"국정원, N2SF 데이터 분류 지침 연내 마련...공공AI 활성화 기대"
"AI시대를 맞아 국내 보안규제가 '망분리'에서 자율보안으로 20년만에 대전환을 했습니다. 국정원이 N2SF 데이터 분류 지침(가이드라인)을 연내 마련할 예정입니다. 공공AI와 클라우드 활성화가 기대됩니다." 곽승희 엔플러스랩 이사는 7일 서울 삼성동 코엑스에서 '2026 AI 페스타'의 부대 행사로 열린 '2026 대한민국 사이버보안 콘퍼런스'에서 'AI 시대 공공분야 N2SF 적용방안'을 주제로 발표하며 이 같이 말했다. 망분리 정책에 따라 정부 전산망은 인터넷망과 분리돼 있으나 국가사이버보안법 개정으로 망분리 의무가 지난 5월 폐지, N2SF가 시행됐다. N2SF는 공공기관의 보안체계를 폐쇄형 네트워크 중심 구조에서 업무정보의 중요도에 따라 보안통제를 차등 적용하는 위험관리 프레임워크다. 보안관리자는 업무정보를 중요도에 따라 기밀정보(C), 민감정보(S), 공개정보(O) 등 세 등급으로 분류하고, 각 등급에 맞는 보안대책을 수립할 수 있다. 기밀정보는 비밀, 안보·국장·외교·수사 관련 기밀정보와 국민의 생활·생명·안전에 직결된 정보에 해당한다. 민감정보는 개인이나 국가의 이익을 침해할 수 있는 비공개정보다. 공개정보는 기밀정보와 민감정보를 제외한 모든 정보와 별도 조치를 적용한 비공개정보에 해당한다. 곽 이사는 "기관은 기능분류체계를 통해 담당업무의 정보를 식별해 C, S, O로 분류해 관리할 수 있다"고 설명했다. 이러한 과정에서 위협을 식별할 수 있는 3단계 방법론도 제시됐다. 가장 먼저 보안등급·보안대책 필요여부를 판단한 뒤, 위협 발생지점·위협 유형을 파악한다. 이후 보안 요구사항을 도출하고 보안통제 방안을 선택할 수 있다. 곽 이사는 N2SF를 구현할 수 있는 솔루션을 소개했다. 엔플러스랩의 단말 보안통제 솔루션 제로트러스트(ZT)는 신원 검증과 마이크로 세그멘테이션을 결합해 단말이 침해된 경우에도 횡적 이동을 원천 차단한다. 원격브라우저격리(RBI) 솔루션은 제로데이 웹 브라우저 공격을 원천 차단한다. 사용자 단말기에서 HTML, 자바스크립트 등 소스코드가 실행되지 않아 신종 악성코드나 랜섬웨어에 감염되지 않는다는 설명이다. 거대언어모델(LLM) 기반 인공지능(AI) 엔진으로 데이터 등급을 판정하고 차단하는 AI-DLP도 대표 제품이다. 내부망 업무 PC의 특정 파일에 대해 AI가 비정형 문맥을 이해하고, 사용자가 사전에 설정한 값을 바탕으로 기밀정보 또는 민감정보 등급을 판정한다. 민감·기밀 정보를 필터링, 마스킹해준다. 문서중앙화(ECM) 솔루션은 문서 파일에 보안등급을 자동으로 부여하고, 접근 권한을 부서와 담당자 단위로 정밀하게 제어한다. 문서를 벡터화해 검색증강생성(RAG) 기능을 제공하며, AI 연계에 효과적인 상태로 관리하는 것이 특징이다. 곽 이사는 "기관이 선도적으로 N2SF를 적용해나가면서 공식적인 체계를 마련해나가고 있다"고 말했다.
