국가 망 보안체계(N2SF)란?

최근 공공기관의 정보서비스 환경은 클라우드, 생성형 AI, 원격·모바일 업무 등 새로운 기술과 업무 방식의 확산으로 빠르게 변화하고 있습니다.

이러한 환경에서는 단순히 업무망과 인터넷망을 물리적으로 분리하는 방식만으로 모든 정보서비스의 보안 요구사항을 설명하기 어려울 수 있습니다.

국가 망 보안체계(N2SF, National Network Security Framework)는 이러한 환경 변화에 대응하기 위해 업무정보와 정보시스템의 중요도를 분석하고, 위협에 따라 필요한 보안통제를 차등 적용하는 방식을 제시합니다.

「국가 망 보안체계 보안 가이드라인 1.0」은 N2SF를 각급기관의 정보화사업에서 자체 보안대책을 수립하기 위한 체계로 설명하며, 준비 → C/S/O 등급분류 → 위협식별 → 보안대책 수립 → 적절성 평가·조정의 5단계 절차를 제시합니다.

국가사이버안보센터에서도 2025년 9월 N2SF 보안가이드라인 1.0을 공지하고 있습니다.

N2SF 적용 절차 한눈에 보기

N2SF의 전체적인 흐름은 다음과 같습니다.

① 준비(Prepare)
↓
② C/S/O 등급분류(Categorize)
↓
③ 위협식별(Identify)
↓
④ 보안대책 수립(Select)
↓
⑤ 적절성 평가·조정(Assess)
↓
최종 산출물 작성 및 보안성 검토

가이드라인에서는 각 단계의 수행 결과가 서로 영향을 주며, 마지막 적절성 평가·조정 단계에서 전체 결과를 종합적으로 확인하도록 구성하고 있습니다.

1단계 — 준비(Prepare)

1 준비 단계의 목적

준비 단계는 N2SF를 적용하기 위한 기초 정보를 확보하고 적용계획을 수립하는 단계입니다.

단순히 서버나 네트워크 장비의 목록을 만드는 것이 아니라,

기관의 업무와 기능
업무정보
정보시스템
네트워크 및 정보서비스
사용 시나리오
기본적인 보안목표

등을 연결해서 파악하는 것이 핵심입니다.

가이드라인에서는 준비 단계를 다음 5개 활동으로 구성합니다.

N2SF 적용계획 수립
기관 업무·기능 분석
업무정보 식별
정보시스템 식별
정보서비스 식별

2 N2SF 적용계획 수립

먼저 N2SF 각 단계의 책임자를 정하고 역할과 권한을 정의해야 합니다.

특히 가이드라인에서는 적절성 평가·조정 단계의 책임자를 정보보안담당관으로 지정하도록 제시합니다.

또한 정보보안 담당자 혼자 수행하기 어려운 업무·기능 분석이나 정보시스템 식별 등의 활동은 정보화 담당자, 조직·인사 담당자 등 관련 담당자와 협업할 수 있도록 역할을 나누는 것이 중요합니다.

실무적으로 준비할 내용

N2SF 적용 대상 정보화사업 정의
단계별 책임자 지정
역할과 권한 정의
관련 부서 협업체계 구성
단계별 요구사항 정의
수행 일정 수립
국가정보원 보안성 검토 일정 고려

2단계 — C/S/O 등급분류(Categorize)

C/S/O란?

N2SF에서는 업무정보와 정보시스템을 중요도에 따라 크게 세 가지 등급으로 분류합니다.

등급	의미	기본적인 개념
C	Classified	기밀
S	Sensitive	민감
O	Open	공개

가이드라인에서는 업무정보를 먼저 분류한 뒤 이를 처리하는 정보시스템의 등급을 결정하는 방식으로 설명합니다.

업무정보를 먼저 분류한다

C/S/O 분류의 출발점은 업무정보입니다.

가이드라인은 관련 법령 등을 기준으로 기밀·민감·공개 정보를 구분하도록 제시합니다.

예를 들어 공개될 경우 국가안보나 국민의 생명·신체·재산 보호 등에 영향을 미칠 수 있는 정보는 C등급 검토 대상이 될 수 있으며, 개인정보나 경영상·영업상 비밀 등은 S등급의 대표적인 고려 대상이 될 수 있습니다.

반면 C와 S에 해당하지 않는 정보 등은 O등급으로 분류할 수 있습니다.

따라서 단순히 "중요해 보인다"는 주관적인 판단보다는 관련 법령과 기관의 정보 분류 기준을 근거로 판단하는 것이 중요합니다.

정보시스템의 등급을 결정한다

업무정보의 C/S/O 분류가 완료되면 해당 정보를 생산·저장·처리·이동·보관·폐기하는 정보시스템을 분류합니다.

기본적으로 정보시스템의 등급은 해당 시스템이 처리하는 업무정보의 등급을 기준으로 결정합니다.

하나의 시스템에서 여러 등급의 정보가 처리된다면 가장 높은 등급을 시스템 등급으로 적용하는 방법을 사용할 수 있습니다.

또한 가이드라인은 서로 다른 등급의 정보를 분리된 시스템으로 운영하는 방안도 제시합니다. 이는 낮은 등급의 정보까지 필요 이상으로 높은 보안수준을 적용하는 문제를 줄이고 정보 활용성을 높이는 데 고려할 수 있는 방법입니다.

3단계 — 위협식별(Identify)

N2SF에서 위협식별이 중요한 이유

N2SF의 핵심은 단순히 정보와 시스템에 등급을 부여하는 데서 끝나지 않습니다.

등급이 정해진 이후에는 서로 다른 보안등급이 실제 정보서비스 환경에서 어떻게 연결되는지를 분석해야 합니다.

이를 위해 가이드라인에서는 「위치-주체-객체」 모델링을 활용합니다.

위치(Domain)

정보시스템이나 사용자가 위치한 물리적·논리적 영역입니다.

주체(Subject)

정보서비스를 이용하거나 업무정보를 활용하는 정보시스템입니다.

예를 들어 업무용 PC나 업무용 단말 등이 해당될 수 있습니다.

객체(Object)

주체가 접속하거나 이용하는 대상 정보시스템입니다.

예를 들어 서버나 외부 정보서비스 등이 될 수 있습니다.

가이드라인은 각각의 위치·주체·객체에 C/S/O 등급을 부여하여 서로 다른 등급이 혼용되는 지점을 확인하도록 합니다.

「정보 생산·저장」과 「정보 이동」 원칙

위협식별 단계에서 특히 중요한 부분은 두 가지 보안원칙입니다.

정보 생산·저장 원칙

정보시스템의 보안등급보다 높은 등급의 업무정보가 해당 시스템에서 생산되거나 저장되는 경우 보안위협으로 판단합니다.

예를 들어 O등급으로 분류된 외부 AI 서비스에서 S등급 업무정보를 처리하거나 저장하는 상황은 별도의 보안대책을 검토해야 하는 상황이 될 수 있습니다.

가이드라인에서도 생성형 AI 활용 환경을 예로 들어 이 원칙을 설명하고 있습니다.

정보 이동 원칙

업무정보가 자신의 등급보다 낮은 보안등급의 정보시스템으로 이동하는 경우에도 위협을 식별합니다.

예를 들어 S등급 업무정보가 업무영역에서 O등급의 외부 서비스로 이동한다면 해당 정보 이동 경로를 분석하고 필요한 통제를 적용해야 합니다.

가이드라인의 생성형 AI 활용 사례에서는 업무단말에서 외부 생성형 AI 서비스로 S등급 정보가 전송될 수 있는 상황을 위협 사례로 설명하며, 업로드 차단이나 연계 구간 필터링과 같은 통제 필요성을 예시로 제시합니다.

추가적인 위협도 함께 고려

N2SF의 「위치-주체-객체」 모델링은 구조적인 보안위협을 파악하기 위한 핵심 방법입니다.

그러나 실제 정보서비스에서는 다음과 같은 위협도 존재할 수 있습니다.

취약점
악성코드
서비스 거부 공격(DoS)
공급망 공격
내부자 위협
계정 탈취
잘못된 보안 설정
데이터 유출

가이드라인도 보다 다양한 위협을 충분히 고려하기 위해 위협 모델링 도구, 취약점 진단, 모의해킹, CTI 등의 추가 활동을 활용할 수 있다고 설명합니다.

또한 식별된 위협의 발생 가능성과 파급력 등을 고려하는 위험평가를 적용하여 보안대책의 우선순위를 정하는 방법도 고려할 수 있습니다.

4단계 — 보안대책 수립(Select)

위협을 찾았다면 다음 단계는 그 위협을 어떻게 줄일 것인지 결정하는 과정입니다.

Select 단계는 크게 두 가지 활동으로 구성됩니다.

① 보안 요구사항 도출

식별된 위협에 대응하기 위한 보안 요구사항을 정의합니다.

② 보안통제 선택

도출된 요구사항을 충족할 수 있는 관리적·물리적·기술적 보안통제를 선택하고 구현계획을 수립합니다.

보안 요구사항 도출

보안 요구사항은 단순히 제품 이름을 결정하는 것이 아닙니다.

예를 들어 다음과 같은 형태로 요구사항을 정의할 수 있습니다.

위협

S등급 업무정보가 외부 O등급 서비스로 전송될 가능성이 존재한다.

↓

보안 요구사항

S등급 정보가 외부 서비스로 전송되지 않도록 통제해야 한다.

↓

보안통제

정보 업로드 통제, 데이터 필터링, 접근통제, 사용자 인증 및 로그 관리 등의 통제 검토

이처럼 위협 → 보안 요구사항 → 보안통제로 연결하는 것이 N2SF 적용의 중요한 부분입니다.

가이드라인도 위협에 대해 예방·차단·탐지·대응·완화 등의 효과를 얻을 수 있도록 보안 요구사항을 도출하도록 설명합니다.

보안통제 선택

N2SF에서는 C/S/O 등급별 보안통제 우선 검토사항을 활용할 수 있습니다.

또한 기관의 특성과 정보서비스 환경에 따라 기본 통제 항목을 조정하거나 필요한 통제를 추가로 정의할 수도 있습니다.

즉, N2SF를 모든 기관에 동일한 보안제품이나 동일한 네트워크 구조를 적용하는 방식으로 이해해서는 안 됩니다.

기관의 업무 특성, 정보의 중요도, 시스템 구조, 관련 규정, 예산과 인력 등을 종합적으로 고려해 보안통제를 설계해야 합니다.

가이드라인에서는 보안통제 구현계획에 다음과 같은 내용을 포함하도록 제시합니다.

구현방법
기술적 요구사항
구현일정
구현 우선순위
책임자
인력·기술·예산 등 자원

5단계 — 적절성 평가·조정(Assess)

N2SF의 마지막 단계는 앞에서 수행한 결과를 다시 검토하는 단계입니다.

Assess 단계에서는 단순히 "보안통제를 적용했다"는 사실만 확인하는 것이 아니라,

준비 → C/S/O 분류 → 위협식별 → 보안대책 수립

전체 과정이 적절하게 수행되었는지를 확인합니다.

가이드라인은 Assess 단계를 다음 세 가지 활동으로 구성합니다.

적절성 평가
평가 결과 협의·조정
평가 결과 확인

적절성 평가

각 단계에서 만들어진 자료와 결과를 기준으로 수행 과정이 적절했는지 평가합니다.

예를 들어 다음과 같은 질문을 할 수 있습니다.

준비 단계

업무·기능이 적절하게 분석되었는가?
업무정보가 빠짐없이 식별되었는가?
정보시스템이 충분히 식별되었는가?
정보서비스 사용 시나리오가 적절한가?

C/S/O 단계

업무정보가 적절한 등급으로 분류되었는가?
정보시스템 등급이 업무정보 등급과 일관되는가?

위협식별 단계

위치-주체-객체 모델링이 수행되었는가?
등급 차이가 있는 지점이 식별되었는가?
정보 생산·저장 및 정보 이동 원칙을 적용했는가?
추가적인 보안위협을 충분히 검토했는가?

보안대책 단계

위협에 대응하는 보안 요구사항이 도출되었는가?
필요한 보안통제가 선택되었는가?
구현계획이 구체적인가?

가이드라인은 각 단계별 적절성 평가를 위한 권고 지표를 별도로 제시하고 있습니다.

문제가 발견되면 이전 단계로 돌아간다

N2SF는 일방향으로 한 번만 수행하는 절차가 아닙니다.

Assess 단계에서 문제가 발견되면 해당 문제의 영향을 받는 이전 단계의 활동을 다시 수행하고 조정할 수 있습니다.

예를 들어 C/S/O 등급분류가 변경되면 그 결과가 위협식별과 보안통제에 영향을 줄 수 있습니다.

따라서 등급분류를 수정한 경우 영향을 받는 위협식별이나 보안대책도 다시 검토해야 합니다.

가이드라인은 이러한 방식으로 문제가 발견된 활동과 그 영향을 받는 후속 활동을 재수행한 뒤 다시 적절성을 평가하도록 설명합니다.

N2SF 적용 후 보안성 검토

5단계 절차가 모두 완료되고 적절성 평가가 끝나면 최종 산출물을 정리합니다.

가이드라인에서는 전체 단계의 수행결과를 종합한 최종 산출물인 자체 보안대책을 국가정보원 보안성 검토 시 활용할 수 있도록 하고 있습니다.

즉, 전체 흐름을 간단히 정리하면 다음과 같습니다.

업무 분석

↓

업무정보 식별

↓

정보시스템·정보서비스 식별

↓

C/S/O 등급분류

↓

위치-주체-객체 모델링

↓

보안위협 식별

↓

보안 요구사항 도출

↓

보안통제 선택 및 구현계획

↓

적절성 평가·조정

↓

최종 산출물 작성

↓

보안성 검토

실제 적용 시 중요한 포인트

① 네트워크부터 보는 것이 아니라 '업무'부터 분석한다

N2SF를 적용할 때 단순히 방화벽, 망분리, VPN 등의 네트워크 장비부터 검토하는 방식으로 접근하기보다는 기관의 업무와 업무정보를 먼저 파악하는 것이 중요합니다.

가이드라인 역시 기관 업무·기능 → 업무정보 → 정보시스템 → 정보서비스로 이어지는 관계를 바탕으로 N2SF를 적용하도록 구성하고 있습니다.

② 정보의 중요도를 먼저 판단한다

동일한 네트워크에 있다고 해서 모든 정보가 동일한 보안 수준을 필요로 하는 것은 아닙니다.

C/S/O 분류를 통해 업무정보의 중요도를 구분하고, 그 결과를 정보시스템과 정보서비스 보안설계에 연결하는 것이 N2SF의 중요한 특징입니다.

③ 클라우드·AI도 정보 흐름을 기준으로 분석한다

N2SF는 특정 기술을 무조건 허용하거나 금지하는 방식보다는 정보가 어디에서 생성되고 어디에 저장되며 어디로 이동하는지를 분석하는 접근을 취합니다.

특히 생성형 AI, SaaS, 클라우드 서비스 등을 사용하는 경우에는 외부 서비스와의 정보 이동을 면밀하게 분석할 필요가 있습니다.

가이드라인 자체에서도 생성형 AI 활용 환경을 위협식별 예제로 활용하고 있습니다.

④ N2SF만 보고 끝내서는 안 된다

N2SF 가이드라인은 공통적으로 필요한 자체 보안대책 수립 절차를 제시하지만, 실제 사업에서는 관련 법령과 기관별 지침, 분야별 보안 가이드라인 등을 함께 검토해야 합니다.

가이드라인도 클라우드 서비스를 이용하는 경우 관련 클라우드 보안 가이드라인을, 생성형 AI를 이용하는 경우 생성형 AI 관련 보안 가이드라인을 함께 고려하도록 설명합니다.

N2SF 5단계 실무 체크리스트

단계	핵심 질문	주요 결과
Prepare	무엇을 보호해야 하는가?	업무·정보·시스템·서비스 식별
Categorize	얼마나 중요한 정보인가?	C/S/O 등급
Identify	어떤 위협이 존재하는가?	위협 및 보안통제 적용지점
Select	어떻게 보호할 것인가?	보안 요구사항·보안통제·구현계획
Assess	제대로 수행했는가?	평가·조정 및 최종 산출물

이러한 5단계 구조는 N2SF의 핵심적인 업무 흐름입니다.

국가 망 보안체계(N2SF)는 기존의 획일적인 네트워크 중심 보안에서 벗어나 업무와 정보의 중요도, 정보서비스의 구조, 실제 위협을 바탕으로 보안대책을 설계하는 접근법으로 이해할 수 있습니다.

특히 N2SF 적용에서 중요한 것은 단순히 C/S/O 등급을 부여하는 것이 아니라,

① 업무를 이해하고 → ② 업무정보를 식별하고 → ③ 시스템과 서비스의 관계를 파악하고 → ④ 위협을 식별하고 → ⑤ 필요한 보안통제를 설계하고 → ⑥ 결과를 평가·조정하는 것

입니다.

따라서 클라우드, 생성형 AI, SaaS, 원격근무 등 새로운 정보서비스 환경을 도입하려는 국가·공공기관에서는 정보의 흐름과 보안등급을 기준으로 보안대책을 체계적으로 설계하는 것이 중요합니다.

N2SF 가이드라인은 이러한 과정을 5개의 단계와 세부 활동으로 구조화하여 기관이 자체적으로 보안대책을 수립할 수 있도록 지원합니다. 공개된 자료에서도 N2SF의 5단계와 C/S/O 기반 접근 방식이 동일하게 소개되고 있습니다.

핵심 정리:
Prepare → Categorize → Identify → Select → Assess
업무를 분석하고, 정보를 분류하고, 위협을 찾고, 보안통제를 선택한 뒤, 전체 결과를 평가·조정하는 것이 N2SF 적용의 기본 흐름입니다.