수년간 유럽, 중동, 아시아 태평양 지역의 고객들과 디지털 주권에 관해 나눈 대화는 늘 한 가지 질문으로 시작되었습니다. 데이터는 어디에 저장되는가? 이 질문은 여전히 중요하지만, 이제 리더들은 더 어려운 질문을 던집니다. 비즈니스 운영의 기반이 되는 시스템을 누가 통제하는지, 그리고 상황이 바뀌어도 그 통제 권한이 유지되는지 알고 싶어 합니다.
예산을 보면 이들이 이 문제를 얼마나 진지하게 받아들이는지 알 수 있습니다. 가트너는 다음과 같이 전망합니다. 2026년 전 세계 소버린 클라우드 인프라 지출은 800억 달러에 달하며, 중동 및 아프리카(89%), 아시아 태평양의 성숙 시장(87%), 유럽(83%)에서 가장 높은 성장률을 기록할 것입니다. 이러한 성장세를 이끄는 요인은 규제와 회복탄력성입니다.
AI가 통제 지점을 바꿨다
AI를 배포할 때마다 대부분의 주권 확보 계획에서 예상하지 못했던 계층이 추가됩니다. 모델, 프롬프트, 에이전트, API는 물론 점점 더 길어지는 타사 서비스 연결망까지 포함됩니다. F5 2026 애플리케이션 전략 현황 보고서에 따르면, 현재 조직들은 평균 7개의 AI 모델을 운영하거나 평가하고 있으며, 데이터 주권 및 규제 준수 요건은 이러한 다각화의 주요 이유 중 하나입니다. 각 모델과 연결 지점은 데이터가 외부로 나가거나, 의사 결정이 이루어지거나, 외부 주체가 영향력을 확보할 수 있는 접점이 됩니다.
“기업이 모델, 에이전트, API를 하나씩 추가할 때마다 외부 주체가 기업의 데이터와 의사결정에 영향력을 행사할 가능성도 커집니다. 주권의 핵심은 암호화 키, 추론 계층, 접근 권한, 그리고 공장과 전력망을 뒷받침하는 운영 시스템을 누가 통제하느냐에 있습니다. F5와 Red Hat은 조직이 퍼블릭 클라우드, 소버린 클라우드 또는 자체 데이터 센터에서 각 애플리케이션에 필요한 수준으로 이 네 가지 모두에 대한 통제권을 유지할 수 있도록 지원합니다.”
Bart Salaets, 솔루션 엔지니어링 지역 부사장 겸 필드 CTO
주권을 확보하느냐 잃느냐는 바로 이러한 영역에서 결정됩니다. 이러한 영역을 통제하는 조직은 워크로드가 어디에서 실행되든 선택권을 유지할 수 있습니다. 반면, 통제권을 넘겨주는 조직은 단순히 데이터만이 아니라 그보다 훨씬 더 많은 것을 포기하는 셈입니다.
네 가지 제어 지점, 네 가지 참조 아키텍처
F5는 Red Hat과 협력하여 가장 중요한 지점을 중심으로 네 가지 참조 아키텍처를 정의했습니다.
- 암호화 키: 대부분의 다른 보안 조치가 암호화에 의존하므로, FIPS 키 보증을 갖춘 경계 애플리케이션 보안이 출발점입니다. 지원되는 F5 BIG-IP 하드웨어에서는 개인 키가 FIPS 검증을 받은 하드웨어 보안 모듈 외부로 절대 유출되지 않습니다. 어떤 관리자도 개인 키를 추출할 수 없습니다.
- 추론: 소버린 클라우드를 위한 전체 수명 주기 AI 보안은 F5 AI Guardrails 및 F5 AI Red Team을 Red Hat OpenShift에서 실행하여, 에어갭 환경에서도 프롬프트, 검색된 컨텍스트, 모델 응답이 로컬 신뢰 도메인 내에 유지되도록 합니다.
- 액세스: 소버린 클라우드의 제로 트러스트 애플리케이션 액세스는 F5 BIG-IP Zero Trust Access와 자체 호스팅 방식의 Red Hat 빌드 Keycloak을 결합하여 구현됩니다. 이 조합은 모든 사용자, 디바이스 및 요청을 평가하며, ID 데이터는 해당 리전 내에 유지됩니다.
- 운영 기술: 소버린 산업용 비무장지대(IDMZ)는 BIG-IP를 OpenShift 및 Red Hat Enterprise Linux와 결합하여 기업 IT와 공장, 전력망, 교통망을 운영하는 시스템 간의 접점을 보호합니다.
또한 이러한 아키텍처는 함께 키 보관 로그부터 추론 감사 추적 기록에 이르는 다양한 기록을 생성하여 NIS2, DORA, EU AI 법과 같은 규제 프레임워크에 따른 평가를 지원합니다.
플랫폼이 중요한 이유
Red Hat OpenShift는 선도적인 Kubernetes 플랫폼으로, 조직이 하이퍼스케일 클라우드, 소버린 파트너 클라우드, 온프레미스 데이터 센터, 에어갭 환경 전반에서 일관된 운영을 수행할 수 있도록 지원합니다. Red Hat Confirmed Sovereign Support는 신원이 확인된 유럽연합(EU) 시민이 EU 역내에서 제공하는 연중무휴 24시간 지원을 더합니다. 이러한 기반 위에서 F5 보안 및 트래픽 정책은 하드웨어, 가상 환경, 컨테이너 등 다양한 배포 형태에 걸쳐 워크로드와 함께 이동합니다.
키 관리에는 예외가 있습니다. 개인 키를 FIPS 검증을 받은 하드웨어 보안 모듈 내에 보관하려면 이를 지원하는 BIG-IP 하드웨어가 필요하므로, 설계 초기 단계에서 하드웨어를 선택해야 합니다.
수준별 주권
모든 애플리케이션에 동일한 수준의 보호가 필요한 것은 아닙니다. 공개 웹사이트와 국방 워크로드는 수반하는 위험이 매우 다르므로, 둘을 똑같이 취급하면 예산을 낭비하거나 보호에 공백이 생길 수 있습니다. 더 실용적인 접근법은 애플리케이션별로 주권 수준을 설정하고, 퍼블릭 클라우드를 포함한 기존 인프라에 이를 추가로 적용하는 것입니다.
대부분의 조직은 암호화 키 관리에서 시작해 AI 도입과 규제 범위가 확대됨에 따라 추론, 접근, 운영 기술로 통제 범위를 넓혀 갑니다. 선도적인 조직은 AI를 신속하게 도입하면서도 이 네 가지 통제 지점을 모두 확실하게 관리할 것입니다. 아키텍처를 설계할 때 속도와 주권을 모두 고려하면 두 가지를 함께 확보할 수 있습니다.
참조 아키텍처는 여기에서 확인할 수 있습니다. 또한 F5 및 Red Hat 웹페이지도 방문해 보세요.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.