국가 망 보안체계
더 많은 작업
국가 망 보안체계(National Network Security Framework, N²SF)는 공공기관의 업무정보와 정보시스템을 중요도에 따라 기밀(C)·민감(S)·공개(O) 등급으로 나누고, 등급별로 다른 보안통제를 적용하도록 국가정보원이 마련한 공공 부문 망 보안 체계이다.
국내 공공기관은 2000년대 중반부터 업무용 내부망과 인터넷망을 물리적·논리적으로 분리하는 망분리를 일률적으로 적용해 왔다. 망분리는 외부 공격 차단에는 효과가 있었지만, 클라우드·생성형 인공지능·원격근무 같은 새 업무 환경을 쓰기 어렵게 만들었고, 내부망과 인터넷망 사이 자료 전송 절차가 번거로워 공공데이터 활용도 막았다. 망을 나눴다는 이유로 내부망 안의 보안이 느슨해지는 문제도 있었다.
국가 망 보안체계는 망을 기준으로 한 획일적 분리에서 정보의 중요도를 기준으로 한 차등 보안으로 바꾸는 것이 핵심이다. 정부의 망분리 정책 개선 방침에 따라 국가정보원이 추진했으며, 처음에는 다층보안체계(MLS, Multi-Level Security)라는 이름으로 논의되다가 국가 망 보안체계로 바뀌었다. 2025년 1월 국가정보원 국가사이버안보센터가 「국가 망 보안체계 보안 가이드라인」 초안(정식판 이전 판)을 각급 기관에 배포·공개했고, 시범·실증 사업을 거쳐 같은 해 하반기에 가이드라인 1.0 이 나왔다.
| 등급 | 대상 | 보안 방향 |
|---|---|---|
| 기밀(C, Classified) | 국가안보·외교·국방, 비밀 등 유출 시 국가에 중대한 피해를 주는 정보 | 인터넷과 분리 유지, 가장 강한 통제 |
| 민감(S, Sensitive) | 개인정보, 내부 의사결정 정보 등 공개되면 기관 업무·개인 권익을 침해할 수 있는 비공개 정보 | 외부 연계를 허용하되 인증·암호화·접근통제 등 강화된 통제 |
| 공개(O, Open) | 그 밖의 정보(공개 정보·공공데이터 등) | 인터넷·민간 클라우드·생성형 AI 활용 허용, 기본 통제 |
기밀(C)·민감(S)은 「공공기관의 정보공개에 관한 법률」 등 관련 법령상 비공개 대상 정보를 중요도에 따라 나눈 것이고, 나머지가 공개(O)이다. 하나의 정보서비스 안에 서로 다른 등급의 정보가 섞여 있거나, 높은 등급 정보가 낮은 등급 영역으로 이동·저장되는 지점을 위협으로 식별해 통제를 건다.
가이드라인은 정보서비스를 설계·구축할 때 다음 단계를 거치게 한다. 미국 NIST 위험관리 프레임워크(RMF, SP 800-37)의 준비→분류→통제 선택→평가 흐름과 닮았다.
| 단계 | 내용 |
|---|---|
| 1. 준비(Prepare) | 대상 정보서비스와 업무 범위를 정하고, 업무정보·정보시스템(자산)·사용자·연계 구간을 식별한다 |
| 2. C/S/O 등급 분류(Categorize) | 업무정보의 중요도를 판단해 기밀·민감·공개로 분류하고, 정보시스템에 등급을 부여한다 |
| 3. 위협 식별(Identify) | 정보의 생산·저장·이동 경로를 그려 서로 다른 등급이 섞이거나 경계를 넘는 지점, 외부 접점의 위협을 찾는다 |
| 4. 보안대책 수립(Select) | 등급별 기본 통제(베이스라인)를 바탕으로 식별한 위협에 맞는 보안통제 항목을 골라 설계·구현한다 |
| 5. 적절성 평가·조정(Assess) | 적용한 통제가 위협을 충분히 낮추는지 평가하고, 남는 위험이 있으면 통제를 보완·조정한다 |
이후 기관은 결과물을 국가정보원에 보안성 검토로 의뢰하고, 승인을 받으면 해당 서비스를 국가 망 보안체계로 전환·운영한다.
보안통제 항목은 권한, 인증, 분리 및 격리, 통제, 데이터, 정보자산 6개 분야로 구성된다. 각 항목은 개념 수준으로 정의되어 있고, 등급마다 우선 적용할 기본 통제(베이스라인)가 정해져 있다. 구체적인 기술 수준은 제로 트러스트 성숙도 모델 등을 참고해 기관이 정한다. 통제 항목은 보안기술 변화를 반영해 계속 개정된다.
| 구분 | 기존 망분리 | 국가 망 보안체계 |
|---|---|---|
| 기준 | 망(내부망/인터넷망) | 정보의 중요도(C/S/O) |
| 적용 방식 | 모든 업무에 일률적 분리 | 등급별 차등 통제 |
| 외부 서비스 | 클라우드·생성형 AI·외부 협업 도구 사용 곤란 | 공개·민감 등급에서 조건부 허용 |
| 보안 초점 | 경계 방어(망 경계) | 데이터 흐름과 접근 단위 통제, 제로 트러스트와 결합 |
| 데이터 활용 | 망간 자료 전송 절차로 활용 제약 | 공공데이터 활용 촉진 |
- 등급 분류 역량: 등급 분류가 잘못되면 통제가 과하거나 모자라게 된다. 기관별 분류 기준과 담당 조직, 교육이 필요하다
- 단계적 전환: 소규모 망·신규 사업·이미 망분리 개선이 예정된 사업부터 적용하고, 대규모 시스템은 예산·재구축 주기·정보화전략계획(ISP)과 맞춰 단계적으로 전환한다
- 보안 체계 연계: 제로 트러스트 아키텍처, 데이터 암호화·접근통제, 통합 로그 분석·이상행위 탐지를 함께 갖춰야 망분리 완화로 늘어나는 위험을 상쇄할 수 있다
- 외부 서비스 검증: 민간 클라우드는 클라우드 보안인증제 등 검증된 서비스를 쓰고, 생성형 AI 이용 시 입력 정보의 등급을 통제한다
- 법·지침 정비: 국가 정보보안 기본지침 등 망분리를 전제로 한 규정과 개인정보 보호 관련 법령 준수 여부를 함께 검토한다
- 지속적 관리: 도입 후에도 위협 변화에 맞춰 등급·통제를 다시 평가하고 모니터링한다
- 비용과 인력: 통제 구현·운영 비용과 보안 전문 인력 확보 계획이 필요하다
- 「국가 망 보안체계(N²SF) 보안 가이드라인」, 국가정보원 국가사이버안보센터, 2025.