국가 망 보안체계(N2SF) 핵심 개념

망분리에서 위험 기반 보안체계로의 전환

최근 공공기관의 정보보안 환경에서 국가 망 보안체계(N2SF, National Network Security Framework)가 중요한 개념으로 등장하고 있습니다.

N2SF는 단순히 인터넷망과 업무망을 물리적으로 분리하는 방식에만 의존하기보다, 업무정보와 정보시스템의 중요도와 실제 위협을 분석한 뒤 필요한 보안통제를 적용하는 방식을 지향합니다.

특히 클라우드, 생성형 AI, 원격근무 등 새로운 업무환경의 확산에 따라 보안성과 업무 활용성을 함께 고려해야 한다는 요구가 커지면서 N2SF의 의미가 더욱 중요해지고 있습니다.

첨부된 「국가 망 보안체계 보안 가이드라인 1.0」은 N2SF의 개념과 기본원칙뿐 아니라 실제 적용을 위한 5단계 절차와 보안통제 선정 방법까지 제시하고 있습니다.

국가 망 보안체계(N2SF)란?

N2SF는 국가·공공기관의 정보서비스를 대상으로 업무정보와 정보시스템을 식별하고 중요도에 따라 보안등급을 분류한 뒤, 해당 등급과 위협에 맞는 보안통제를 적용하는 보안 프레임워크입니다.

가이드라인에서는 업무정보와 정보시스템을 다음과 같은 세 가지 등급으로 구분합니다.

• C(Classified) : 기밀

• S(Sensitive) : 민감

• O(Open) : 공개

즉, 모든 정보와 시스템에 동일한 수준의 보안을 일률적으로 적용하는 것이 아니라 정보의 중요도와 환경에 따라 보안 수준을 다르게 적용하는 것이 핵심입니다.

이를 간단하게 표현하면 다음과 같습니다.

업무 식별 → 정보 식별 → 중요도 분류 → 위협 분석 → 보안통제 적용

왜 N2SF가 등장했을까?

우리나라의 망분리 정책은 오랫동안 공공부문 정보보안의 중요한 기반으로 활용되어 왔습니다.

기존 망분리 방식은 내부 업무망과 인터넷망을 분리해 외부에서 발생하는 사이버 위협과 정보유출 가능성을 줄이는 데 초점을 두었습니다.

하지만 IT 환경이 빠르게 변화하면서 새로운 요구가 등장했습니다.

대표적인 변화가 다음과 같습니다.

• 클라우드 서비스 활용 확대

• 생성형 AI와 업무용 AI 활용

• 재택·원격근무

• 민관 협업 확대

• 공공데이터 활용 증가

• 다양한 디지털 업무서비스 등장

가이드라인 역시 이러한 환경 변화를 배경으로 기존 망분리 정책에서 보다 유연한 보안체계로의 발전 필요성을 설명하고 있습니다.

따라서 N2SF의 중요한 방향은 보안을 약화시키는 것이 아니라, 위험에 맞는 보안을 적용하면서 새로운 기술과 업무환경을 활용할 수 있도록 하는 것이라고 이해할 수 있습니다.

N2SF의 핵심 개념 ①

업무 → 업무정보 → 정보시스템 → 정보서비스

N2SF를 이해할 때 가장 먼저 알아야 하는 것이 업무와 정보시스템의 관계입니다.

기관의 정보보안은 단순히 서버나 네트워크 장비만 보호하는 것으로 끝나지 않습니다.

먼저 기관이 어떤 업무를 수행하는지 파악하고, 그 업무 과정에서 어떤 정보가 생성·처리되는지 확인해야 합니다.

그리고 해당 정보를 처리하는 정보시스템과 전체 정보서비스 환경을 연결해서 분석합니다.

가이드라인에서는 다음과 같은 관계를 제시합니다.

기능분류체계
→ 기관 업무
→ 업무정보
→ 정보시스템
→ 정보서비스

이 구조를 통해 특정 정보가 어떤 업무에서 사용되고 어떤 시스템을 거쳐 처리되는지를 파악할 수 있습니다.

예를 들어 보면

온라인 민원서비스를 생각해 볼 수 있습니다.

민원 처리 업무

↓

민원 신청정보

↓

민원 처리 시스템

↓

웹서비스·데이터베이스·인증시스템 등

↓

하나의 정보서비스

이처럼 N2SF에서는 정보보안을 네트워크 장비 하나의 문제가 아니라 업무 전체의 정보 흐름 관점에서 바라봅니다.

N2SF의 핵심 개념 ②

C/S/O 보안등급

N2SF의 가장 대표적인 특징 중 하나가 C/S/O 등급분류입니다.

C — Classified

기밀정보를 의미합니다.

국가안보, 국방, 외교, 수사 등과 관련된 중요 정보 또는 국민의 생명·안전과 직접적으로 관련되는 정보 등이 해당될 수 있습니다.

S — Sensitive

민감정보를 의미합니다.

공개될 경우 개인이나 국가의 이익에 침해가 발생할 가능성이 있는 정보 등이 여기에 포함됩니다.

가이드라인은 시스템 로그나 임시백업 등 일부 정보도 민감정보 범주에서 설명하고 있습니다.

O — Open

공개정보입니다.

기밀 또는 민감정보에 해당하지 않는 정보와 법령상 공개가 가능한 정보 등이 해당합니다.

중요한 점은 정보의 등급과 시스템의 등급을 연계해서 판단한다는 것입니다.

하나의 시스템이 서로 다른 등급의 정보를 처리한다면 원칙적으로 가장 높은 등급을 해당 시스템의 등급으로 분류할 수 있습니다. 가이드라인은 이런 경우 낮은 등급 정보까지 높은 수준의 보안대책을 적용하게 되어 활용성이 제한될 수 있으므로 동일 등급별 시스템을 분리·운영하는 방안도 권고합니다.

N2SF의 핵심 개념 ③

정보시스템뿐 아니라 '위치'도 평가한다

N2SF에서 흥미로운 부분은 정보시스템의 논리적·물리적 위치 역시 보안등급과 연결해서 판단한다는 점입니다.

가이드라인에서는 대표적으로 다음과 같이 설명합니다.

• 인터넷 영역 → O등급

• 업무 영역 → S등급

• 기밀정보 등을 처리하는 특수 환경 → C등급

이러한 위치 분류는 이후 위협식별과 보안대책 수립의 기초자료가 됩니다.

따라서 N2SF에서는 단순히

"이 서버는 안전한가?"

라고 질문하는 것이 아니라,

"이 정보가 어디에서 처리되고, 누가 사용하며, 어떤 시스템과 연결되는가?"

라는 관점으로 보안을 분석합니다.

N2SF의 핵심 개념 ④

'위치-주체-객체' 위협 모델링

N2SF의 또 하나의 핵심 개념은 위협 모델링(Threat Modeling)입니다.

복잡한 정보서비스를 그대로 분석하기보다 핵심 구성요소를 단순화해 위협을 파악합니다.

가이드라인에서는 이를 「위치-주체-객체」 모델로 설명합니다.

위치(Domain)

정보시스템이 존재하는 물리적 또는 논리적 영역입니다.

주체(Subject)

업무정보를 활용하는 정보시스템입니다.

객체(Object)

주체가 접속하거나 이용하는 대상 정보시스템입니다.

이 세 가지 요소에 C/S/O 등급을 표시하면 서로 다른 보안등급의 영역이 연결되는 지점을 쉽게 확인할 수 있습니다.

예를 들어,

S등급 위치 → S등급 주체 → O등급 객체

와 같은 구조라면 등급이 서로 다른 시스템이 연결되는 구간에서 추가적인 보안대책을 검토해야 합니다.

N2SF의 핵심 개념 ⑤

정보 생산·저장 원칙과 정보 이동 원칙

위협을 판단하기 위해 N2SF는 두 가지 중요한 보안원칙을 활용합니다.

① 정보 생산·저장 원칙

정보시스템은 기본적으로 자신과 동일하거나 낮은 보안등급의 업무정보를 생산·저장할 수 있습니다.

그 범위를 벗어나는 경우에는 추가적인 보안대책을 검토해야 합니다.

② 정보 이동 원칙

업무정보는 기본적으로 자신과 동일하거나 높은 보안등급의 정보시스템으로 이동할 수 있습니다.

그렇지 않은 경우에는 보안대책이 필요합니다.

이 원칙은 N2SF가 단순한 '망 분리'가 아니라 정보의 생성·저장·이동이라는 데이터 흐름 자체를 보안의 대상으로 삼고 있다는 점을 보여줍니다.

N2SF의 핵심 개념 ⑥

위험에 따라 보안통제를 선택한다

N2SF에서는 위협을 식별한 뒤 필요한 보안통제를 선택합니다.

즉,

위협이 무엇인가?

↓

어떤 보안 요구사항이 필요한가?

↓

어떤 보안통제를 적용해야 하는가?

라는 방식으로 보안대책을 결정합니다.

가이드라인의 보안통제는 관리적·기술적 대책을 포함하며, 크게 다음과 같은 영역으로 구성됩니다.

1. 권한

2. 인증

3. 분리 및 격리

4. 통제

5. 데이터

6. 정보자산

각 통제항목에는 고유 식별자가 부여되고 C/S/O 등급에 따른 우선 검토사항도 제시됩니다.

따라서 N2SF는 "모든 기관에 동일한 보안제품을 설치한다"는 접근보다는 업무와 위험에 따라 필요한 통제를 선택하는 방식에 가깝습니다.

N2SF 적용을 위한 5단계

N2SF는 크게 다섯 단계로 적용됩니다.

① Prepare — 준비

기관의 업무와 기능을 분석하고 업무정보, 정보시스템, 정보서비스를 식별합니다.

② Categorize — C/S/O 등급분류

업무정보와 정보시스템을 C/S/O 기준으로 분류합니다.

③ Identify — 위협식별

정보서비스를 모델링하고 발생 가능한 보안위협을 식별합니다.

④ Select — 보안대책 수립

식별된 위협에 대응하기 위한 보안 요구사항과 보안통제를 선정합니다.

⑤ Assess — 적절성 평가·조정

앞선 단계가 적절하게 수행되었는지 평가하고 필요한 부분을 조정합니다.

이를 기억하기 쉽게 정리하면,

Prepare → Categorize → Identify → Select → Assess

입니다.

가이드라인은 이 5단계를 정보화사업의 자체 보안대책을 수립하는 기본 절차로 제시하고 있습니다.

N2SF의 중요한 특징: 기관의 자율성과 책임

N2SF에서 중요한 또 하나의 개념은 기관 자율보안입니다.

각 기관은 자신의 업무와 정보서비스 환경을 분석하고 위협을 식별한 뒤 필요한 보안대책을 스스로 설계하고 적용해야 합니다.

또한 기관의 기술환경뿐 아니라 관련 규정, 예산, 인력 등 비기술적 환경도 고려할 수 있도록 하고 있습니다.

따라서 N2SF는 단순히 새로운 보안제품이나 네트워크 구조를 도입하는 프로젝트라기보다 기관의 보안 의사결정 방식 자체를 위험 기반으로 전환하는 과정으로 이해할 필요가 있습니다.

AI·클라우드 시대와 N2SF

N2SF가 주목받는 이유 중 하나는 AI와 클라우드 같은 새로운 기술을 기존의 보안체계 안에서 활용할 수 있는 기반을 제공하기 때문입니다.

가이드라인은 기관이 AI·클라우드 등 신기술을 활용할 수 있는 정보서비스 환경으로 전환하는 데 N2SF를 활용할 수 있다고 설명합니다.

예를 들어 생성형 AI를 업무에 활용한다고 가정해 보겠습니다.

단순히

"AI를 사용할 수 있는가?"

라고 판단하는 것이 아니라,

• 어떤 업무정보가 AI로 전달되는가?

• 해당 정보의 C/S/O 등급은 무엇인가?

• AI 서비스는 어디에 위치하는가?

• 어떤 사용자가 접근하는가?

• 어떤 시스템과 연결되는가?

• 정보가 저장되는가?

• 정보가 외부로 이동하는가?

• 어떤 보안통제가 필요한가?

등을 단계적으로 검토할 수 있습니다.

이러한 접근은 생성형 AI, 클라우드, 원격업무 등 기존 망분리 방식만으로 판단하기 어려운 환경에서 특히 의미가 있습니다.

N2SF와 기존 망분리의 차이를 쉽게 이해하기

두 접근방식의 차이를 아주 단순하게 표현하면 다음과 같습니다.

따라서 N2SF는 기존 망분리를 단순히 없애는 개념으로 이해하기보다는 망 중심의 보안에서 업무·정보·위협 중심의 보안으로 관점을 확장하는 체계로 이해하는 것이 적절합니다.

N2SF가 중요한 이유

N2SF의 핵심은 결국 보안성과 활용성의 균형입니다.

공공기관에서는 국가기능과 국민 서비스를 보호하기 위해 강력한 보안이 필요합니다.

동시에 AI, 클라우드, 데이터 활용 등 새로운 기술을 효과적으로 사용하기 위해서는 지나치게 획일적인 보안정책만으로는 다양한 업무환경을 설명하기 어려울 수 있습니다.

N2SF는 이러한 상황에서 다음과 같은 흐름을 제시합니다.

업무를 이해한다

→ 정보를 식별한다

→ 중요도를 분류한다

→ 정보서비스를 모델링한다

→ 위협을 찾는다

→ 필요한 보안통제를 적용한다

→ 결과를 평가하고 조정한다

즉, 보안의 출발점을 단순한 네트워크 위치가 아니라 보호해야 할 업무와 정보, 그리고 실제 발생 가능한 위험으로 이동시키는 것이 N2SF의 핵심적인 특징입니다.

2026년 현재 N2SF의 의미

N2SF는 가이드라인 발표 이후 실제 공공부문 도입 지원 단계로도 이어지고 있습니다.

한국인터넷진흥원(KISA)은 2026년 6월 국가·공공기관과 보안기업으로 구성된 6개 연합체를 선정해 2026년 국가 망 보안체계(N2SF) 도입 지원사업을 추진한다고 발표했습니다. KISA는 N2SF를 업무정보를 기밀·민감·공개 3등급으로 분류하고 등급별 보안 수준을 차등 적용하는 체계로 설명했습니다.

이는 N2SF가 단순한 정책 문서에 머무르기보다 실제 공공기관 정보서비스에 적용하기 위한 단계로 확대되고 있음을 보여주는 사례입니다.

핵심만 다시 정리하면

N2SF를 이해하기 위해서는 다음 6가지 키워드를 기억하면 쉽습니다.

① 업무 중심

기관이 수행하는 업무와 기능에서 보안분석을 시작합니다.

② 정보 중심

업무 과정에서 생산·저장·처리·이동되는 정보를 식별합니다.

③ C/S/O 분류

정보의 중요도를 기밀·민감·공개로 구분합니다.

④ 위협 모델링

'위치-주체-객체' 관점에서 정보서비스를 분석합니다.

⑤ 위험 기반 보안통제

식별된 위협에 맞춰 필요한 보안통제를 선택합니다.

⑥ 지속적인 평가와 조정

적용 결과를 평가하고 필요한 부분을 다시 조정합니다.

결국 N2SF는 "망을 어떻게 나눌 것인가"에서 "무엇을 보호해야 하고 어떤 위험이 있으며 어떤 보안통제가 필요한가"로 보안의 중심을 확장하는 프레임워크라고 정리할 수 있습니다.

한 줄 요약:
N2SF는 업무정보의 중요도를 C/S/O로 분류하고 정보서비스의 위협을 분석한 뒤 위험에 맞는 보안통제를 적용하는 국가·공공기관용 위험 기반 보안 프레임워크입니다.