공공 부문 민간 클라우드 등급 개편·검증 일원화…N2SF 적용도 확산

국가정보원(원장 이종석)이 공공기관의 업무·데이터를 C(기밀)·S(민감)·O(공개) 등급으로 분류하는 국가망보안체계(N2SF)에 맞춰 민간 클라우드의 보안검증 등급을 개편하고, 과학기술정보통신부의 클라우드 보안인증(CSAP)과 국정원 보안검증으로 이원화된 절차를 국정원 체계로 일원화하는 방안을 추진한다.

국정원은 N2SF의 공공기관 적용 범위도 넓힌다. 정부 정보화사업의 기획·예산 단계부터 N2SF 보안대책을 반영하고, 공공기관의 사이버보안 실태평가 기준도 N2SF에 맞춰 개편할 방침이다.

국정원은 17일 서울 강남구 코엑스에서 열린 ‘사이버 서밋 코리아 2026(CSK 2026)’에서 공공 클라우드 검증 정책의 개편 방향과 N2SF의 활성화 방향을 소개했다.

공공 클라우드 등급, N2SF 기준 C·S·O로 개편

개편안은 N2SF에 따라 C·S·O로 분류한 공공기관의 업무·데이터에 맞춰, 저장·처리에 사용할 수 있는 클라우드 형태와 물리·논리적 분리 수준을 다르게 적용하는 것이 핵심이다. C는 기밀정보, S는 민감정보, O는 공개정보를 뜻한다.

C등급에는 기관의 물리적 통제시설 안에서 민간 사업자가 클라우드를 운영하는 민관협력형 클라우드(Public-Private Partnership·PPP)를 적용한다. S등급은 C등급 클라우드나 공공 전용 데이터 시스템을 갖춘 외부 민간 클라우드를 이용할 수 있다. O등급은 민간용 인프라와 논리적으로 분리한 외부 민간 클라우드까지 허용한다.

민간 클라우드의 물리적 분리와 데이터 국내 저장 요건도 일부 조정한다. S등급은 전체 시스템을 물리적으로 분리하는 대신 공공데이터를 생성·처리·저장하는 데이터 시스템에 전용 하드웨어를 적용한다. 데이터 시스템은 국내에 둬야 하지만 운영·관리 시스템과 인력은 보완 대책을 마련하면 해외에 둘 수 있도록 할 예정이다.

암호화와 정보기술(IT) 장비 기준도 넓힌다. S·O등급에서는 국정원 암호모듈검증(KCMVP)을 통과한 제품 뿐만 아니라 고급 암호화 표준(Advanced Encryption Standard·AES)같은 국제 표준 암호를 사용할 수 있다. 보안적합성 검증 제품 외에 공통평가기준(CC) 인증 등으로 안전성을 확인한 장비도 활용할 수 있도록 개편한다.

CSAP와 국정원 검증 절차 일원화

현재 민간 클라우드 사업자가 공공시장에 진출하려면 과학기술정보통신부의 ‘클라우드 보안인증(CSAP)’을 받은 뒤 국정원 보안검증을 추가로 거쳐야 한다. 국정원은 두 절차의 중복을 줄이기 위해 검증체계를 국정원으로 일원화할 계획이다.

개편안 시행 뒤 약 1년의 유예기간을 두고 이르면 2027년 하반기부터 새 제도를 적용하는 방안을 검토하고 있다. 기존 CSAP 인증은 남은 유효기간까지 인정한다. 현재 CSAP 평가를 담당하는 기관도 새 검증제도에 편입한다.

검증 과정에는 산·학·연 전문가로 구성한 ‘민관 검증심의위원회’를 참여시킬 예정이다. 검증 절차와 판단 기준을 확인할 수 있도록 검증 안내서와 보안기준 해설서도 공개한다.

AI와 특수목적 장비에는 예외 규정을 적용한다. 공개정보만 처리하는 국내외 상용 생성형 AI 서비스와 이에 기반한 서비스는 보안검증 대상에서 제외할 수 있다. 의료용 로봇팔과 순찰용 로봇개 등 특수목적 장비에 종속된 클라우드도 예외 대상이다.

국제회의와 연구협력, 교육·연구기관의 실험처럼 외부 클라우드 이용이 불가피한 경우에도 예외를 허용한다. 다만 민감정보나 기밀정보를 처리하는 생성형 AI까지 검증 대상에서 제외하는 것은 아니다. 국정원은 처리하는 정보의 등급과 서비스 목적을 기준으로 예외 적용 여부를 판단한다는 방침이다.

N2SF 확산 유도, 기획·예산부터 보안평가까지 반영

국정원은 이날 N2SF 확산 계획도 소개했다. N2SF는 모든 정보시스템을 같은 수준으로 분리하는 대신 처리하는 정보를 C·S·O로 분류하고, 등급에 맞는 보안통제를 적용하는 체계다. 2025년 9월 전면 시행됐지만 공공기관의 실제 정보화사업에는 충분히 반영되지 않았다는 게 국정원의 판단이다.

먼저 국정원은 공공기관 정보화사업의 기획·예산 단계부터 N2SF 가 요구하는 기준을 반영하고, 사이버보안 실태평가도 N2SF 중심으로 개편하기로 했다.

또한 국정원은 한국지능정보사회진흥원(NIA)을 중심으로 산·학·연·관 전문가가 참여하는 태스크포스(TF)도 구성한다. 정보화사업을 기획하고 예산을 요청하는 단계부터 구축과 서비스 개통까지 N2SF 보안대책을 반영할 수 있도록 세부 절차를 마련한다. 관련 내용은 정부의 정보화사업 예산편성 기준과 지침에도 반영할 계획이다.

한국정보보호산업협회(KISIA)와 함께 N2SF의 보안통제 항목별로 적용할 수 있는 보안기술을 정리한 가이드도 만들고 있다. 공공기관 담당자가 보안통제 요구사항을 실제 기술과 제안요청서에 연결할 수 있도록 지원한다는 취지다.

공공기관 사이버보안 실태평가도 개편한다. 2027년 평가부터 기존 망분리 시행 여부를 확인하는 항목을 N2SF 적용 수준을 살펴보는 방향으로 바꿀 계획이다. 기관이 정보를 C·S·O로 분류하고 등급에 맞는 보안통제를 적용했는지를 평가한다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network