보안 통제 항목, 6개 영역의 차등적 적용
국가정보원이 2024년 1월부터 ‘국가 망 보안체계(N2SF: National Network Security Framework)’를 본격 추진하며, 기존 획일적인 망 분리 정책을 개선해 보안성과 데이터 활용성을 동시에 충족하는 새로운 패러다임을 제시하고 있다. 이는 공공분야의 AI와 클라우드 같은 신기술 적용을 활성화하고, 공공데이터의 개방과 공유를 촉진하기 위한 중요한 변화다.
N2SF의 도입 배경과 경과
기존의 망 분리 정책은 보안성을 강조한 반면, 데이터 활용성과 편리성 측면에서 한계가 존재했다. 이를 극복하기 위해 국가정보원은 작년 9월 CSK 행사에서 N2SF의 주요 내용과 시행 방안을 담은 로드맵을 발표한 바 있다. 이후 2024년 11월부터 각급기관과 산업계를 대상으로 설명회를 개최, 보안 가이드라인(Draft)을 공개하며 정책의 이해와 협조를 당부했다.
N2SF의 핵심 개념과 등급 분류
N2SF의 주요 개념은 정부 전산망을 업무 중요도에 따라 ‘기밀(Classified)’, ‘민감(Sensitive)’, ‘공개(Open)’ 등 세 등급으로 분류하고, 각 등급에 따라 차등적인 보안 통제를 적용해 보안성과 데이터 활용성을 동시에 충족하는 것이다.
-등급 분류: 각 기관은 정보공개법 등 관련 법령에 따라 ‘비공개 정보’를 중요도에 따라 기밀(C), 민감(S)으로 분류하며, 나머지 모든 정보는 공개(O)로 분류한다.
-적용 절차: N2SF 적용은 총 5단계(① 준비 → ② C/S/O 등급분류 → ③ 위협식별 → ④ 보안대책 수립 → ⑤ 적절성 평가 및 조정)를 거쳐 진행된다.
보안 통제 항목, 6개 영역의 차등적 적용
보안 통제는 ‘권한’, ‘인증’, ‘분리 및 격리’, ‘통제’, ‘데이터’, ‘정보자산’ 등 6개 영역으로 구성된다. 각급기관은 등급별 보안 수준에 필요한 항목을 선택해 적용하며, 통제 항목은 최신 보안 기술을 반영해 지속적으로 업데이트된다.
1. 권한: 최소 권한 부여와 신원 검증을 통해 적절한 접근 권한을 부여.
2. 인증: 다중요소 인증(MFA) 및 외부 인증수단 연계를 통해 보안성과 편리성 강화.
3. 분리 및 격리: 하드웨어와 소프트웨어를 활용한 망 분리 및 접근통제 기술 적용.
4. 통제: 데이터 전송 방식 및 유형 통제를 통해 중요 정보 유출 방지.
5. 데이터: 암호화 기술 및 키 관리로 안전한 데이터 저장 및 관리.
6. 정보자산: 모바일 기기, 하드웨어, 정보시스템에 대한 보호 방안 마련.
N2SF는 업무 효율성과 보안성을 모두 높이기 위해 8가지 정보서비스 모델을 제시했다.
-예시: 망 분리된 인터넷 단말에서 문서편집기를 활용하거나, 업무환경에서 생성형 AI를 활용하는 모델 등.
이를 통해 생성형 AI, 외부 클라우드(SaaS) 활용 등이 공공기관 환경에 적용될 수 있도록 지원한다.
정책 시행과 단계적 전환 방안
국가정보원은 2024년 1월부터 보안가이드라인(Draft)을 각급기관에 배포해 이해도를 제고하고, 상반기 중 디지털플랫폼정부위원회, 과기정통부 등 관계부처와 협력해 선도사업을 추진할 계획이다.
특히, 신규 시스템이나 망 분리가 용이한 사업부터 우선 적용하며, 대규모 시스템은 예산과 구축 소요 기간을 고려해 단계적으로 전환할 방침이다.
공공 데이터와 IT 시장의 활성화 기대
N2SF의 도입은 기존의 망 분리 정책 한계를 극복하고, 업무 중요도에 따른 차등 보안 통제를 통해 AI와 클라우드 같은 신기술을 효과적으로 활용할 수 있게 한다.
또한, 공공데이터 개방과 공유가 확대되어 국민과 기업이 이를 기반으로 한 서비스 활용도를 높일 것으로 기대된다. 이는 결과적으로 국가 데이터 산업 발전과 국내 IT 및 정보보호 시장 활성화로 이어질 전망이다.
전문가들은 N2SF가 보안성과 데이터 활용성 사이의 균형을 맞추려는 선도적 접근이라 평가하며, 기술 구현의 정확성과 최신 보안기술 반영이 성공 여부를 결정짓는 핵심이라고 강조한다.
또한, 각급기관이 N2SF 가이드라인을 충분히 이해하고, 점진적으로 전환 계획을 수립하는 것이 중요하다고 제언했다.
