료기관 : 문맥 속 민감정보 누락 위험
환자 : “조현병 약 부작용이 심한데 바꿀 수 있나요?”
→ ‘질병명 + 증상’ 조합을 민감정보로 탐지해야 함
→ 문장 내 단어 조합 기반의 커스텀 룰 필요
🏫 교육기관 : 개별 항목은 무해, 조합은 고위험
보호자 : “우리 아이 2학년인데 서울초에 다녀요.”
→ 학교명 + 학년 + 생활패턴 = 유출 가능성 상승
→ 문맥 기반 위험도 스코어링 적용 필요
결국 탐지 기술보다 중요한 건 ‘정책’이며, 이 정책은 조직의 업무 흐름과 산업 특성을 반영해 설계되어야 합니다.
보안 정책도 ‘업무의 언어’로 설계되어야 합니다.
기존 보안 정책은 기술 중심이었습니다.
그러나 이제는 업무 흐름과 언어를 이해하는 구조로 바뀌어야 합니다.
🔹업무상 꼭 필요한 정보는 마스킹이 아니라 조건부 허용
🔹문맥 기반 추론이 필요한 영역은 동적 탐지 체계 구축
🔹산업별, 팀별로 요구되는 탐지 민감도 커스터마이징
LLM 보안 정책은 ‘기계 중심’이 아니라, “사용자와 조직 중심”으로 설계되어야 합니다.
보안 정책, 커스터마이징이 답입니다.
모든 조직에 같은 기준을 적용하는 보안 체계는
누군가에게는 불필요한 과잉 규제가 되고, 누군가에게는 허점을 남기는 위험 요소가 됩니다.
보안 전략은, 업계의 업무 흐름과 현실에 맞춰 설계돼야 합니다.
민감정보 보호 정책을 수립할 때는 다음과 같은 기준으로 커스터마이징이 필요합니다.
🔹 이 정보가 업무 수행에 필수적인가, 아니면 보호가 우선인가
🔹 이 정보가 단독으로 유출 위험이 있는가, 문맥을 통해 판단해야 하는가
🔹 이 정보는 저장만 금지하면 되는가, 아니면 입력 단계에서 차단돼야 하는가
‘기계적 탐지 기준’이 아니라, ‘업무의 언어로 정의된 기준’이 필요합니다.
기업이 지금 바로 해야 할 것
✅ 우리 조직의 핵심 업무에서 꼭 필요한 정보가 무엇인지 정의하세요.
✅ 업무상 반드시 노출돼야 할 정보와 반드시 보호돼야 할 정보를 분리해 보세요.
✅ 기존 보안 정책이 기술 중심인지, 업무 중심인지 검토해 보세요.
✅ 문맥 기반 민감정보 탐지가 필요한 지점을 발굴해 보세요.
✅ 조직별, 산업별 맞춤형 정책 수립을 위해 전문가 컨설팅을 고려해 보세요.
다음 예고
모든 조직이 같은 탐지 기준을 적용받을 수는 없습니다.
그렇기에, LLM 보안에서 가장 중요한 출발점은 ‘맞춤형 정책’입니다.
탐지 기술은 같을 수 있습니다.
그러나 어떤 데이터를 탐지할 것인가는 조직마다 달라야 합니다.
정책이 제대로 정의되지 않으면, 기술은 오작동합니다.
기술보다 앞서야 하는 건, 조직과 맥락을 이해한 보안 정책 설계입니다.
다음 편 “LLM 보안, 어떤 기준으로 시작해야 할까?”에서는
실제 기업들이 LLM 보안 도입 시 마주하는 초기 의사결정 과정,
그리고 보안 정책 정의를 위한 진단 포인트를 정리해 드립니다.
도입을 시작할 때 가장 먼저 고려해야 할 기준은 무엇인지,
실무 관점에서 함께 짚어보겠습니다.
본 포스팅은 아래 자료를 기반으로 분석 및 재구성하였습니다.
해당 내용의 해석은 보안 정책 적용 사례 및 공개 문헌 기준에 따라 작성자의 판단을 반영하여 정리하였습니다.
[Samsung SDS] LLM에서 자주 발생하는 10가지 주요 취약점
[IGLOO] AI와 개인정보 처리 – 자동화된 결정에 대한 정보주체 권리보장
[PIPC] 인공지능(AI) 개발·서비스에 이용되는 ‘공개 데이터’ 처리 기준
[SINSIWAY] 인공지능(AI)시대, 개인정보 안전장치 시행
[IntoTheSec] 자동화된 결정에 대한 정보주체의 권리 안내서