검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'N2SF'통합검색 결과 입니다. (25건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

"보안 시장 새 질서"...N2SF 지침 1.0 발표 눈앞

국가정보원이 발표하는 국가망보안체계(N2SF, National Network Security FRAMEwork) '지침(가이드라인) 1.0' 정식 버전 발표가 임박했다. N2SF는 공공데이터 활용 촉진과 보안성 확보를 위한 국가망보안체계를 말한다. 국정원은 작년 하반기 자체 보안 행사 '사이버 서밋 코리아(CSK)')에서 이의 로드맵을 처음 공개했다. 이어 올 1월 초안을 발표, 정식 버전 공개를 위한 의견수렴과 실증을 해왔다. N2SF는 기존의 획일적 망분리(물리·논리적 격리) 정책을 대체 및 보완하는 것으로, 업무와 데이터 중요도에 따라 보안 수준을 차등 적용한 정부의 새 보안 정책이다. AI·클라우드·SaaS 등 신기술 활용 확대와 데이터 활용 요구가 커지면서, 기존 망분리 방식이 업무 효율과 기술 도입을 가로막는다는 지적이 많았는데 이를 해결하기 위해 나왔다. 국정원이 오는 8~11일 여는 '2025 CSK'를 개최하는데 이 행사 기간중 정식 지침 1.0을 발표할 것으로 점쳐진다. 국내 보안시장에 새로운 질서를 불러올 NS2SF는 무엇이며 시장에 어떤 파급효과를 가져올 지를 두 차례 조명한다. ■ 국정원, 2024년 CSK서 로드맵 공개하고 올 1월 시안 발표 국가망보안체계(N²SF) 핵심 개념은 정부 전산망을 업무 중요도에 따라 기밀(Classfied)·민감(Sensitive)·공개(Open) 등급으로 분류, 보안통제 6개 항목을 차등 적용해 보안성·데이터 공유 활성화를 동시 충족하는 것이다. N2SF는 보안성과 데이터 활용성을 모두 높일 수 있는 '등급' 기반의 보안 체계를 말한다. 정식 가이드라인에는 이미 발표된 가이드라인에 보안업계 의견이 대폭 반영된 것으로 알려졌다. 국정원이 올해 초 발표한 N2SF 가이드라인 초안에 따르면 N2SF는 전산망을 기밀(C·Classified), 민감(S·Sensitive), 공개(O·Open) 등 세 가지 등급으로 분류해 각 등급에 따라 ▲권한 ▲인증 ▲분리 및 격리 ▲통제 ▲데이터 ▲정보자산 등 크게 6개 영역으로 구분되는 보안 통제를 차등 적용하나. C등급은 군사, 국가안보 등 아주 민감한 정보를, S등급은 개인정보나 내부 자료 등 중요한 업무 정보를, O등급은 보도자료 등 외부에 비교적 공개된 업무가 포함된다. 각 업무정보의 등급 분류는 정보공개법, 공공데이터법 등 관련 법을 따른다. 업무별로 보안 수준이 다르기 때문에 획일적으로 망 분리를 시키는 것이 아니라 업무 중요도에 따라 서로 다른 보안 체계를 적용하는 것이 핵심이다. 업무 효율은 높이고, 유출을 막아야 할 업무 정보들은 외부로 빠져나가지 않게 분리해놓음으로써 보안성과 데이터 공유 활성화를 동시에 충족하는 것이 목표다. 기존에는 국가 및 공공기관의 어떤 업무든 인터넷 망과 완전히 분리하는 것이 효과적이었다. 망 분리를 통해 외부 침입을 원천적으로 차단할 수 있기 때문이다. ■ AI, 클라우드 등 신기술 속속 등장으로 기존 보안 정책에 변화 그러나 최근 원격 근무, 클라우드, 인공지능(AI) 도입 등으로 업무 환경이 빠르게 변화하고 있는 데 반해, 기존 망분리 체계는 내부망과 외부망 간의 데이터 이동 및 공유에 일종의 '수고로움'이 들었다. 예컨대 이미 공개된 데이터를 외부에서 내부망으로 옮길 때에도 인가된 USB를 사용하거나 특정 보안 절차를 거쳐야 했고, 업무 중 생성형 AI를 사용하고 싶어도 망이 분리돼 있어 인터넷에 접속할 수 없기 때문에 AI의 업무 활용에 한계가 있었다. 이에 AI·클라우드 등 새로운 IT 기술이 활용돼야 하는 업무 환경에서 효율이 떨어지는 문제를 개선하기 위해 국정원이 해결책을 제시한 것이다. 기존 망 분리 체계에서 내부망과 외부망에 각각 별도의 서버, 네트워크 장비 등을 구축해야 하는 비용상의 문제나 이중으로 관리해야 하는 인력적인 부담도 낮춘 방안인 셈이다. ■ 국내 보안 시장에도 큰 영향...새로운 질서 만들어질 듯 NS2F 시행은 국내 보안시장에 큰 영향을 미칠 전망이다. 우선 제품 및 솔루션 수요 구조 변화다. 전통적 망분리 하드웨어(망분리 단말·물리적 분리 솔루션) 수요는 줄어들고, 대신 데이터 분류·접근통제(데이터 DLP), ID·접근관리(IAM/Zero Trust), CASB, 보안 게이트웨이, 클라우드 보안(CSPM/CWPP), 로깅·SIEM/SOAR 등 소프트웨어·플랫폼 계열 수요가 크게 늘어날 것으로 보인다. 서비스와 컨설팅, 실증사업 기회도 확대된다. 기관별 등급분류, 위협모델링, 적절성 평가가 필수라서 보안 컨설팅·시범사업·통합관제·매니지드서비스(MSSP) 사업이 활성화될 전망이다. 초도 실증사업·파일럿 발주는 이미 진행돼왔다. 국내 보안시장에 새로운 질서가 형성되는 반면 중소·전통 보안업체에게는 불확실성이 커졌다. 요건 적응이 느린 업체는 단기적으로 타격을 받을 수 있는데, 반면 빠르게 N2SF 기준에 맞는 제품·통합 역량을 갖춘 기업은 새로운 성장 기회를 잡을 것이다. 이외에 실시간 연계(스트림), 파일 연계, API 기반 안전 연계 등 다양한 연계 방식에 대한 솔루션 및 검증 수요가 커지고 연계 보안(검증·암호화·무결성 보장) 능력이 경쟁력을 좌우하는 중요한 요소가 될 전망이다. 정부 보안 정책 패러다임이 N2SF 도입으로 '완전한 망 분리'에서 '유연한 보안'으로 전환되면서 정보 활용이 증대되고 새로운 서비스나 공공기관과 외부 기업의 협력도 늘어날 것으로 기대된다. 보안 솔루션이나 서비스를 도입하려는 수요가 늘어나면서 보안 투자가 확대되고 전체적인 보안 시장 성장세도 예상된다. 보안 서비스 및 솔루션의 수요가 높아짐에 따라 보안 업체들 간 경쟁도 심화하면서 보안 기술력도 경쟁을 통해 높아질 거라는 예측도 있다. 보안업계 관계자는 "N2SF로의 전환으로 기관발 보안 솔루션 수요가 높아지면 솔루션 공급사들끼리 경쟁하는 과정에서 기술력도 한층 발전하는 계기가 될 수 있을 것"이라고 예상했다. 염흥열 순천향대 정보보호학과 명예교수도 "N2SF 도입으로 기존 공공 영역에서 필요하지 않았던 망 연계 솔루션 외 제로트러스트 기반의 모니터링 제품 및 서비스, 보안 정책 결정을 위한 센서 정보 수집 솔루션 등 다양한 수요가 창출될 수 있다. 이 과정에서 기술력을 끌어올리기 위한 시도가 이어지면서 경쟁력이 한층 강화될 것"이라고 예상하며 "정보보호 업체 입장에서는 새로운 시장이 열릴 가능성이 있고 이를 잘 활용하면 전체적인 보안 시장의 성장세도 견인할 수 있을 것으로 보인다. 나아가 글로벌 시장에서도 시범 사업 등을 통해 이른 근거로 해외 수요를 개척할 수 있을 것"이라고 진단했다.

2025.09.06 10:16김기찬 기자

KT-프라이빗테크놀로지, 공공 보안 생태계 강화 맞손

KT가 프라이빗테크놀로지와 함께 국가망보안체계(N2SF) 기반의 공공 보안 생태계 강화를 위한 전략적 협업을 추진한다고 25일 밝혔다. 프라이빗테크놀로지는 차세대 네트워크 보안 기술 기업으로 과학기술정보통신부와 한국인터넷진흥원이 주관하는 '제로트러스트 도입 시범사업'에 선정된 바 있다. 양사는 디지털 정부 구현의 핵심 요소인 공공데이터 '활용성'과 '보안성' 확보라는 두 과제를 동시에 해결하는 데 힘을 모은다. 이번 협업을 통해 ▲N2SF 기반 보안 시스템의 공공기관 적용 ▲공공분야의 민간 AI 서비스 활용 가능성 검증 ▲공공 AX 사업 공동 제안 ▲기술 연계 및 공동 사업화 확대 등 다양한 분야에서 긴밀하게 협력할 계획이다. KT의 민관협력형 클라우드(PPP) 인프라에 프라이빗테크놀로지의 제로트러스트 기반 N2SF 보안 기술을 접목해, 공공 사업에서 차별화된 경쟁력을 갖출 것으로 기대된다. 김영랑 프라이빗테크놀로지 대표는 “공공에 적용된 네트워크는 제로트러스트 기반의 정교하고 유연한 보안 체계가 필수"라며 "공공망 보안 강화를 위한 양사의 협력이 실질적인 성과로 이어질 수 있도록 최선을 다하겠다"고 밝혔다. 유용규 KT Enterprise부문 공공사업본부장은 “이번 협력을 통해 KT의 클라우드와 AI 기술력이 공공 보안 분야에서 실질적인 가치를 창출할 수 있을 것”이라며, “프라이빗테크놀로지와의 시너지를 바탕으로 공공 AX 시장에서의 선도적 입지를 확고히 하겠다”고 말했다.

2025.07.25 11:04진성우 기자

"보안 통제 항목, 다 만들었다…이제 구현할 때"

국내 정보보호 기업 SGA솔루션즈의 최영철 대표는 “과거 보안 통제 항목을 만들었다면 이제는 이를 구현할 때”라고 말했다. 최 대표는 18일 서울 삼성동 코엑스에서 열린 '제31회 정보통신망 정보보호 학술대회(NetSec-KR)'에서 이같이 밝혔다. 넷섹은 한국정보보호학회가 초고속 정보통신망 구축 사업이 시작된 1995년부터 개최한 국내 최대 정보보호 학술대회다. 최 대표는 '국가망보안체계(N2SF) 기반 제로 트러스트(Zero Trust) 적용 방법에 대한 고찰'을 주제로 발표했다. 제로 트러스트는 '절대 믿지 말고 항상 검증하라'는 개념이다. 최 대표는 “미국 연방정부가 지켜야 할 보안 통제 항목은 2005년부터 만들어졌다”며 “통제 항목이 1천개로 굉장히 많지만 무엇을 우선할지, 어떻게 지켜야 할지 명확하다”고 설명했다. 이어 “미국 국방부는 제로 트러스트 개념이 나오자마자 이를 어떻게 적용할지 계획을 세웠다”고 전했다. 최 대표는 “SGA솔루션즈는 제로 트러스트 오버레이(overlay)를 취했다”며 “제로 트러스트 오버레이로 중복 투자를 막고 통제 항목끼리 충돌하지 않게 해 효과적으로 제로 트러스트를 도입할 수 있다”고 강조했다.

2025.04.18 16:04유혜진 기자

18년 만에 바뀐 국가망보안체계…기대감 속 과기부 'CSAP'와 혼란 여전

정부가 추진하는 국가망보안체계(N²SF) 가이드라인 초안이 공개되면서 IT 업계의 기대감이 커지고 있다. 기존 클라우드보안인증(CSAP) 제도와의 중첩 우려와 함께 정보시스템 등급 분류 기준, 통제 부문의 해석 등에 대해 모호하다는 지적이 나오고 있지만 공공 데이터 활용이 더 확산돼 사업 기회가 많아질 것이란 분석도 나온다. 24일 업계에 따르면 국정원이 지난 23일 공개한 국가망보안체계(N²SF) 가이드라인에 따르면 정부 전산망은 업무 중요도에 따라 ▲기밀(Classfied) ▲민감(Sensitive) ▲공개(Open) 등급으로 분류된다. 이에 맞춰 각급기관은 정보공개법 등 관련 법령에서 규정한 '비공개 정보'를 중요도에 따라 소관 업무정보를 대상으로 기밀(C) 혹은 민감(S)으로 분류해야 한다. 이 외 모든 정보는 공개(O)로 나눠야 한다. 다만 즉시 전 국가 기관이 이를 전환해야 하는 것은 아니다. 국가 망 보안체계 적용은 ▲준비 ▲C·S·O 등급분류 ▲위협식별 ▲보안대책 수립 ▲적절성 평가·조정 등 5단계로 추진된다. 이 중 C·S·O 등급 분류는 각급기관의 장이 맡는다. 이를 시행한다고 해도 망 분리를 즉시 없앨 필요는 없다. 'N²SF'는 기존 망분리를 폐지하는 것이 아닌 현실에 맞게 일부 개선하는 것으로, 각급기관에서 등급별 보안대책을 고려해 망분리를 유지하거나 개선할 수 있다. 국정원 관계자는 "각급기관에서 C·S·O 등급을 분류하면 각 등급에 맞게 망 분리를 포함한 보안대책을 N2SF에서 요구하는 등급별 보안통제 항목에 따라 차등 적용 가능하다"며 "새로운 체계가 시행된다고 해도 기존 검증 제품은 해당 유효기간까지 효력도 인정된다"고 설명했다. 각급 기관은 ▲권한 ▲인증 ▲분리 및 격리 ▲통제 ▲데이터 ▲정보자산 등 6개 영역으로 구성된 '보안통제 항목'에서 등급별 보안수준에 필요한 항목을 선택·적용해야 한다. 통제 항목은 보안기술 변화를 반영해 지속 업데이트될 예정이다. 'N²SF' 체계는 ▲인터넷 단말에서 문서편집기 등 업무에 활용 ▲업무환경에서 생성형 AI 및 외부 클라우드(SaaS) 활용 ▲연구목적 단말의 신기술 활용 등 정보서비스 모델을 마련하는 데 주로 적용된다. 국정원은 이에 대한 8개의 정보 서비스 활용 모델을 예시로 든 상태로, 향후 다양한 정보 서비스를 반영한 추가 모델도 지속해 개발·업데이트할 예정이다. 또 이를 통해 국가·공공기관 업무환경 혁신 및 편리성을 제고한다는 방침이다. 국정원은 "이번에 배포한 보안 가이드라인은 드래프트(Draft) 버전으로, 각급기관이 새로운 체계에 적용하는데 필요한 준비시간을 고려하면서 선도사업을 통해 확인된 미비점·보완사항 등을 반영하기 위해 이처럼 나섰다"며 "올해 7월에는 N2SF 보안가이드가 정식 배포·시행될 계획"이라고 설명했다. 정부는 지난해 공공부문에 적용된 획일적인 망분리 정책이 인공지능(AI)·클라우드 등 신기술 활용을 가로막는다고 보고 18년 만에 변화를 줬다. 이에 맞춰 공공 매출 비중이 큰 보안, 서비스형소프트웨어(SaaS), 클라우드 등 관련 IT 기업들은 올해 사업 전략에 이를 반영해 새로운 기회를 마련하고자 분주히 움직이는 분위기다. 업계 관계자는 "이번 초안에 따라 획일적인 망분리 정책 변화로 산업 발전과 공공데이터 활용이 더욱 확산되길 기대하고 있다"며 "이번에 공개된 망 보안체계 가이드라인에 이어 이를 활용할 클라우드 보안 가이드라인도 신속하게 개정해 실제 공공시장에서 지연되고 있는 많은 사업과 기회들이 하루 빨리 진행돼 산업 생태계가 원활히 운영되길 바란다"고 밝혔다. 또 다른 관계자는 "이번 일로 각 기업의 투자, 보안조치 강화 등의 노력이 필요할 것으로 예상된다"면서도 "신규 적용하는 국가 보안체계인 만큼 보안성, 효율성 측면 모두 적극 협조 및 대응할 것"이라고 말했다. 하지만 일각에선 이번 일로 혼선을 빚고 있는 과기정통부의 CSAP가 무용지물이 될 수 있다는 지적도 나오고 있다. CSAP 제도가 분류기준 등을 국정원의 '국가 정보보안 기본지침'과 '국가 클라우드 컴퓨팅 보안 가이드라인'에서 준용하는 만큼, N2SF 전환에 따른 영향을 받을 수밖에 없다는 입장이다. 지난 2023년부터 시행된 CSAP는 국가·공공기관에 공급할 민간 클라우드 서비스의 보안성을 검토해 부여하는 인증으로, 공급 대상 '시스템' 중요도에 따라 상·중·하 3개 등급으로 나누는 등급제다. 국정원과 과기정통부는 평가 대상과 목적부터 다르고 근거법령도 상이한 별개의 제도인 만큼 'N2SF' 도입 후에도 CSAP가 폐지·흡수되는 일은 없다고 보고 있다. 국정원은 "과기부 CSAP는 민간 클라우드 서비스의 보안수준 인증 제도로, 국정원은 국가·공공기관의 클라우드 등 정보화 서비스 도입 시 보안요건 적합 여부를 검증하고 있어 그 대상과 목적이 다르다"며 "과기부는 각급기관 및 업계 혼선 최소화 등을 위해 향후 국정원 보안기준 등을 참고해 CSAP 인증항목을 개정할 예정"이라고 설명했다. 또 일각에서 N2SF, CSAP 등 각각의 제도·인증 등이 이중 심사라고 보는 점에 대해선 "국정원은 관련 법령에 근거해 국가·공공기관의 정보화사업 보안성 검토 및 검증을 실시하고 있다"며 "정보화사업 보안성 검토 과정에서 CSAP 인증항목을 인정해 CSAP 인증을 받은 클라우드 서비스에 대해서는 중복 심사·검토 없이 공공분야 보안기준 위주로 검증하고 있으므로 이중 심사는 아니다"고 강조했다. N2SF 보안가이드를 올해 7월 정식 배포·시행하기 전 C·S·O 등급분류 기준 등을 좀 더 명확하게 하는 한편, 미비점을 보완해야 한다는 지적도 나왔다. 업계 관계자는 "정보시스템 C·S·O 등급분류 기준과 이를 정하는 기관장의 역할, 권한 및 국정원과의 연계 부분이 보다 구체적이고 현실적인 형태로 가이드되길 바란다"며 "통제 부문의 해석에서도 '원격접속위치통제'와 같이 해석의 여지가 있는 부분 등은 보다 세밀한 해설서를 통해 혼선이 없길 기대한다"고 말했다. 국정원은 이번 일로 기존 획일적 망 분리에서 벗어나 업무 중요도별 보안통제를 차등 적용함으로써 보안성 확보와 함께 AI·클라우드 등 새로운 IT 기술을 원활히 활용할 수 있을 것으로 기대했다. 국정원은 "각급기관이 공공데이터 개방·공유 환경 구축 시 편의성이 증대되고 국민과 기업의 공공데이터 기반 서비스 활용도 증가할 것으로 전망한다"며 "이를 통해 공공데이터의 개방·활용 확대로 국가 데이터 산업 발전 및 대규모 사업 추진에 따른 국내 IT·정보보호 시장이 더욱 활성화될 것으로 기대된다"고 밝혔다.

2025.01.24 16:50장유미 기자

"18년 만에 손질"…망분리 정책 개선할 '新 국가 망 보안체계' 공개, 하반기 본격 시행

정부가 추진하는 국가망보안체계(N²SF) 가이드라인이 드디어 베일을 벗었다. 당초 내달 발표할 예정이었지만 보안업계의 불확실성 해소 등을 위해 공개 시일을 다소 앞당겼다. 정부는 지난해 공공부문에 적용된 획일적인 망분리 정책이 인공지능(AI)·클라우드 등 신기술 활용을 가로막는다고 보고 18년 만에 변화를 줬다. 이번 대책은 ▲권한 ▲인증 ▲분리 및 격리 ▲통제 ▲데이터 ▲정보자산 등 6개 통제항목으로 분류한 것이 특징으로, 기업과 기관에서 정보 중요도에 따라 보안 통제를 적용해야 할 것으로 보인다. 국가정보원은 이 같은 내용을 담은 'N²SF 가이드라인'을 23일 발표했다. 올해 1월부터 기존 획일적인 망 분리 정책에서 벗어나 데이터 활용성과 보안성을 동시에 충족하는 이 가이드라인에 맞춰 공공데이터의 공유 및 AI·클라우드 등 신기술의 공공분야 적용 활성화를 적극 추진하겠다는 방침이다. 당초 국정원은 망분리 개선 정책의 명칭을 '다층보안체계(MLS·Multi Level Security)'로 명명했으나, 정부의 망분리 개선 정책 방향성을 다 담지 못한다고 판단해 'N²SF'로 바꿨다. 특히 MLS는 1960년대 후반 문서 보안등급과 문서에 접근하려는 사람의 보안 등급을 견줘 허가 여부를 정하는 미국 국방부의 보안 정책에서 시작된 개념으로, 우리나라에서 그대로 적용하기엔 적합하지 않다는 지적도 제기돼왔다. 이 가이드라인의 핵심은 정부 전산망을 업무 중요도에 따라 ▲기밀(Classfied) ▲민감(Sensitive) ▲공개(Open) 등급으로 분류하고, 보안통제 항목을 차등적으로 적용해 보안성과 데이터 공유 활성화를 동시에 충족하는 것이다. 이에 맞춰 각급기관은 정보공개법 등 관련 법령에서 규정한 '비공개 정보'를 중요도에 따라 소관 업무정보를 대상으로 기밀(C) 혹은 민감(S)으로 분류해야 한다. 이 외 모든 정보는 공개(O)로 나눠야 한다. 다만 즉시 전 국가 기관이 이를 전환해야 하는 것은 아니다. 국정원 관계자는 "각급기관은 시스템 규모·예산 등 기관별 상황을 고려, 신규 구축 예정 또는 내구연한 도래 시스템 등을 우선 신 체계에 맞춰 전환할 수 있다"며 "특히 대규모 시스템의 경우 단기간 내 등급분류 및 망 전환이 어려울 수 있어 우선 ISP 실시 등 면밀한 계획 수립 후 점진적으로 추진할 수 있다"고 설명했다. 국가 망 보안체계 적용은 ▲준비 ▲C·S·O 등급분류 ▲위협식별 ▲보안대책 수립 ▲적절성 평가·조정 등 5단계로 추진된다. 이 중 C·S·O 등급 분류는 각급기관의 장이 맡는다. 현재도 민원인의 정보공개 청구 시 해당 정보의 공개 여부를 각급기관의 장이 판단해 결정하고 있다. 이를 시행한다고 해도 망 분리를 즉시 없앨 필요는 없다. 'N²SF'는 기존 망분리를 폐지하는 것이 아닌 현실에 맞게 일부 개선하는 것으로, 각급기관에서 등급별 보안대책을 고려해 망분리를 유지하거나 개선할 수 있다. 국정원 관계자는 "각급기관에서 C·S·O 등급을 분류하면 각 등급에 맞게 망 분리를 포함한 보안대책을 N2SF에서 요구하는 등급별 보안통제 항목에 따라 차등 적용 가능하다"며 "새로운 체계가 시행된다고 해도 기존 검증 제품은 해당 유효기간까지 효력도 인정된다"고 설명했다. 각급 기관은 ▲권한 ▲인증 ▲분리 및 격리 ▲통제 ▲데이터 ▲정보자산 등 6개 영역으로 구성된 '보안통제 항목'에서 등급별 보안수준에 필요한 항목을 선택·적용해야 한다. 통제 항목은 보안기술 변화를 반영해 지속 업데이트될 예정이다. 구체적으로 '권한 영역'은 정보시스템 등 접속에 대한 최소 권한 부여 및 신원 검증 등을 통해 적절한 권한을 부여하도록 한다. '인증 영역'은 다중요소 인증(Multi-Factor Authentication) 및 외부 인증수단과의 연계 등을 통해 보안성과 편리성을 고려한 다양한 인증방법을 구현하도록 설정한다. '분리 및 격리 영역'은 하드웨어·운영체제(OS)·소프트웨어 등을 활용한 '분리'와 프로세서 및 어플리케이션 접근통제 등을 통한 '격리'와 같이 보안수준에 따른 다양한 기술적 보안대책 수단을 제시한다. '통제 영역'은 인가된 데이터 전송방식 및 데이터 유형 등을 통해 정보흐름을 통제하고 기관 전산망 경계 구간에서의 접근통제와 원격접속시 보안통제를 통해 중요정보 유출 차단 및 기관 전산망 보호에 방점을 둔다. '데이터 영역'은 암호기술 적용 및 암호화 키 관리 등을 통해 안전하게 데이터를 저장·관리하도록 한다. '정보자산 영역'은 모바일 단말·하드웨어 장치·정보시스템 구성요소 등에 대한 보호방안이 주된 내용이다. 국정원은 "국가 망 보안체계의 핵심개념인 '데이터 공유 활성화'와 '보안성'을 동시 확보하기 위해 보안통제 항목의 정확한 적용이 필요하다"며 "이러한 보안통제 항목은 기술구현에 관한 각계의 의견을 수렴해가면서 최신 보안기술을 지속 반영해 나갈 예정"이라고 설명했다. 'N²SF' 체계는 ▲인터넷 단말에서 문서편집기 등 업무에 활용 ▲업무환경에서 생성형 AI 및 외부 클라우드(SaaS) 활용 ▲연구목적 단말의 신기술 활용 등 정보서비스 모델을 마련하는 데 주로 적용된다. 국정원은 이에 대한 8개의 정보 서비스 활용 모델을 예시로 든 상태로, 향후 다양한 정보 서비스를 반영한 추가 모델도 지속해 개발·업데이트할 예정이다. 또 이를 통해 국가·공공기관 업무환경 혁신 및 편리성을 제고한다는 방침이다. 국정원은 "올해 1월 이 가이드라인을 각급기관에 배포해 공공분야 담당자 이해도를 제고했다"며 "유관 협회·기관 등 산업계의 제품 개발·수출 등에 참고·지원토록 국가사이버안보센터 홈페이지에도 공개했다"고 말했다. 그러면서 "이번에 배포한 보안 가이드라인은 드래프트(Draft) 버전으로, 각급기관이 새로운 체계에 적용하는데 필요한 준비시간을 고려하면서 선도사업을 통해 확인된 미비점·보완사항 등을 반영하기 위해 이처럼 나섰다"며 "올해 7월에는 N2SF 보안가이드가 정식 배포·시행될 계획"이라고 덧붙였다. 또 국정원은 올해 상반기 중 새로운 국가 망 보안체계를 각급 기관에서 조기 적용할 수 있도록 디지털플랫폼정부위원회·과기정통부 등 관계부처와 협조해 '정보서비스 모델'을 반영한 선도사업을 추진, 안정적인 정책 확산을 유도할 계획이다. 이와 함께 단기적으로 ▲소규모 네트워크 ▲N2SF 적용이 용이한 사업 ▲올해 계획된 망분리 사업 등 즉시 추진 가능한 정보화 사업은 새로운 보안체계를 우선 적용키로 했다. 또 중장기적으로 정보화전략계획(ISP) 수행 및 기재부 등 관계부처 검토가 필요한 대규모 시스템은 예산, 재구축 소요기간 등 고려해 단계적으로 전환키로 했다. 또 국정원은 상반기 중 선도사업 등을 통한 안전성 검증 및 N2SF 조기 도입 희망기관 대상 컨설팅 등 각급기관이 새로운 정책 적용에 차질이 없도록 밀착 지원한다는 방침이다. 올해 하반기에는 보안가이드 미비점을 보완한 후 정식 배포 등 정책도 본격 시행할 계획이다. 다만 일각에선 N2SF 정책 시행으로 국내 업계에 불리할 것으로 보는 시각도 있다. 이에 국정원은 글로벌 스탠다드 및 해외 사례 등을 참조해 보안정책을 수립해 문제 없다는 입장이다. 또 다수가 공감할 수 있는 정책 시행을 위해 각계 전문가·협의체 등을 통해 의견 수렴 및 공감대 형성 등에 나서고 있다는 점도 피력했다. 또 과기정통부의 클라우드 보안인증제(CSAP)와 혼선이 빚어지고 있는 부분에 대해서도 명확하게 선을 그었다. 지난 2023년부터 시행된 CSAP는 국가·공공기관에 공급할 민간 클라우드 서비스의 보안성을 검토해 부여하는 인증으로, 공급 대상 '시스템' 중요도에 따라 상·중·하 3개 등급으로 나누는 등급제다. 일단 국정원과 과기정통부는 평가 대상과 목적부터 다르고 근거법령도 상이한 별개의 제도인 만큼 'N2SF' 도입 후에도 CSAP가 폐지·흡수되는 일은 없다고 보고 있다. 그러나 업계에선 CSAP 제도가 분류기준 등을 국정원의 '국가 정보보안 기본지침'과 '국가 클라우드 컴퓨팅 보안 가이드라인'에서 준용하는 만큼, N2SF 전환에 따른 영향을 받을 수밖에 없다는 입장이다. 이에 N2SF 발표에 맞춰 CSAP 개편도 이뤄져야 한다고 판단하고 있다. 이에 대해 국정원은 "과기부 CSAP는 민간 클라우드 서비스의 보안수준 인증 제도로, 국정원은 국가·공공기관의 클라우드 등 정보화 서비스 도입 시 보안요건 적합 여부를 검증하고 있어 그 대상과 목적이 다르다"며 "과기부는 각급기관 및 업계 혼선 최소화 등을 위해 향후 국정원 보안기준 등을 참고해 CSAP 인증항목을 개정할 예정"이라고 설명했다. 또 일각에서 N2SF, CSAP 등 각각의 제도·인증 등이 이중 심사라고 보는 점에 대해선 "국정원은 관련 법령에 근거해 국가·공공기관의 정보화사업 보안성 검토 및 검증을 실시하고 있다"며 "정보화사업 보안성 검토 과정에서 CSAP 인증항목을 인정해 CSAP 인증을 받은 클라우드 서비스에 대해서는 중복 심사·검토 없이 공공분야 보안기준 위주로 검증하고 있으므로 이중 심사는 아니다"고 강조했다. 국정원은 이번 일로 기존 획일적 망 분리에서 벗어나 업무 중요도별 보안통제를 차등 적용함으로써 보안성 확보와 함께 AI·클라우드 등 새로운 IT 기술을 원활히 활용할 수 있을 것으로 기대했다. 국정원은 "각급기관이 공공데이터 개방·공유 환경 구축 시 편의성이 증대되고 국민과 기업의 공공데이터 기반 서비스 활용도 증가할 것으로 전망한다"며 "이를 통해 공공데이터의 개방·활용 확대로 국가 데이터 산업 발전 및 대규모 사업 추진에 따른 국내 IT·정보보호 시장이 더욱 활성화될 것으로 기대된다"고 말했다.

2025.01.23 17:09장유미 기자