Nozomi Networks, AI 보안 클라우드로 FedRAMP Moderate 인증 획득

Nozomi Networks는 2026년 11월 9일 발표를 통해 Vantage for Government가 연방 위험 및 인증 관리 프로그램(FedRAMP)의 Moderate 인증을 획득했다고 밝혔다. 이에 따라 연방 기관은 AI 지원 운영기술(OT) 및 사물인터넷(IoT) 보안을 위한 인증된 클라우드 서비스를 이용할 수 있게 됐다.

FedRAMP 마켓플레이스에는 이 서비스가 2026년 11월 5일 기준 인증을 받은 것으로 등재돼 있으며, 지속적인 상시 모니터링과 보고를 수행하는 단계인 Ongoing Certification에 포함돼 있다. 프로필에 따르면 이 서비스는 Revision 5 Agency 경로의 Class C(Moderate)에 해당하며, Government Community Cloud에서 서비스형 소프트웨어(SaaS) 방식으로 제공된다.

이번 인증으로 플랫폼은 Nozomi가 2025년 10월 23일 발표했던 심사 진행 중(In Process) 지정 단계를 넘어섰다. Moderate 등급은 클라우드 서비스의 기밀성, 무결성 또는 가용성이 상실될 경우 기관의 운영, 자산 또는 인력에 발생할 수 있는 심각한 잠재적 피해를 다룬다.

AI는 OT 및 IoT 보안을 어떻게 지원하는가

Nozomi에 따르면 Vantage for Government는 정보기술 시스템도 포함할 수 있는 환경 전반에서 OT 및 IoT 보안 센서 관리를 중앙화한다. 자산 탐색에는 수동 및 능동 수집 데이터와 호스트 기반 데이터가 활용되며, 이후 AI가 유선, 무선 및 엔드포인트 환경 전반의 자산 목록 정보를 보강한다. 취약점 대응 절차에서는 시스템에 영향을 줄 수 있는 침습적 스캔을 피하고, 악용 가능성과 운영상 영향을 기준으로 해결 우선순위를 정한다. 이를 통해 IT 중심 도구에서 발생하는 업무 중단과 스캐너 잡음을 줄이는 것이 목적이다.

FedRAMP가 검토하거나 보증하지 않는, 공급업체가 제출한 서비스 설명에서 Nozomi는 엔드포인트와 네트워크 동작을 지속적으로 점검하고 OT 및 IoT에 특화된 위협 인텔리전스와 내장 규칙을 결합하는 탐지 기능을 소개한다. AI 상관 분석 기능은 조치가 필요한 알림의 우선순위를 정한다. 산업 공정의 경우 OT 및 IoT 프로토콜에 대한 심층 패킷 검사를 통해 명령과 원격 측정 데이터로 기준선을 설정한 다음, 공정 활동이나 장치 동작의 이상 징후를 탐지한다. 별도의 AI 엔진은 운영 맥락과 확립된 워크플로를 바탕으로 완화 조치를 제안하며, 위험 점수 산정은 자산, 구역, 사이트 및 기업에 맞게 조정할 수 있다.

연방 클라우드 통제와 고객의 책임

이 서비스는 AWS GovCloud에서 호스팅되며, 민감한 운영, 유지보수 및 기술 지원에 대한 접근은 미국인 또는 미국 시민으로 제한된다. Nozomi의 규정 준수 문서에는 고객 데이터의 저장 및 처리를 위해 AWS GovCloud US-East를 사용한다고 명시돼 있으며, 고객 데이터가 승인된 연방 클라우드 인프라 밖으로 전송되거나 그 외부에 저장되지 않는다고 설명한다.

감사 로그는 보안 모니터링, 사고 대응 및 규정 준수 보고에 활용되며, 권한이 있는 고객은 로그를 승인된 정부 보안 정보 및 이벤트 관리 시스템이나 로그 집계 시스템으로 내보낼 수 있다. 정부 부속 약정에 따라 저장, 처리, 백업, 로그 및 관리 접근은 지정된 미국 FedRAMP 리전 내에서 이뤄진다. 이 약정은 또한 Nozomi가 지속적으로 모니터링하고 보고하며, FedRAMP 규정을 준수해 사고를 보고하고, 인증 상태에 중대한 변경이 생기면 신속히 통지하도록 규정한다.

고객에게는 자체 운영상 의무가 남는다. 여기에는 올바른 구성, 테넌트 사용자 접근 관리, 해당되는 통제 미분류 정보(CUI)의 취급, 승인된 아키텍처 밖의 외부 연결, 사고 보고 규칙 준수가 포함된다. 따라서 인증을 획득하더라도 서비스를 안전하게 운영할 기관의 책임은 사라지지 않는다.

타사 연동 범위

Nozomi는 발표에서 정부용 에디션이 상용 플랫폼과 기능 면에서 동등하며, 타사 자산 데이터와 외부 파일을 하나의 자산 목록으로 통합할 수 있다고 밝혔다.

그러나 회사의 제품 비교 문서에는 해당 설명에 단서가 붙어 있다. 주요 차이점 표에 따르면 타사 연동은 아직 Vantage for Government에서 제공되지 않으며 향후 출시될 예정이다. 같은 페이지의 다른 섹션에서는 타사 보안 도구와의 연동을 공통 기능으로 제시해, 현재 연동 범위가 기능 동등성에 관한 설명만큼 명확하지 않음을 보여준다.

이 서비스를 검토하는 기관은 인증을 통해 연방 보안 및 규정 준수의 기준선을 확보할 수 있지만, 실제 배포 적합성은 고객이 관리하는 구성 및 접근 관리, 그리고 정부용 에디션의 현재 연동 범위가 기존 보안 워크플로와 얼마나 부합하는지에 달려 있다.