[그게 뭔가요] ‘국가망보안체계(N²SF)‘ 전환

국가정보원은 지난해 9월 ‘국가망보안체계(N²SF) 가이드라인 1.0’을 정식 발표하며 국가 보안 패러다임의 전환을 본격화했다. 업무 정보를 기밀·민감·공개(C·S·O) 등급으로 분류하고 제로트러스트 원칙을 적용하는 N²SF는, 보안 강화와 데이터 활용을 함께 가져가기 위한 핵심 전략이다. 주요 실증 사업을 마치고 올해부터 공공기관 평가 지표에 본격 반영되는 N²SF의 핵심 내용과 추진 현황을 짚어본다.

N²SF가 뭔가요

고민 끝에 나온 개념이 바로 ‘국가망보안체계(N²SF, National Network Security Framework)’다. 국가정보원은 망분리 정책의 한계를 극복하기 위해 2025년 1월 N²SF 가이드라인(드래프트 버전)을 처음 공개했다. 이후 의견 수렴과 실증을 거쳐 2025년 9월 ‘N²SF 가이드라인 1.0’ 정식 버전을 최종 발표했다.

N²SF는 성벽을 다시 쌓는 방식이 아니라, 성벽의 문을 운영하는 규칙을 다시 짜는 방식에 가깝다. 누가 어디서 무엇에 접근하는지부터 모델로 설계한다. 출입의 각 지점마다 등급별로 다른 보안 규칙을 적용하는 것이 핵심이다.

N²SF는‘ 어떻게든 연결해야 한다’는 현실적인 고민을 전제로 출발한다. 핵심은 단순하다. 모든 데이터를 같은 위협 수준으로 보지 말고, 데이터의 성격에 맞게 보호 강도를 달리하자는 것이다. 국정원은 N²SF를 “공공기관의 전산망과 정보를 중요도 및 민감도에 따라 구분하고 각 등급별 차등화된 보안대책을 적용하는 프레임워크”로 정의한다.

N²SF는 어떻게 구성돼 있고, 뭐가 중요한가요?

그럼 N²SF는 뭐로 구성돼 있을까? 먼저 ‘데이터’부터 등급을 매긴다. N²SF는 업무정보를 3단계(C·S·O)로 분류한다.

▲기밀(C, Classified): 국가안보 관련 정보, 대외비에 준하는 정보
▲민감(S, Sensitive): 법령에 따른 비공개 정보(정보공개법 비공개 대상 정보)
▲공개(O, Open): 법령에 따라 공개 가능한 정보(정보공개법 공개 대상 정보)

여기서 중요한 점은 N²SF는 “망을 어떻게 나눌까”보다 먼저 “어떤 정보를 지킬까”를 가장 먼저 묻는다는 것이다. 과거에는 망 자체가 보안의 울타리였으나, 클라우드 환경에서는 데이터가 어디에나 존재할 수 있기 때문이다. 따라서 데이터 자체에 등급을 태깅하고 그 등급에 따라 보안 수준을 결정하는 ‘데이터 중심 보안’이 전제가 되어야 한다.

데이터에 등급을 매겼다면, 다음은 이 데이터들이 실제로 어떻게 움직이는지 파악할 차례다. N²SF 가이드라인은 보안 대책을 세우기 전 반드시 정보서비스를 위치(Location)·주체(Subject)·객체(Object)로 모델링하도록 제시한다. 이는 등급화된 데이터가 어디서 누구에 의해 쓰이는지 확인하여 정확한 ‘보안 통제 지점’을 찾기 위한 지도 설계 단계다.

단순히 ′민감 정보(S)를 보호하라′는 지침만으로는 부족하다. 어디서(사무실, 재택, 외부), 누가(직원, 협력사, 시스템 계정), 무엇에(데이터, 애플리케이션, 서버) 접근하는지를 입체적으로 그려야만 비로소 ‘누가 어느 경로로 접근할 때 차단할 것인가’라는 구체적인 수비 전략이 나오기 때문이다.

이 모델 위에서 등급이 다른 정보가 한 서비스 안에 섞이거나 비정상적인 이동 경로가 발견되면 이를 즉시 위협으로 간주한다. N²SF는 이 지도를 바탕으로 데이터의 이동·생산·저장 각 단계에서 어떤 자물쇠를 채울지 결정하게 된다. 결국 데이터 분류가 ‘보안의 대상’을 정하는 일이라면, 모델링은 그 대상을 지키기 위한 길목을 찾는 과정인 셈이다.

이 발판 안에서 N²SF는 다음과 같은 5단계로 적용된다.

▲ 준비(Prepare): 자산 식별 및 관리 체계 수립
▲ 등급분류(Categorize): 업무 및 데이터를 C·S·O 등급으로 분류
▲ 위협식별(Identify): 서비스 모델 기반 위협 요소 도출
▲ 보안대책 수립(Select): 등급별 필수 보안 항목 선정
▲ 적절성 평가·조정(Assess): 구축된 보안 대책의 실효성 점검

이 과정은 일회성 설치가 아니라 환경 변화에 맞춰 계속해서 설계하고 점검하는 순환 구조를 가진다.

제로트러스트와의 관계는? ‘원칙’을 ‘운영’에 적용

N²SF 가이드라인을 보다 보면 ‘제로트러스트’라는 용어가 반복해서 등장한다. 얼핏 보면 복잡한 기술 용어 같지만, N²SF가 지향하는 ‘데이터 등급별 차등 보안’을 실현하기 위한 가장 현실적인 방법론이 바로 제로트러스트다.

왜 N²SF에 제로트러스트가 필요할까? 기존 망분리 환경에서는 일단 성벽(내부망) 안에 들어온 사람은 아군으로 간주하고 넓은 권한을 줬다. 하지만 데이터마다 등급을 나누고 문을 다르게 만들어야 하는 N²SF 체계에서는 이런 방식이 통하지 않는다. 기밀(C) 데이터를 볼 권한이 있는 사람이라도, 공개(O)용 단말기로 접속하거나 보안이 취약한 장소에서 접근한다면 차단해야 하기 때문이다.

여기서 제로트러스트의 철학인 “아무도 믿지 마라, 항상 검증하라”가 등장한다. 제로트러스트는 사용자, 기기, 접속 위치가 확인되더라도 ‘그 순간의 상태’를 매번 다시 점검한다. 즉, N²SF가 “데이터 등급에 따라 보안 수준을 다르게 하라”는 설계도라면, 제로트러스트는 “매 접속마다 등급에 맞는 자격이 있는지 확인하고 문을 열어줘라”라는 실제 운영 규칙이 된다.

메시지는 하나로 모아진다. 접속에 성공했다고 해서 끝까지 믿지 말고, 데이터를 주고받는 매 순간마다 확인하라는 것이다. 이를 위해 N²SF 가이드라인은 단순히 방화벽 하나를 세우는 것이 아니라, 다음과 같은 6개 분야의 통제 항목을 촘촘히 엮을 것을 요구한다.

▲인증 및 권한: 누가 접속하는지, 그에게 허용된 데이터 등급(C·S·O)은 무엇인지 식별
▲분리 및 격리: 등급이 다른 데이터가 서로 섞이지 않도록 가상화 등으로 분리
▲네트워크: 접속 경로가 안전한지, 비정상적인 통신은 없는지 감시
▲데이터: 데이터 자체를 암호화하고 유출 경로를 통제
▲정보자산: 접속에 사용되는 PC나 서버가 깨끗한 상태인지 점검

이 통제 항목들은 별도의 해설서에서 권한·인증, 분리 및 격리, 네트워크, 데이터, 정보자산 등 6개 장으로 상세히 정리되어 있으며, 공공기관은 자신의 환경에 맞춰 이 항목들을 골라 설계도를 완성하게 된다.

N²SF가 중요한 이유, ‘보안’과 ‘사용’의 균형

망분리가 도시 전체를 성벽으로 두르는 방식이라면, N²SF는 “건물마다 출입문을 다시 설계하는 방식”이다. 성벽은 한 번 뚫리면 도시 전체가 위험에 노출되지만, 출입문을 잘 설계하면 한 지점이 흔들려도 다른 구역으로의 피해 확산을 막을 수 있다.

N²SF는 ‘안전’만이 아니라 ‘가용성’을 함께 겨냥한다. 데이터는 막혀 있으면 보이지 않고, 보이지 않으면 제대로 관리하거나 활용할 수 없다. 보안의 3요소(기밀성, 무결성, 가용성) 중 가용성을 확보하면서도 중요 데이터는 철저히 지키는 것이 시대적 요구다. 획일적인 차단 위주의 망분리는 AI와 데이터 활용이 생존인 시대에 부합하지 않기에, N²SF는 열어두되 등급에 따라 다르게 통제함으로써 보안과 혁신을 동시에 잡는 체계로 볼 수 있다.

N²SF는 2025년 1월 드래프트 공개 이후 공공망, 디지털플랫폼정부(DPG), 초거대 AI 등 3대 핵심 분야를 중심으로 대규모 실증 사업을 전개해 왔다. 국정원과 과기정통부가 주도한 이번 실증은 실제 행정 업무와 AI 학습 환경에서 데이터 등급별 차등 보안이 업무 흐름을 방해하지 않고 안전하게 작동하는지 검증하는 데 주력했다. 보안업계에 따르면, 현재 주요 실증은 성공적으로 마무리되어 평가 단계에 진입했으며, 국정원은 2026년부터 공공기관 사이버보안 실태평가에 N²SF 구축 여부를 가산점으로 반영해 제도의 실질적인 현장 안착을 독려할 방침이다.

이와 별개로 N²SF는 공공기관의 주요 평가 지표로도 활용될 예정이다. 국정원은 최근 발표한 ‘2025년도 사이버보안 실태평가’ 결과 발표에서 N²SF가 권고를 넘어 실질적 제도로 정착하도록 평가지표를 개편했다. 공공기관 경영평가의 보안 배점을 0.25점에서 0.6점으로 대폭 상향했으며, 2026년부터는 N²SF 구축 여부에도 가산점을 부여하여 공공기관 운영의 핵심 지표로 반영할 예정이다.

<곽중희 기자> god8889@byline.network