규제 대상 산업을 위한 브라우저 격리: 의료, 금융 및 정부

규제 대상 기관은 브라우저 보안 문제와 관련해 특정한 상황에 직면해 있습니다. 사용자들은 업무를 수행하기 위해 웹에 접속해야 하지만, 통제되지 않은 브라우저 세션 하나하나가 규제 대상 데이터의 유출이나 해당 데이터를 처리하는 시스템으로 위협이 유입될 수 있는 잠재적 경로를 만들어내기 때문입니다. 브라우저 격리 기술은 웹 콘텐츠를 클라우드 기반 환경에서 실행함으로써 이 문제를 해결하므로, 악성 코드, 캐시된 데이터 또는 세션 잔여물이 엔드포인트에 절대 닿지 않습니다. 의료, 금융, 정부 기관의 경우, 문제는 격리 기술이 보안적 가치를 더하는지 여부가 아니라, 임상, 거래 및 임무 관련 워크플로를 유지하면서 HIPAA, PCI DSS, NIST SP 800-171 및 FedRAMP 요구 사항을 완벽하게 충족하는 방식으로 이를 어떻게 배포할 것인가 하는 점입니다.

이 가이드에서는 세 가지 규제 환경 전반에 걸쳐 브라우저 격리 기능을 배포하기 위한 전제 조건, 단계별 구현, 규정 준수 매핑, 통합 지점, 성과 지표 및 흔히 발생하는 실수에 대해 단계별로 설명합니다.

사전 준비 사항: 배포 전에 갖춰야 할 사항

규제 대상 환경에서 브라우저 격리 기능을 도입하기 전에, 세 가지 핵심 기능이 정상적으로 작동해야 합니다. 그렇지 않으면 격리 기능은 감사관이 통제 수단과 연계 지을 수 없는, 비용만 많이 드는 계층이 되어 버립니다.

데이터 분류 및 현황 파악. 분류되지 않은 데이터는 격리할 수 없습니다. 공유 간호사 워크스테이션에 격리 기능을 도입하는 병원은 어떤 업무 흐름이 ePHI(환자 포털 접속, 검사 결과 확인)와 관련된 것인지, 어떤 것이 행정 업무(교대 근무 일정 확인)에 해당하는지를 파악해야 합니다. 은행의 트레이딩 데스크에서는 격리 정책이 조사 목적의 웹 서핑과 결제 페이지 접근을 구분할 수 있도록, 먼저 카드 소지자 데이터 환경의 범위를 명확히 설정해야 합니다. 데이터 현황 조사를 완료하지 않은 상태에서 브라우저 격리를 시행하면, 감사관이 발견할 수 있는 정책상의 허점이 발생하게 됩니다.

신원 및 접근 관리 통합. 브라우저 격리 정책은 사용자의 신원, 사용 중인 기기, 접근 대상에 따라 발동되어야 합니다. 즉, IdP, 디렉터리 서비스 및 기기 상태 점검 결과가 격리 정책 엔진에 반영되어야 합니다. 예를 들어, 한 근무 교대 시간 동안 CUI와 관련된 OSINT 정보원과 무해한 내부 문서를 모두 접근하는 정부 계약업체 소속 분석가의 경우를 생각해 보십시오. 격리는 모든 세션에 일률적으로 적용되는 것이 아니라, 대상의 위험 프로필에 따라 선택적으로 적용되어야 합니다. CISA 제로 트러스트 성숙도 모델 v2.0(2023)은 “최적” 성숙도 단계에서 특권, 비관리형 또는 고위험 세션에 대해 격리를 자동으로 적용할 것을 권장하며, 신원 인식 격리가 목표 상태임을 강조하고 있습니다.

기존 규정 준수 문서. 어떤 조치를 취하기 전에, 현재의 시스템 보안 계획(SSP), 위험 분석 또는 PCI DSS 적용 범위 문서를 파악하십시오. NIST SP 800-171 Rev 3(2024)에 따르면, 보안 요구 사항은 CUI를 처리, 저장 또는 전송하는 비연방 시스템의 구성 요소에 적용됩니다. 브라우저 격리 기능을 추가하면 보안 경계가 변경됩니다. SSP 또는 범위 문서를 업데이트하지 않으면 규정 준수 격차를 해소하는 대신 오히려 새로운 격차를 발생시키는 결과를 초래하게 됩니다.

1단계: 규정 준수 현황 파악 — 각 프레임워크가 실제로 요구하는 사항

첫 번째 구현 단계는 규제 준수 조정입니다. 각 프레임워크에는 브라우저 격리를 통해 감사 가능한 증거를 생성하는 구체적인 통제 수단이 마련되어 있습니다.

HIPAA 보안 규정

제안된 HIPAA 보안 규칙 NPRM(HHS, 2024년 12월)은 규제 대상 기관이 워크스테이션을 포함한 관련 전자 정보 시스템을 일관된 방식으로 구성하기 위한 기술적 통제 수단을 수립하고 적용할 것을 요구합니다. 또한, 제한된 예외 사항을 제외하고는 저장 중 및 전송 중인 ePHI를 암호화할 것을 요구합니다.

브라우저 격리는 여러 HIPAA 기술적 보호 조치를 직접적으로 지원합니다. 접근 제어 기준(§164.312(a))은 ePHI 접근을 승인된 인원으로 제한하는 기술적 정책을 요구합니다. 공유 응급실 워크스테이션에서 의료진이 격리된 브라우저 세션을 통해 환자 포털에 접속할 경우, 탭을 닫으면 세션이 종료됩니다. 따라서 다음 사용자가 발견할 수 있도록 PHI가 로컬 캐시, 쿠키 또는 다운로드 폴더에 남아 있지 않습니다. 전송 보안 표준(§164.312(e))은 전송 중인 ePHI를 보호할 것을 요구하며, 격리 기능을 통해 원시 데이터가 아닌 렌더링 명령만 엔드포인트로 전송되도록 보장합니다.

제안된 규칙에서 가장 큰 변화는 “필수” 및 “적용 가능” 보안 조치 간의 구분을 없애고, 제한된 예외를 제외하고 모든 이행 사양을 의무화한 점입니다. 이전에 워크스테이션 통제 조치를 “적용 가능” 항목으로 문서화하고 이를 이행하지 않기로 선택했던 의료 기관들은 이러한 미비점을 보완해야 할 것입니다. 문제의 규모는 어마어마합니다. HIPAA 저널의 ‘2025년 의료 데이터 유출 보고서’에 따르면, 2024년에 OCR에 보고된 대규모 의료 데이터 유출 사건은 742건에 달하며, 이로 인해 2억 8,900만 명의 개인 정보가 유출되었습니다.

PCI DSS 4.0

PCI DSS v4.0.1은 현재 시행 중인 결제 카드 보안 표준이며, 2025년 3월 31일부터 향후 시행 예정이었던 51개 요구 사항 전부가 의무화되었습니다(PCI 보안 표준 위원회, 2024). 그중 브라우저 격리와 관련하여 두 가지 요구 사항이 특히 주목할 만합니다.

요구사항 6.4.3은 결제 페이지에서 소비자의 브라우저에 로드되거나 실행되는 모든 스크립트에 대해 목록을 작성하고, 승인을 받으며, 무결성을 검증해야 한다고 규정하고 있습니다. 카드 미소지 거래를 처리하는 금융 기관의 경우, 이는 고객의 브라우저에서 실행되는 스크립트가 이제 감사 대상에 포함된다는 것을 의미합니다. 브라우저 격리 기능을 통해 이러한 세션을 샌드박스로 격리할 수 있으며, 이를 통해 악성 스크립트가 삽입되더라도 격리된 환경에서만 실행되어 카드 소지자 데이터 환경에는 절대 도달하지 않도록 보장할 수 있습니다.

요구사항 11.6.1은 결제 페이지 스크립트에 대한 무단 변경을 탐지할 수 있는 메커니즘을 요구합니다. 증권사 트레이더가 내부 거래 시스템에 접속하는 데 사용하는 동일한 워크스테이션에서 제3자 주식 리서치 사이트를 탐색할 경우, 드라이브 바이 다운로드로 인해 엔드포인트가 침해되어 CDE로 공격 경로가 확장될 수 있습니다. 모든 외부 웹 브라우징을 격리함으로써 거래 시스템의 네트워크 세그먼트가 검증되지 않은 웹 콘텐츠를 절대 수신하지 않도록 보장할 수 있습니다.

NIST SP 800-171 Rev 3 (CUI 보호)

NIST SP 800-171 Rev 3 (2024)에 따르면, 비연방 기관은 CUI 처리 시스템 구성 요소를 별도의 보안 도메인에 격리함으로써 CUI 보안 요구 사항의 적용 범위를 제한할 수 있으며, 이는 서브네트워크, 경계 보호 장치 및 정보 흐름 제어 메커니즘을 포함한 “아키텍처 및 설계 개념”을 통해 달성할 수 있다.

브라우저 격리는 이 지침을 교과서적으로 구현한 사례입니다. 기밀 정보(CUI)로 분류된 프로젝트를 수행하면서 해외 호스팅 웹사이트의 공개 정보(OSINT)에 접근해야 하는 방위 산업체 엔지니어는 격리된 브라우저 세션을 통해 이를 수행함으로써 CUI 경계를 온전히 유지할 수 있습니다. 잠재적으로 위협이 될 수 있는 사이트의 웹 콘텐츠, 스크립트 또는 쿠키는 CUI 범위 내의 시스템 구성 요소에 절대 접근할 수 없습니다.

FedRAMP

FedRAMP는 NIST SP 800-53 기준선을 적용하며, 클라우드 서비스 제공업체가 제3자 평가 기관(3PAO)이 수행하는 독립적인 보안 평가를 완료할 것을 요구합니다. AWS 규정 준수 문서(2025)에 따르면, FedRAMP Moderate 등급은 전체 FedRAMP 승인 클라우드 서비스 제공 항목의 약 80%를 차지합니다.

연방 정부 환경에 배포되는 모든 브라우저 격리 솔루션은 해당 영향 수준에 따라 FedRAMP 인증을 받아야 합니다. 이는 타협의 여지가 없는 사항입니다. 연방 기관에서 인증되지 않은 격리 서비스를 사용하는 것은 위험 완화 조치가 아니라 규정 위반에 해당합니다. 국방부(DoD)는 이미 이 모델을 대규모로 검증한 바 있습니다. DISA의 클라우드 기반 인터넷 격리(CBII) 프로그램은 340만~360만 명의 NIPRNet 국방부 사용자를 대상으로 설계되었으며, 임무에 필수적이지 않은 상용 웹 브라우징 세션을 처리합니다(미 육군, 2021). DISA의 요구사항 및 분석 사무소에 따르면, 이 프로그램은 인터넷 접속 지점을 방어하는 사이버 보안 도구를 지속적으로 업그레이드할 필요성을 없애줌으로써 국방부에 3억 달러 이상의 비용 절감을 가져올 것으로 예상됩니다.

2단계: 아키텍처 및 통합 설계

규정 준수 매핑이 완료되었으므로, 다음 단계는 브라우저 격리 기능을 기존 보안 스택에 어떻게 통합할지 설계하는 것입니다. 격리 기능은 독립적으로 작동하는 것이 아니라, secure web gateway 정책, DLP 엔진, CASB 제어 기능, ID 제공자 및 SIEM 인프라와 통합되어야 합니다.

의료 분야 시나리오 — 공유 임상 워크스테이션. 간호 스테이션과 의사 진료실에 걸쳐 2,000대의 공유 로그인 워크스테이션을 보유한 한 병원은 모든 외부 웹 트래픽을 SWG와 통합된 브라우저 격리 기능을 통해 라우팅합니다. 내부 EHR(전자의무기록)에 대한 액세스는 격리 기능을 우회하지만(이미 신뢰 경계 내에 있음), 제약 참고 데이터베이스, 보험 포털, 지속 교육 플랫폼 등 모든 외부 사이트는 격리된 세션에서 로드됩니다. DLP 정책은 다운로드가 허용되기 전에 격리 계층에서 콘텐츠를 검사하여, 환자 목록을 개인 이메일이나 클라우드 스토리지로 내보내려는 시도를 차단합니다. 세션 기록은 HIPAA 감사 추적 요건을 충족하기 위해 SIEM으로 전송됩니다.

금융 시나리오 — 트레이딩 데스크 및 지점 업무. 중견 증권사는 트레이딩 플로어 워크스테이션에서 화이트리스트에 등재되지 않은 모든 외부 웹사이트 접속을 격리합니다. SWG 정책은 승인된 금융 데이터 단말기 및 내부 앱에 대한 직접 액세스를 허용하지만, 외부 리서치 사이트, 뉴스 매체 또는 광고 지원 페이지는 격리된 환경에서 렌더링됩니다. 클립보드 제어 기능을 통해 격리된 세션에서 로컬 데스크톱으로 데이터를 복사하여 붙여넣는 것을 방지합니다. 이를 통해 PCI DSS의 네트워크 분할 요구 사항을 충족하는 동시에 트레이더가 필요한 리서치 도구를 사용할 수 있도록 합니다. 카드 결제를 처리하는 지점의 경우, 결제 처리 애플리케이션을 격리함으로써 Magecart 방식의 스크립트 주입 공격을 차단할 수 있습니다.

정부 시나리오 — 비기밀 네트워크에서의 OSINT 분석. 정보 분석가는 NIPRNet상의 격리된 브라우저 세션을 통해 해외에 호스팅된 OSINT 정보원(뉴스 사이트, 소셜 미디어 플랫폼, 문서 공유 서비스 등)에 접속합니다. 이 격리 계층은 실행 가능한 콘텐츠를 제거하고, 악성코드 검사를 통과하지 않은 파일의 다운로드를 차단하며, 분석가가 의도치 않게 CUI 처리 환경에 악성 자바스크립트를 유입시키는 것을 방지합니다. 분석가의 신원 및 세션 메타데이터가 SIEM으로 전송되므로, 모든 접근 내역이 기록되어 NIST 800-171 평가 목적으로 감사할 수 있습니다.

3단계: 정책 구성 및 적용

효과적인 도입은 ‘전부 아니면 전무’ 방식이 아닌, 위험도에 따른 단계적 접근 방식을 따릅니다.

1단계 — 위험도가 높고 규정 준수 측면에서 미치는 영향이 큰 세션. 보안 침해 시 규제상 가장 심각한 결과를 초래할 수 있는 시나리오에 대해 우선적으로 격리 조치를 적용해야 합니다. 여기에는 환자 포털에 접속하는 공유 임상용 워크스테이션, CDE 내 결제 페이지 세션, 분류되지 않은 외부 사이트에 접속하는 분석가용 워크스테이션 등이 포함됩니다. 이러한 세션은 사용자 수는 적지만 규정 준수 측면에서 노출 위험이 매우 큽니다.

2단계 — 광범위한 직원 외부 브라우징. 규제 대상 세그먼트에 속한 모든 사용자의 일반적인 외부 웹 액세스에 격리 조치를 확대 적용합니다. 바로 이 단계에서 SSE 플랫폼과의 통합이 그 진가를 발휘합니다. 단일 정책 엔진이 URL 범주, 사용자 위험 점수, 기기 상태를 기반으로 트래픽을 격리, SWG 또는 직접 액세스 경로로 라우팅할 수 있습니다. 2025년 버라이즌 DBIR 보고서는 이것이 왜 중요한지 다시 한번 강조합니다. 기본 웹 애플리케이션 공격의 88%가 도난당한 인증 정보를 이용했으며, 이러한 인증 정보 중 상당수는 브라우저 기반 공격 경로를 통해 전달된 정보 탈취형 악성코드에서 유래한 것이었습니다.

3단계 — 관리되지 않는 기기 및 외부 협력업체의 접근. 개인 기기를 통해 규제 대상 애플리케이션에 접근하는 외부 협력업체, 출장 중인 직원, BYOD 사용자는 접근 제어 측면에서 가장 해결하기 어려운 문제를 야기합니다. 리버스 프록시 또는 클라이언트리스 아키텍처를 통해 제공되는 브라우저 격리 기능을 사용하면, 관리되지 않는 엔드포인트에 데이터가 남아있지 않은 상태에서 이러한 사용자들이 애플리케이션과 상호작용할 수 있습니다. 이는 출장 중인 간호사가 병원에서 지급한 공유 태블릿을 통해 EHR 시스템에 접속하는 의료 분야와, 계약직 직원이 개인 노트북을 통해 CUI 관련 시스템에 접속하는 정부 기관에서 특히 중요한 문제입니다.

Skyhigh Securityremote browser isolation 은 통합 SSE 플랫폼의 일환으로 SWG, CASB 및 DLP와 연동되어, 세 계층 모두 단일 정책 엔진과 감사 추적을 공유할 수 있도록 합니다.

성공 측정: 감사인에게 중요한 지표

측정 가능한 성과 없이 브라우저 격리 기능을 도입하는 것은 근거가 없는 보안 투자나 다름없으며, 감사관들은 근거를 원합니다.

엔드포인트 데이터 잔여물 감소. 격리 조치 전, 규제 대상 워크스테이션을 대상으로 민감한 데이터(의료 분야의 PHI, 금융 분야의 CHD, 정부 분야의 CUI 마커 등)가 포함된 브라우저 캐시에 대한 기준선 스캔을 수행합니다. 격리 조치 적용 후에는 다시 스캔을 수행하여 감소량을 측정합니다. 목표는 격리된 세션의 로컬 브라우저 아티팩트에서 규제 대상 데이터가 전혀 남아 있지 않도록 하는 것입니다.

감사 로그의 완전성. 모든 격리된 세션에 대해 사용자 신원, 대상 URL, 세션 지속 시간, 데이터 전송 작업(업로드, 다운로드, 클립보드, 인쇄) 및 적용된 정책 조치(차단, 허용, 격리)를 기록하는 로그 항목을 생성해야 합니다. 이러한 로그 필드를 특정 규제 요건, 즉 HIPAA 감사 통제 사항(§164.312(b)), PCI DSS 요구 사항 10(로그 기록 및 모니터링), NIST 800-171 AU 계열 통제 사항에 매핑해야 합니다.

웹 기반 매개체를 통한 사고 감소. 격리 솔루션 배포 전후의 악성코드 사고, 피싱 클릭으로 인한 침해, 드라이브바이 다운로드 사건을 추적합니다. 버라이즌의 2025년 DBIR 보고서에 따르면, 제3자 관련 침해 사고가 전체 침해 사고의 30%로 급증하여 전년 대비 두 배로 증가한 것으로 나타났습니다. 격리 솔루션은 제3자 웹 콘텐츠가 로컬 엔드포인트에서 실행되는 것을 차단함으로써 이러한 위험 요소를 직접적으로 줄여줍니다.

규정 준수 사항 해결률. 가장 최근의 HIPAA 위험 분석, PCI DSS ROC 또는 NIST 800-171 평가에서 브라우저 관련 문제점(전송 중인 데이터의 암호화 미적용, 워크스테이션 통제 조치 미비, 불충분한 네트워크 분할 등)이 확인된 경우, 이러한 문제점 중 격리 조치를 통해 해결된 건수를 추적하십시오. 이를 통해 CISO는 이사회 보고를 위한 구체적인 ROI 수치를 확보할 수 있습니다.

사용자 경험 기준치. 배포 전후의 페이지 로딩 시간, 세션 이탈률, 헬프데스크 문의 건수를 측정하십시오. 격리 조치로 인해 응급실 의료진이 약물 상호작용 데이터베이스에 접근하는 데 어려움이 생기거나, 트레이더가 실시간 연구 자료에 접근하는 속도가 느려진다면, 시스템 도입이 저조해질 뿐만 아니라 사용자들이 이를 우회하는 방법을 찾아내어 통제 체계를 완전히 무력화시킬 것입니다.

규제 대상 브라우저 격리 환경 구축 시 흔히 발생하는 실수

격리를 데이터 보호 프로젝트가 아닌 네트워크 보안 프로젝트로 취급하는 것. 규제 대상 산업에서 브라우저 격리의 근본적인 목적은 규제 대상 데이터(PHI, CHD, CUI)가 허용되지 않은 곳으로 유출되는 것을 방지하는 데 있습니다. 규정 준수, 개인정보 보호 및 데이터 보호 관련 이해관계자들의 의견 수렴 없이 네트워크 팀이 주도하여 배포를 진행할 경우, 중요한 정책 설정을 놓치게 될 것입니다. 의료 분야만 보더라도 노출 규모를 고려해 보십시오. HIPAA Journal(2026)에 따르면, 2024년에 2억 8,900만 명의 개인 건강 정보(PHI)가 노출되었으며, 이러한 노출 사례 중 상당수는 모니터링되지 않은 브라우저 기반 경로를 통해 통제된 환경을 벗어난 데이터와 관련이 있었습니다.

모든 트래픽을 격리하면 인프라에 과부하가 발생합니다. 모든 웹 트래픽을 일괄적으로 격리하는 것은 안전해 보이지만, 지연 시간과 비용 문제를 야기하여 도입을 저해합니다. 미 국방부(DoD)의 CBII 프로그램은 모든 트래픽이 아닌, 임무 수행에 필수적이지 않은 브라우징만 격리하며, 내부 .mil 및 .gov 사이트는 격리 조치를 완전히 우회합니다. 동일한 논리를 적용하면, 외부 트래픽, 분류되지 않은 트래픽, 고위험 트래픽은 격리하고, 신뢰할 수 있는 내부 애플리케이션과 승인된 SaaS 플랫폼에 대해서는 직접 접근을 허용해야 합니다.

배포 후 규정 준수 문서를 업데이트하지 않는 경우. 브라우저 격리 기능을 추가하면 보안 경계가 변경됩니다. PCI DSS 적용 범위 문서에 여전히 기존 아키텍처가 기재되어 있거나, HIPAA 위험 분석에서 격리 기능을 통제 수단으로 반영하지 않은 경우, 감사관이 지적할 만한 문서상의 누락이 있는 것입니다. 모든 배포 단계마다 이에 상응하는 문서 업데이트가 이루어져야 합니다.

DLP 통합을 간과해서는 안 됩니다. data loss prevention (DLP) 기능 없이 격리 환경만 data loss prevention 허위의 안전감을 data loss prevention . 클립보드 및 DLP 제어 기능이 활성화되어 있지 않다면, 의료진은 격리된 세션 내에서 환자 포털의 PHI를 복사하여 개인 이메일로 붙여넣을 수 있습니다. DLP 정책은 단순히 네트워크 출력 지점뿐만 아니라 격리된 환경 내의 콘텐츠까지 검사해야 합니다.

정부 용도로 FedRAMP 인증을 받지 않은 솔루션을 선택하는 경우. 이는 당연한 사실처럼 보이지만, 기관들이 상용 격리 도구의 인증 상태를 확인하지 않은 채 시범 운영을 진행할 때 자주 발생하는 문제입니다. 요구되는 영향 수준에서 3PAO 평가를 통과하지 못한 솔루션은 규제 대상인 정부 워크로드에 사용할 수 없습니다. 단, 예외는 없습니다.