RAG와 OCR 기술을 활용한 LLM 기반 정보보호 관리체계(ISMS) 인증관리 자동화 시스템
LLM-Based Information Security Management System(ISMS) Certification Management Automation System Using RAG and OCR
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
본 연구는 기업이 정보보호 관리체계(ISMS) 인증심사를 준비함에 있어 복잡한 규제 준수 요구사항에 대한 효율적인 현황 진단 및 분석을 위해 LLM 기반의 인증관리 자동화 시스템을 제안한다. 이 시스템은 다음의 두 가지 기능을 가진다. 첫 번째는 근거 문서 탐색 기능으로, 기업의 정책상 인증기준에 부합하는 내용을 자동으로 분석 및 탐색한다. 이때, 단순히 LLM만 도입할 경우 잘못된 데이터를 참조하여 발생하는 할루시네이션을 해결하기 위해 해당 기업의 문서만을 참조하도록 RAG 기술을 적용하였다. 두 번째는 증적 적정성 점검 기능으로, 일부 항목에 대해 증적 자료와 인증기준 간의 부합 여부를 자동으로 점검한다. 필요한 대부분의 증적 자료가 표와 텍스트로 이루어진 점을 고려하여 LLM에 전달할 데이터의 전처리 과정에 OCR 기술을 적용하였다. 본 시스템의 성능 평가는 Big-O 노테이션과 실제 ISMS 인증심사에 사용된 컨설팅 산출물을 기준으로 진행하였으며, 기존 컨설팅 과정에 비해 단축된 소요시간과 분석 결과의 높은 정확도를 확인하였다. 이를 통해 기업의 부담을 경감시킬 뿐 아니라 정보보호 수준을 향상시킬 것이며, 나아가 더욱 간소화된 심사 절차로 개편될 것으로 기대된다.
Abstract
This study proposes an LLM-based certification management automation system for efficient diagnosis and analysis of complex regulatory compliance requirements when preparing for an Information Security Management System(ISMS) certification. This system has the following two functions. The first is the document search function, which automatically analyzes and searches for content that meets the certification standards according to the company's policy. At this time, in order to solve the hallucination that occurs by simply introducing LLM, RAG was applied to refer only to the company's documents. The second is the evidence appropriateness check function, which automatically checks whether the evidence data and the certification criteria meet for some items. Considering that most of the necessary evidence data are in tables and texts, OCR was applied to the preprocessing process of data to be delivered to LLM. The performance evaluation of this system was conducted based on the Big-O notation and the consulting output used in the actual ISMS certification, and the reduced time required and high accuracy and detail of the analysis results were confirmed compared to the existing consulting process. This will not only reduce the burden on companies, but also improve the level of information security, and is expected to be reorganized into a more simplified screening process.