국가 망 보안체계(N2SF)의 산출물과 보안성 검토

정보화사업에서 무엇을 준비하고 어떻게 보안성 검토와 연결할까?

최근 국가·공공기관의 정보서비스 환경은 클라우드, 생성형 AI, 원격업무 등 새로운 기술과 업무방식의 확산으로 빠르게 변화하고 있습니다. 이에 따라 보안 역시 단순히 망을 분리하는 방식에서 벗어나 정보의 중요도와 실제 위협을 고려해 필요한 보안통제를 적용하는 방향으로 변화하고 있습니다.

이러한 변화의 핵심에 있는 것이 국가 망 보안체계(N2SF, National Network Security Framework)입니다.

2025년 9월 공개된 「국가 망 보안체계 보안 가이드라인 1.0」은 N2SF를 각급기관의 업무정보와 정보시스템을 식별하고, 중요도에 따라 기밀(C), 민감(S), 공개(O)로 분류한 뒤 등급에 맞는 보안통제를 적용하는 보안 프레임워크로 설명합니다.

특히 N2SF를 실제 정보화사업에 적용할 때 중요한 부분이 바로 '산출물'과 '보안성 검토'입니다.

N2SF에서 산출물이 중요한 이유

N2SF는 단순히 보안 솔루션을 도입하는 절차가 아닙니다.

정보화사업의 업무와 정보를 먼저 파악하고,

준비 → C/S/O 등급분류 → 위협식별 → 보안대책 수립 → 적절성 평가·조정

의 5단계 절차를 수행합니다.

첨부 가이드라인에서도 각 단계의 수행결과가 서로 영향을 주며, 마지막 적절성 평가·조정 단계에서 이를 종합해 최종 산출물을 완성하도록 설명하고 있습니다.

따라서 최종 산출물은 단순한 행정문서가 아니라,

"왜 이러한 보안대책을 선택했는가?"

를 설명할 수 있는 보안 의사결정의 결과물이라고 볼 수 있습니다.

N2SF의 5단계와 산출물의 관계

① 준비(Prepare)

첫 단계에서는 정보화사업의 범위를 정하고 관련 업무와 기능을 분석합니다.

주요 내용은 다음과 같습니다.

• N2SF 적용계획 수립

• 기관 업무·기능 분석

• 업무정보 식별

• 정보시스템 식별

• 정보서비스 식별

• 정보서비스 사용 시나리오 정의

• 기초적인 보안목표 설정

특히 어떤 업무정보가 어떤 시스템에서 생성·저장·처리·이동되는지 파악하는 것이 중요합니다.

② C/S/O 등급분류(Categorize)

식별한 업무정보와 정보시스템을 중요도에 따라 분류합니다.

• C(Classified) : 기밀

• S(Sensitive) : 민감

• O(Open) : 공개

가이드라인은 업무정보의 등급을 먼저 분류한 뒤 이를 기반으로 정보시스템의 등급을 결정하는 구조를 제시합니다.

서로 다른 등급의 업무정보가 하나의 시스템에 존재한다면 가장 높은 등급을 해당 시스템의 등급으로 분류하는 원칙도 제시하고 있습니다.

이 과정의 결과는 최종 산출물의 C/S/O 등급분류 부분에 반영됩니다.

위협식별 단계에서 산출물의 핵심 내용이 만들어진다

세 번째 단계인 위협식별(Identify)에서는 정보서비스 환경을 모델링하고 발생 가능한 보안위협을 찾아냅니다.

N2SF에서는 특히 '위치-주체-객체' 모델링을 활용합니다.

정보서비스를 구성하는 영역과 시스템, 연결관계를 단순화한 후 각각의 보안등급을 비교함으로써 등급이 서로 다른 지점에서 발생할 수 있는 위협을 찾아냅니다.

또한 정보의 생산·저장과 이동 과정에서 보안등급 차이가 발생하는지 확인하여 보안대책이 필요한 지점을 파악합니다.

즉,

정보서비스 구조 → 보안등급 → 위협 → 보안 요구사항

이라는 연결관계가 만들어집니다.

보안대책 수립 단계에서는 위협을 통제로 연결한다

위협을 찾았다면 그 위협을 해결하기 위한 보안 요구사항을 도출합니다.

그리고 보안 요구사항을 충족하기 위한 관리적·물리적·기술적 보안통제를 선택합니다.

가이드라인에서는 보안통제 선택 시 다음 사항을 고려하도록 설명합니다.

• C/S/O 등급별 우선 검토사항

• 정보서비스의 특성

• 기관의 보안환경

• 관련 규정과 지침

• 기술적 환경

• 구현 가능성

• 기존 시스템과의 호환성

또한 N2SF 기본 통제항목만으로 충분하지 않은 경우 기관이 자체적으로 보안통제를 추가할 수도 있습니다.

그리고 선택한 보안통제에 대해서는 구현계획을 수립합니다.

구현계획에는 예를 들어 다음과 같은 내용이 포함될 수 있습니다.

• 적용 대상

• 구현 방법

• 제품 도입 또는 개발 방법

• 구현·운영 요건

• 담당자

• 필요한 자원

• 일정

• 운영 및 관리 방법

적절성 평가·조정은 최종 산출물 전 단계

마지막 단계인 적절성 평가·조정(Assess)에서는 앞선 단계의 수행결과를 다시 확인합니다.

단순히 문서가 작성됐는지를 보는 것이 아니라 각 단계에서 도출된 결과가 적절하게 연결되어 있는지를 확인하는 것이 중요합니다.

예를 들어,

업무정보 → C/S/O 등급 → 위협 → 보안 요구사항 → 보안통제 → 구현계획

의 연결이 논리적으로 맞아야 합니다.

평가 과정에서 부적합 사항이 발견되면 해당 단계와 영향을 받는 후속 활동을 다시 수행할 수 있습니다.

가이드라인은 모든 평가항목이 적합하고 국가정보원 보안성 검토 의뢰에 필요한 사항이 준비된 경우 정보보안담당관이 최종 확인하도록 설명하고 있습니다.

보안성 검토 시 제출하는 4가지 핵심 문서

N2SF 가이드라인에서 제시하는 중요한 내용 중 하나가 바로 보안성 검토 시 제출하는 최종 산출물입니다.

가이드라인에 따르면 국가정보원 보안성 검토 시 제출하는 문서는 다음 4종입니다.

① 사업계획서

사업계획서에는 단순한 사업 목적과 추진일정뿐만 아니라 N2SF 수행을 통해 결정된 보안통제를 실제 사업에서 어떻게 구현할 것인지가 반영되어야 합니다.

즉,

사업 목적 → 시스템 구축 → 보안 요구사항 → 보안통제 → 구현계획

이 연결되어야 합니다.

② 제안요청서(RFP)

제안요청서는 실제 사업자가 시스템을 구축할 때 따라야 할 요구사항을 담는 문서입니다.

따라서 N2SF에서 도출된 보안 요구사항과 보안통제가 실제 사업의 제안요청사항에 반영되는 것이 중요합니다.

예를 들어 특정 인증방식, 네트워크 분리, 접근통제, 로그관리 등의 보안통제가 필요하다면 사업자가 이를 구현할 수 있도록 RFP에 요구사항으로 반영해야 합니다.

③ 정보통신망 구성도

정보통신망 구성도에는 N2SF 수행결과를 바탕으로 결정된 보안통제가 실제 네트워크 구조에 어떻게 적용되는지가 표현됩니다.

따라서 단순한 장비 배치도가 아니라,

• 네트워크 영역

• 정보시스템

• 정보서비스

• 외부 연계

• 내부 연계

• 보안통제 적용 위치

등을 확인할 수 있도록 구성하는 것이 중요합니다.

가이드라인 역시 N2SF 수행을 통해 수립한 보안통제가 적용된 네트워크 구조를 구성도에 반영하도록 설명합니다.

가장 중요한 최종 산출물: 자체 보안대책

N2SF에서 특히 중요한 최종 산출물이 자체 보안대책입니다.

가이드라인은 자체 보안대책을 N2SF 5단계 주요활동의 결과를 종합한 최종 산출물로 제시하고 있으며 별도의 서식을 제공합니다.

가이드라인의 최종 산출물 서식은 크게 다음과 같은 구조로 구성됩니다.

① 정보서비스 보안목표

먼저 정보서비스에 적용할 기초적인 보안 요구사항을 정리합니다.

예를 들어 네트워크 영역의 분리, 필요한 인터넷 서비스만 허용, 특정 시스템 간 동시 연결 제한 등의 보안목표가 제시될 수 있습니다.

② C/S/O 등급분류

정보시스템과 업무정보를 표 형태로 정리합니다.

예를 들면,

와 같은 방식으로 정보와 시스템의 보안등급 관계를 정리할 수 있습니다.

③ 보안 요구사항 및 보안통제

이 부분에서는 위협과 보안 요구사항, 보안통제의 관계를 정리합니다.

가이드라인의 예시 구조는 다음과 같은 형태입니다.

보안위협 발생지점 → 보안 요구사항 → 보안통제 항목

N2SF 기본 통제항목을 적용할 수도 있고, 필요한 경우 기관 자체 보안통제를 정의하여 추가할 수도 있습니다.

④ 보안통제 구현계획

선정된 보안통제를 실제 시스템에 어떻게 적용할 것인지 구체화합니다.

가이드라인의 예시에는 다음과 같은 항목이 포함됩니다.

• 보안통제 항목

• 적용 대상

• 보안통제 적용 방안

• 보안통제 구현·운영 요건

• 비고

따라서 자체 보안대책은 단순히 "MFA를 적용한다"라고 적는 것보다 어디에, 어떤 방식으로, 어떤 조건에서 적용하고 어떻게 운영할 것인지까지 구체화하는 것이 중요합니다.

보안성 검토를 준비할 때 확인해야 할 연결관계

N2SF 산출물을 준비할 때 가장 중요한 것은 문서 각각을 따로 만드는 것이 아니라 문서 간 내용이 일관되도록 만드는 것입니다.

예를 들어 다음과 같은 연결관계를 생각할 수 있습니다.

업무정보

↓

C/S/O 등급

↓

정보시스템

↓

위협식별

↓

보안 요구사항

↓

보안통제

↓

구현계획

↓

정보통신망 구성도

↓

사업계획서 / 제안요청서

↓

자체 보안대책

이 구조가 일관되게 유지되어야 합니다.

실무적으로 특히 주의할 부분

첫째, C/S/O 등급의 근거가 명확해야 합니다.

단순히 시스템에 C/S/O 등급을 부여하는 것이 아니라 어떤 업무정보를 처리하기 때문에 해당 등급이 결정됐는지를 설명할 수 있어야 합니다.

둘째, 위협과 보안통제를 연결해야 합니다.

보안통제를 먼저 정하고 위협을 나중에 끼워 맞추기보다는,

위협 → 보안 요구사항 → 보안통제

순서로 논리를 구성하는 것이 N2SF의 취지에 부합합니다.

셋째, 구성도와 자체 보안대책이 일치해야 합니다.

자체 보안대책에서는 네트워크 분리를 설명하면서 실제 구성도에는 해당 분리가 나타나지 않는다면 문서 간 불일치가 발생할 수 있습니다.

넷째, RFP에도 보안 요구사항을 반영해야 합니다.

자체 보안대책에만 보안통제가 존재하고 제안요청서에는 관련 요구사항이 없다면 실제 사업자가 해당 보안통제를 구현해야 하는 근거가 약해질 수 있습니다.

다섯째, 변경사항이 발생하면 영향범위를 다시 확인해야 합니다.

정보서비스 구조를 변경하거나 시스템을 추가하면 기존의 위협식별과 보안통제에도 영향을 줄 수 있습니다.

가이드라인 역시 정보서비스 모델의 구조를 변경하거나 추가하는 경우 영향을 받는 부분에 대해 위협식별과 보안대책 수립 등을 고려하도록 설명합니다.

2026년 현재 N2SF와 보안성 검토의 변화

N2SF는 2025년 가이드라인 발표 이후 실제 공공부문 적용 단계로 확대되고 있습니다.

한국인터넷진흥원(KISA)은 2026년 N2SF 도입 지원사업을 추진하면서 국가·공공기관의 N2SF 적용을 지원하고 있으며, 사업 내용에는 N2SF 적용 대상 식별, C/S/O 등급분류, 적절성 조정 및 운영계획 수립 등이 포함되어 있습니다.

또한 KISA는 2026년 4월 「국가 망 보안체계(N2SF) 실증 사례집」을 공개했습니다. 이 자료는 실제 국가·공공기관 업무환경에서 N2SF를 실증한 사례를 바탕으로 만들어졌으며, 기관별 네트워크 구성과 연동 시스템, 보안정책 등을 고려해 재설계하여 적용할 것을 안내하고 있습니다.

특히 현재 공개된 국가정보보안 관련 지침에서는 보안성 검토 제출문서로 사업계획서, 제안요청서, 정보통신망 구성도, 자체 보안대책을 제시하고 있으며, N2SF·클라우드·AI 관련 사업의 경우 해당 보안 가이드라인의 체크리스트와 산출물 등을 포함하도록 2026년 개정 내용이 반영되어 있습니다.

따라서 N2SF 산출물은 앞으로 정보화사업 초기 단계에서부터 고려해야 하는 중요한 보안 문서 체계로 볼 수 있습니다.

한눈에 보는 N2SF 산출물 준비 흐름

STEP 1. 사업 범위 정의

→ 기관 업무·기능 분석

STEP 2. 업무정보 및 시스템 식별

→ 무엇을 처리하는지 파악

STEP 3. C/S/O 분류

→ 정보와 시스템의 중요도 결정

STEP 4. 정보서비스 모델링

→ 위치·주체·객체 관계 분석

STEP 5. 위협식별

→ 보안위협 및 적용지점 파악

STEP 6. 보안 요구사항 도출

→ 위협에 필요한 보안 요구사항 정의

STEP 7. 보안통제 선택

→ N2SF 통제 또는 자체 통제 적용

STEP 8. 구현계획 수립

→ 제품·개발·운영 방법 및 담당자·일정 정의

STEP 9. 적절성 평가·조정

→ 단계별 결과 검증 및 필요사항 보완

STEP 10. 최종 산출물 작성

→ 자체 보안대책 작성

STEP 11. 사업문서 반영

→ 사업계획서·RFP·망 구성도에 보안통제 반영

STEP 12. 보안성 검토 준비

→ 4종 제출문서의 내용 일관성 확인

국가 망 보안체계(N2SF)의 핵심은 단순히 기존 망 분리 방식을 다른 방식으로 바꾸는 데 있는 것이 아니라, 정보의 중요도와 실제 위협을 분석하고 그 결과에 맞는 보안통제를 설계하는 것에 있습니다.

그리고 이러한 판단 과정은 최종적으로 문서화되어야 합니다.

특히 보안성 검토를 준비하는 정보화사업이라면 사업계획서, 제안요청서, 정보통신망 구성도, 자체 보안대책을 각각 별개의 문서로 생각하기보다 하나의 보안 설계 결과를 서로 다른 관점에서 표현하는 문서로 이해하는 것이 중요합니다.

결국 좋은 N2SF 산출물은 "보안 솔루션을 많이 적용했다"는 것을 보여주는 문서가 아니라,

어떤 정보를 처리하고 → 어떤 위협이 발생할 수 있으며 → 어떤 보안 요구사항이 필요한지 → 어떤 보안통제를 선택했고 → 이를 어떻게 구현할 것인지

를 일관된 논리로 설명할 수 있는 문서라고 할 수 있습니다.