국가 망 보안체계(N2SF) 완전정복 ①: 일률적 망분리를 대신한 C/S/O 등급분류
2026.10.14목차
공공기관 업무망에서는 그동안 생성형 AI나 외부 클라우드를 자유롭게 쓰기 어려웠습니다. 내부망과 인터넷망을 일률적으로 나누는 망분리가 원칙이었기 때문입니다. 하지만 2026년 5월 1일, 이 원칙이 바뀌었습니다. 국가정보원 지침에서 망분리 조항이 삭제되고 그 자리에 국가 망 보안체계(N2SF)가 들어선 것입니다. N2SF(국가 망 보안체계)는 국가·공공기관의 업무정보와 정보시스템을 기밀(C)·민감(S)·공개(O) 등급으로 나누고, 등급에 맞춰 보안통제를 차등 적용하는 보안 프레임워크입니다.
본 글은 두 편으로 나눈 글의 1편으로 「국가 사이버보안 기본지침」과 보안 가이드라인을 바탕으로 N2SF의 등장 배경과 정의, 적용 절차, C/S/O 등급분류, 위협 모델링을 살펴봅니다. 274개 보안통제와 국가정보원 보안성 검토는 2편에서 다룹니다.
1. N2SF 등장 배경: 왜 망분리를 바꿨나
2006년 망분리가 AI·클라우드 시대와 부딪힌 이유
망분리는 업무용 내부망과 인터넷망을 나눠 쓰는 방식으로, 2006년부터 국가·공공기관에 적용됐습니다. 그런데 코로나19 이후 재택·원격근무가 늘고, 클라우드와 생성형 AI를 업무에 쓰려는 요구가 커졌습니다. 정부는 획일적인 망분리가 이런 신기술 활용을 가로막는다고 판단했습니다.
이에 국가정보원은 개선 TF를 꾸려 2025년 1월에 초안을, 9월에 보안 가이드라인 1.0을 내놓았습니다. 그리고 2026년 5월 1일 지침 개정으로 일률적 망분리 조항(구 제40조)이 삭제되고 N2SF 조항(제39조의2~제39조의5)이 신설됐습니다.
앞서 2024년 9월 국가정보원은 망분리 개선 방안을 다층보안체계(MLS) 로드맵으로 제시했고, 2025년 1월 초안 공개와 함께 명칭을 N2SF로 바꿨습니다.
2. N2SF란 무엇인가: 정의와 적용 대상
망분리 폐지가 아니라 등급별 설계로의 전환
N2SF는 쉽게 말해 모든 정보를 같은 강도로 막는 대신 업무를 중요도별 등급으로 나누고 중요한 정보일수록 더 강하게 지키는 방식입니다. 그렇다고 분리가 사라진 것은 아닙니다. 지침 제39조의5는 서로 다른 등급 간 통신을 차단·분리할 수 있도록 하고 있습니다. 또한 같은 조 제 3항에 따라 공개등급 도메인 및 정보시스템은 외부 인터넷과 통신이 가능하도록 허용하고 있습니다. 어디를 나눌지를 등급에 따라 설계하는 구조로 바뀐 것입니다.
등급분류는 의무, 통제 선택은 기관 몫
가이드라인은 각급기관이 자율적으로 위협을 식별하고 보안통제를 선정·구현·운영할 수 있다고 밝힙니다. 반면 지침은 업무정보 등급분류를 "하여야 한다"고 규정하고 같은 등급 이상의 시스템에서 처리하는 것을 원칙으로 합니다. 보안통제는 지침에 따로 정한 것이 없으면 가이드라인의 보안통제 항목을 따릅니다. 결국 정보에 등급을 매기고 등급에 맞게 처리하는 일은 의무이고, 어떤 통제를 고르고 언제 전환할지는 기관이 정합니다(조문에 근거한 해석).
💡 용어 알아보기: 지침과 가이드라인은 무엇인가?
· 지침: 「국가 사이버보안 기본지침」. 국가정보원장이 정한 행정규칙으로 각급기관이 지켜야 할 기준입니다.
· 가이드라인: 「국가 망 보안체계 보안 가이드라인」. 지침의 세부 보안통제 관련 실무 안내서로, 본문과 부록1(보안통제 항목 해설서), 부록2로 구성됩니다.
N2SF 적용 대상: 공공기관과 공급기업
직접 적용 대상은 국가기관·지방자치단체·교육청과 그 소속기관, 공공기관, 국·공립학교, 군기관 등 각급기관입니다. 민간 기업은 직접 대상이 아닙니다. 다만 공공 사업을 수행하는 용역업체와 제품·클라우드 공급자는 국가정보원장의 자료 제출 등 협조 요청에 정당한 사유가 없으면 따라야 하며(지침 제4조제3항), 조달·도입 요건을 통해 실무에서도 영향을 받을 가능성이 있습니다.
3. N2SF 적용 절차 5단계
준비부터 적절성 평가까지 5단계
N2SF 적용은 준비, C/S/O 등급분류, 위협식별, 보안대책 수립, 적절성 평가·조정의 다섯 단계로 진행됩니다. 업무와 시스템을 파악해 등급을 매기고, 위험한 지점을 찾아 통제를 고른 뒤 결과를 점검하는 순서입니다.
출처: 국가정보원 「국가 망 보안체계 보안 가이드라인 1.0」(2025.9.),
그림 1-4 및 적용 절차 설명을 바탕으로 재구성한 이미지입니다.
마지막 단계의 책임자는 정보보안담당관으로 지정해야 합니다. 이 단계의 적절성 평가는 기관 내부 점검이며, 국가정보원 보안성 검토(2편)는 다섯 단계를 마친 뒤 요청하는 별도 절차입니다.
준비 단계: 정부기능분류체계(BRM)로 업무기능 식별
첫 단계인 준비에서는 적용계획을 세우고 기관이 어떤 업무를 하는지 정리합니다. 이때 정부 업무를 기능별로 나눠 놓은 정부기능분류체계(BRM)나 기관 자체 기능분류체계를 활용할 수 있습니다.
4. C/S/O 등급분류: 정보공개법 제9조 기준
기밀 제1~4호, 민감 제5~8호: 정보공개법 제9조
각급기관의 장은 「보안업무규정」과 「정보공개법」 등 관련 법령을 기준으로 정보를 세 등급으로 분류합니다.
기밀(C) 등급: 「보안업무규정」 제4조의 비밀, 같은 규정 시행규칙 제16조제3항의 대외비, 「정보공개법」 제9조제1항 제1~4호의 비공개 정보입니다. 안보·국방, 국민 안전, 재판·수사 관련 정보 등이 해당합니다.
민감(S) 등급: 「정보공개법」 제9조제1항 제5~8호의 비공개 정보로, 내부검토 자료·개인정보·영업비밀 등이 해당합니다. 가이드라인은 시스템 로그와 임시 백업 등도 포함합니다.
공개(O) 등급: 기밀·민감에 해당하지 않는 정보로, 공표된 공공데이터와 법령상 공개 요건을 충족하거나 비공개 필요성이 사라진 정보 등이 해당합니다.
출처: 국가정보원 「국가 망 보안체계 보안 가이드라인 1.0」(2025.9.),
그림 1-10·표 2-8의 등급분류 기준을 바탕으로 재구성한 이미지입니다.
등급이 섞일 때: 상위 등급 통합과 시스템 분리
정보시스템은 처리하는 업무정보와 같은 등급으로 분류하고, 여러 등급이 섞이면 가장 높은 등급을 적용합니다. 그러면 낮은 등급 정보까지 강한 통제에 묶이므로, 가이드라인은 등급별로 시스템을 나눠 운영하라고 권고합니다. 지침 제39조의3제2항도 한 시스템이나 도메인 안에서 서로 다른 등급의 혼용을 최소화하도록 규정합니다.
정보시스템 내 복수 등급[현이10] 업무 정보 저장 및 처리 방식은 두 가지입니다.
1) 동일 시스템 내 저장시, 최상위 등급으로 분류 : 시스템 전체를 상위 등급으로 통합하면 간단하고 보안성은 높지만 공개 자료까지 과잉 통제될 수 있습니다.
2) 등급별 시스템 분리 : 등급별로 시스템을 분리하면 등급 구분은 명확하지만 비용이 늘 수 있습니다.
💡 용어 알아보기: N2SF에서 말하는 도메인이란?
· 도메인: 웹 주소가 아니라 정보시스템이 놓인 물리적·논리적 영역을 뜻합니다. 원칙적으로 인터넷 영역은 공개(O), 업무 영역은 민감(S), 기밀을 다루는 특수 환경은 기밀(C)로 분류합니다.
5. 위협 모델링: 주체·객체·위치와 2대 보안원칙
주체·객체·위치의 등급이 다르면 보안위협
출처: 국가정보원 「국가 망 보안체계 보안 가이드라인 1.0」(2025.9.),
그림 1-11~1-12의 위협 모델링·보안원칙을 바탕으로 재구성한 이미지입니다.
N2SF는 정보서비스를 세 요소로 봅니다. 업무정보를 쓰는 단말 같은 주체(Subject), 주체가 접속하는 서버나 외부 서비스 같은 객체(Object), 주체가 놓인 영역인 위치(Domain)입니다. 세 요소의 등급이 서로 다르면 보안위협이 있다고 판단합니다.
위협 지점은 두 원칙으로 좁힙니다. '정보 생산·저장 원칙'은 시스템이 자기 등급 이하의 정보만 만들고 저장할 수 있다는 것이고, '정보 이동 원칙'은 정보가 자기 등급 이상의 시스템으로만 옮겨갈 수 있다는 것입니다.
생성형 AI로 보는 정보 생산·저장·이동 원칙
출처: 국가정보원 「국가 망 보안체계 보안 가이드라인 1.0」(2025.9.),
그림 2-10~2-12의 생성형 AI 활용 예시를 바탕으로 재구성한 이미지입니다.
민감(S) 등급 업무단말에서 공개(O) 등급 생성형 AI 서비스에 업무정보를 입력하는 경우를 보겠습니다. 입력하는 순간 S 등급 정보가 O 등급 시스템으로 옮겨가 이동 원칙에 어긋나고, 서비스가 그 내용을 저장하면 생산·저장 원칙에도 어긋납니다. 그래서 어디에 통제를 걸어야 하는지가 분명해집니다. 다만 이 방법이 찾아내는 것은 등급이 섞여서 생기는 구조적 위협입니다. 가이드라인은 취약점, 내부자 위협 등을 찾으려면 모의해킹 같은 보완 활동이 필요하다고 밝힙니다.
6. 지금 점검할 것: 등급분류 준비 점검 2가지
점검 1: 업무기능을 소기능·단위과제 수준까지 나눴는가
지침 제39조의2제3항은 업무기능을 "가급적 소기능 수준까지 세분화하여야 한다"고 규정합니다. 가이드라인은 최소 소기능 또는 단위과제 수준까지 나누라고 권고합니다. 큰 단위로만 분류했다면 이 부분부터 봐야 합니다.
점검 2: 한 시스템에 섞여 있는 등급을 파악했는가
여러 등급이 섞인 시스템은 가장 높은 등급으로 분류됩니다. 시스템별로 함께 처리하는 정보의 등급을 정리해 두어야 혼용을 줄일 방법을 판단할 수 있습니다.
7. 드림시큐리티 솔루션: 등급분류 다음 단계, 인증과 Magic ICAM
C·S·O 등급에 맞춘 인증과 접근 권한 관리
등급분류 결과를 실제 접근 관리에 반영하려면 누가 어떤 기기로 접속하고, 어떤 자원을 이용할 수 있는지 함께 살펴볼 필요가 있습니다. 신원·인증·권한을 통합 관리하는 ICAM은 이러한 접근 관리의 기반이 될 수 있습니다.
드림시큐리티의 Magic ICAM은 사용자·기기·자원의 신원, 자격증명, 접근 권한을 중앙에서 통합 관리하는 제로트러스트 기반 신원 인증 및 권한 관리 솔루션입니다. 가이드라인 부록1의 6개 대항목은 제로트러스트의 핵심 구성요소인 필러와 대응합니다.
부록1의 다중요소 인증(MA)과 인증정책(AP) 항목은 적용을 검토할 등급(C/S/O)을 구분해 제시합니다. 기관은 등급분류 결과에 맞춰 필요한 인증 통제를 검토할 수 있습니다. 구체적인 통제 항목과 Magic ICAM의 연결은 2편에서 살펴봅니다.
8. FAQ: N2SF에 대해 자주 묻는 질문
Q1. N2SF의 법적 근거는 무엇이고, 망분리는 정말 폐지되었나요?
A. 2026년 5월 1일 개정된 「국가 사이버보안 기본지침」 제39조의2~5가 근거입니다. 일률적 망분리 조항(구 제40조)은 삭제됐지만, 제39조의5가 등급 간 통신의 차단·분리를 허용하므로 분리 자체가 사라진 것은 아닙니다.
Q2. 국가·공공기관은 언제까지 N2SF로 전환해야 하나요?
A. 지침은 2026년 5월 1일 시행됐지만 전환 완료 기한을 정한 조항은 확인되지 않습니다. 2025년 1월 초안 발표 당시 국가정보원은 새로 구축하거나 교체 시기가 된 시스템부터 전환하고, 대규모 시스템은 계획을 세워 점진적으로 추진할 수 있다고 설명했습니다.
Q3. 민간 기업도 N2SF 적용 대상인가요?
A. 직접 적용 대상은 아닙니다. 다만 용역업체와 클라우드 제공자 등은 국가정보원장의 자료 제출 등 협조 요청을 정당한 사유 없이 거부할 수 없습니다(지침 제4조제3항). 조달·도입 요건을 통해 실무에서 영향을 받을 가능성도 있습니다.
Q4. C/S/O 등급은 누가 어떤 기준으로 나누나요?
A. 기밀(C)·민감(S)·공개(O) 등급은 각급기관의 장이 분류합니다(지침 제39조의2). 업무기능을 식별한 뒤 업무기능별 업무정보를 지침 제2조의 등급 정의에 따라 나눕니다.
9. 결론: 등급분류가 N2SF 대응의 기준
N2SF는 정보 등급에 따라 분리와 통제 수준을 기관이 설계하는 체계입니다. 등급분류 결과가 이후 모든 단계의 기준이 됩니다. 공공기관이라면 6장의 두 가지 점검부터 시작하는 것이 좋습니다. 공공 사업에 참여하는 기업이라면 발주 기관의 등급분류 기준을 알아 두는 것이 좋습니다. 274개 보안통제 선택과 국가정보원 보안성 검토는 2편에서 다룹니다.
※ 본 글은 「국가 사이버보안 기본지침」과 국가 망 보안체계(N2SF) 보안 가이드라인의 주요 내용을 이해하기 쉽게 정리한 참고 자료입니다. 실제 적용 여부와 대응 방안은 본 글만으로 판단하지 말고 최신 「국가 사이버보안 기본지침」과 가이드라인·부록의 원문, 국가정보원 안내를 확인한 뒤 구체적인 사안에 대해서는 법률·보안 전문가의 검토를 거쳐 판단하시기 바랍니다.
[출처]
· 국가정보원, 「국가 사이버보안 기본지침」(일부개정 2026.5.1.)
· 국가정보원, 「국가 망 보안체계 보안 가이드라인 1.0」본문 (2025.9.)
· 국가정보원, 「보안통제 항목 해설서(부록1)」1.0 (2025.9.)
· 지디넷코리아, "18년 만에 손질…망분리 정책 개선할 '新 국가 망 보안체계' 공개" (2025-01-23) — https://zdnet.co.kr/view/?no=20250123170744
· 지디넷코리아, "공공망서도 AI 자유롭게 쓴다…망분리 규제 완화" (2024-09-11) — https://zdnet.co.kr/view/?no=20240911162212
· 법무법인 화우 뉴스레터, 「국가 사이버보안 기본지침 시행」 (2026-05-07) — https://www.hwawoo.com/newsletter/2026_05_07/260507_kor_in.pdf