🛡️ 국가 망 보안체계(N2SF), 이제는 “망 분리”보다 “정보 흐름”이다

단절이 아닌 설계로, 정보보호 정책의 패러다임이 바뀐다

2025년, 우리는 더 이상 단절된 망 안에서 업무를 할 수 없다.
클라우드 기반 협업, 생성형 AI의 도입, 재택과 원격근무의 일상화…
이제 '망만 잘라놓으면 안전하다'는 시대는 지나갔다.

바로 이런 맥락에서 국가정보원이 제시한 새로운 보안정책 프레임워크가
바로 N2SF(National Network Security Framework),
‘국가 망 보안체계’다.

이 글에서는 기존 망분리 정책의 한계, N2SF의 핵심 개념, 그리고
실제 정보서비스에 적용하는 절차와 전략까지 실무자의 시선으로 풀어본다.

---

🏛️ 왜 N2SF인가: 기존 망 분리 정책의 한계

대한민국은 2006년부터 강력한 망 분리 정책을 시행해 왔다.
2017년 워너크라이 사태 당시 국내 피해가 거의 없었던 건
망 분리 덕분이라는 분석도 있다.

하지만 문제는 지금부터다.

 

한계점	설명
신기술 도입 제약	AI, 클라우드, SaaS 도입 시 연계 어려움
업무 생산성 저하	복수 단말 사용, 망 간 파일 전송 비효율
공공데이터 활용 저해	국민 대상 공개 서비스 개발에 제약
민간 협업 부족	산학연과의 기술 연계성 저하

→ ‘일률적 단절’이 아닌, 등급과 흐름 기반 설계가 필요한 시점.

---

🧭 N2SF의 핵심 구조 — 정보 중심의 보안 체계

N2SF는 업무정보를 **중요도 등급(C/S/O)**으로 분류하고,
이 등급에 따라 보안통제를 차등 적용하는 보안 아키텍처다.

등급	설명	예시
C (Classified)	기밀정보, 생명·안보 직결	외교문서, 수사정보
S (Sensitive)	민감정보, 내부결정	개인정보, 연구결과
O (Open)	공개가능, 일반공공용	공공정책, 통계자료

📌 핵심 철학:
망을 나누는 것이 아니라
‘정보 흐름’을 설계하여 보안을 통제하는 것

---

🛠️ N2SF의 5단계 실무 적용 절차

N2SF는 아래의 절차에 따라 설계되며, 각 단계는 산출물로 연결된다:

단계	설명	주요 산출물
1. 준비 (Prepare)	기관의 업무/정보/시스템 정리	N2SF 적용계획, 업무정보 목록
2. 등급분류 (Categorize)	업무정보 및 시스템 C/S/O 등급화	C/S/O 등급표
3. 위협식별 (Identify)	‘정보 흐름’ 기반 위협 모델링	위치-주체-객체 모델링
4. 보안대책 수립 (Select)	위협지점에 보안통제 매핑	보안통제 리스트/구현계획
5. 적절성 평가 (Assess)	단계별 실행 내역 검토 및 승인	자체 심의위원회 결과보고

---

🔍 위협은 어디서 발생하는가: 흐름 속 보안 불일치

정보 흐름 모델링: "위치-주체-객체"

 

요소	설명	예시
위치	사용자의 네트워크 영역	기관전산망, 인터넷망
주체	정보를 다루는 시스템/사용자	온북, 업무PC
객체	접근 대상 시스템	AI 서비스, 문서시스템

👉 이 3요소에 등급(C/S/O)을 적용하여 등급 혼용 여부를 파악하면 위협이 식별됨

---

보안원칙 1: 정보 생산/저장의 원칙

낮은 등급 시스템에서 높은 등급 정보 생산/저장은 위협

📌 예시: S등급 업무정보 → O등급 AI서비스에 저장 → 위협

---

보안원칙 2: 정보 이동의 원칙

높은 등급 정보가 낮은 등급 시스템으로 이동 시 위협

📌 예시: S등급 업무단말 → O등급 인터넷으로 파일 업로드 → 위협

---

🧩 실무 보안담당자를 위한 적용 전략

① 정보 중심으로 재설계하라

• 단순한 망 구조보다 정보의 중요도와 흐름 시나리오가 중심
• 기관 BRM(기능분류체계) 기반 업무-정보-시스템 정리 필요

② 복수 등급 포함 시스템은 반드시 분리 고려

• 모든 업무가 동일 등급일 수 없음
• ▶ Case 1: 최고등급 기준 통제 (과잉통제 발생 가능)
• ▶ Case 2: 시스템 분리 운영 (가장 명확하나 비용 소요)

③ 유스케이스 단위로 모델링하라

• 단일 시스템도 사용 시나리오마다 등급 혼용 가능
• ▶ 각 시나리오별 위치-주체-객체 모델링 필수

④ 보안통제는 Baseline + 조직 특성으로 조정하라

• C/S/O 등급별 기준선은 기본
• ▶ 기관 고유의 규정/환경/인력/예산 고려해 조정 가능

⑤ 모든 산출물은 문서화 → 심의위 통과까지 연결해야 함

• 적절성 평가 단계에서 문서 없으면 승인 불가
• ▶ 작성 체크리스트 도입 권장

---

✅ 정리: N2SF는 단순한 기술지침이 아니다

기존	N2SF
물리적 망 분리	정보 흐름 기반 설계
일률적 통제	중요도 기반 차등 통제
외부차단 중심	보안성과 활용성 균형
단절	연결과 제어

정보보안은 이제 '경계'가 아니라, '흐름'을 제어하는 기술이다.
N2SF는 바로 그런 변화의 핵심에 있는 전략적 보안 설계 체계다.