국가사이버보안기본지침 제2절 「보안성 검토」 완벽 이해하기

국가·공공기관 정보화사업 담당자가 알아야 할 검토 대상, 절차, 제출자료와 실무 체크포인트

한 줄 요약
정보화사업의 보안성 검토는 사업이 시작된 뒤 보안을 추가하는 절차가 아니라, 사업 공고 전에 보안대책의 적절성을 확인하고 그 결과를 사업계획과 제안요청서에 반영하는 사전 보안 절차입니다.

보안성 검토란 무엇인가?

공공기관에서 새로운 정보시스템을 구축하거나 정보통신망을 변경할 때 가장 먼저 생각해야 할 것 중 하나가 바로 보안성 검토입니다.

쉽게 말하면 보안성 검토는 다음 질문에 답하는 절차입니다.

"이 정보화사업을 현재 계획대로 추진해도 국가·공공기관의 정보와 정보통신망을 안전하게 보호할 수 있는가?"

「국가사이버보안기본지침」 제14조는 정보화사업과 관련한 보안대책의 적절성을 평가하기 위해 사업 계획 단계, 즉 사업 공고 전에 보안성 검토 절차를 이행하도록 규정하고 있습니다. 또한 보안성 검토는 원칙적으로 서면으로 실시하고, 필요한 경우 현장 확인을 병행할 수 있습니다.

따라서 보안성 검토는 단순한 행정문서 확인 절차가 아니라,

사업기획 → 보안 요구사항 반영 → 사업 발주 → 구축 → 운영

이라는 정보화사업 전체 과정에서 보안을 출발점부터 반영하기 위한 장치라고 이해하는 것이 좋습니다.

가장 중요한 원칙: "사업 공고 전에 검토"

정보화사업 담당자가 가장 먼저 기억해야 할 사항은 시점입니다.

사업 공고 전에 해야 한다

지침 제14조에서는 보안성 검토를 사업 계획 단계(사업 공고 전)에 실시하도록 하고 있습니다.

이를 업무 흐름으로 표현하면 다음과 같습니다.

사업 기획

↓

사업계획서 작성

↓

보안 요구사항 및 자체 보안대책 수립

↓

보안성 검토

↓

검토 결과 반영 및 보안대책 보완

↓

제안요청서 확정

↓

사업 공고

↓

사업자 선정 및 계약

↓

시스템 구축

이 순서를 지키는 것이 중요합니다.

왜 사업 공고 전에 해야 할까?

예를 들어 기관에서 새로운 업무시스템을 구축한다고 가정해 보겠습니다.

사업 공고가 이미 끝난 뒤 보안성 검토를 진행했는데 다음과 같은 문제가 발견될 수 있습니다.

• 인터넷 연계가 예상보다 위험함

• 클라우드 이용 방식에 추가 보안조치가 필요함

• 개인정보 처리 규모가 커서 별도의 보안대책이 필요함

• 외부기관과의 연계에 대한 통제가 부족함

• 네트워크 구성에 보완이 필요함

• AI 시스템을 활용하면서 별도의 보안대책이 필요함

이 경우 이미 작성한 제안요청서를 수정하거나 사업계획 자체를 변경해야 할 수 있습니다.

따라서 보안성 검토는 발주 이후의 점검이 아니라 발주 전에 설계하는 보안이라고 이해하면 쉽습니다.

누가 보안성 검토를 하는가?

모든 정보화사업을 동일한 기관이 검토하는 것은 아닙니다.

지침 제15조는 정보화사업의 중요도와 특성에 따라 국가정보원, 상급기관 또는 자체적인 검토 체계로 구분할 수 있도록 하고 있습니다.

특히 국가정보원은 일정한 중요 정보화사업에 대해 보안성 검토를 실시할 수 있으며, 사업의 규모와 중요도를 고려하여 상급기관의 장에게 검토를 위임할 수도 있습니다.

국가정보원 검토 대상 사업은 무엇인가?

2026년 5월 1일 개정된 지침에서는 국가정보원 검토 대상에 다양한 중요 정보화사업이 포함되어 있습니다.

대표적인 유형을 살펴보면 다음과 같습니다.

① 국가 망 보안체계(N2SF) 적용 사업

국가 망 보안체계(N2SF) 정보서비스 모델 구축을 포함한 N2SF 적용 사업이 대상에 포함됩니다.

이는 2026년 개정에서 특히 주목해야 하는 부분입니다.

② 국가정보원이 개발하거나 안전성을 확인한 암호자재 적용 사업

특정 암호자재를 적용하는 정보통신망 또는 정보시스템 구축사업도 대상입니다.

③ 국가안보와 관련된 중요 정보통신망·정보시스템

외교·국방 등 국가안보상 중요한 정보통신망 또는 정보시스템 구축사업이 포함됩니다.

④ 대규모 민감정보·고유식별정보 처리 시스템

100만 명 이상의 개인에 대한 「개인정보 보호법」상 민감정보 또는 고유식별정보를 처리하는 정보시스템 구축사업이 대상입니다.

⑤ 주요정보통신기반시설 관련 사업

주요정보통신기반시설로 지정이 필요한 정보통신기반시설 구축사업도 포함됩니다.

⑥ 제어시스템

지침 제53조의2에 따른 제어시스템 도입사업도 검토 대상입니다.

⑦ 국가위기관리 관련 시스템

재난관리, 국민안전, 치안유지, 비상사태 대비 등 국가위기 관리와 관련된 정보통신망 또는 정보시스템 구축사업이 해당됩니다.

⑧ 여러 기관이 공동 활용하는 시스템

국가정보통신망 등 여러 기관이 공동으로 사용하는 정보통신망 또는 정보시스템 구축사업도 대상입니다.

⑨ 국가 차원의 주요 데이터베이스

행정정보, 국가지리정보, 환경정보 등 국가 차원의 주요 데이터베이스 구축사업이 포함됩니다.

⑩ 국제행사 관련 시스템

정상회의, 국제회의 등 국제행사를 위한 정보통신망 또는 정보시스템 구축사업도 해당됩니다.

2026년 개정에서 특히 눈여겨볼 대상

2026년 5월 1일 개정 지침에서는 최근 기술환경을 반영하여 검토 대상이 더욱 확대되었습니다.

대표적으로 다음 사업들이 포함되어 있습니다.

• 민간 클라우드컴퓨팅서비스 이용 사업

• 다른 기관의 정보통신망 또는 정보시스템과 연동하는 사업

• 대규모 백업·재해복구센터 구축

• 국가 재난 또는 위기 상황에서의 온라인 유지보수

• 인공지능을 활용하는 정보통신망 또는 정보시스템 구축

• 우주시스템 관련 시스템 구축 또는 도입

특히 AI와 우주 분야가 보안성 검토 대상에 명시된 것은 최근 정보화 환경의 변화를 반영한 부분입니다.

따라서 앞으로 정보화사업 담당자는 단순히 "서버를 구축하는 사업인가?"만 볼 것이 아니라,

클라우드인가?
AI를 사용하는가?
외부기관과 연계하는가?
대규모 데이터를 처리하는가?
재난·위기 대응과 관련되는가?
N2SF를 적용하는가?

등을 함께 확인해야 합니다.

상급기관이 검토하는 정보화사업

국가정보원 검토 대상과 별도로 상급기관의 장이 보안성 검토를 실시하는 대상도 있습니다.

대표적으로 다음과 같은 사업이 포함됩니다.

• 홈페이지 및 웹메일 등 웹기반 정보시스템 구축

• 인터넷전화시스템 구축

• 공개등급 도메인 구축

• 주요정보통신기반시설 취약점 분석·평가 및 사이버보안 컨설팅 등 용역사업

• 영상회의시스템 구축

• 영상정보처리기기 구축

• 백업시스템 구축

• 대민 콜센터시스템 구축

• 기관장이 필요하다고 판단하는 정보통신망 또는 정보시스템 구축

지침은 상급기관이 하급기관의 반복적인 보안성 검토 요청 유형에 대해 개별 사업마다 반복적으로 검토하는 대신 사전에 기준을 작성·배포할 수 있도록 하고 있습니다. 하급기관이 해당 기준을 준수해 사업계획을 수립하면 보안성 검토 절차를 이행한 것으로 볼 수 있습니다. 다만 상급기관은 해당 사업 현황을 파악하고 필요한 경우 현장점검을 실시할 수 있습니다.

이 부분은 여러 소속기관을 관리하는 중앙행정기관이나 공공기관에서 특히 활용도가 높습니다.

보안성 검토를 생략할 수 있는 경우

"모든 정보화사업을 무조건 보안성 검토해야 하는가?"

그렇지는 않습니다.

지침 제16조에서는 일정한 사업에 대해 보안성 검토 절차를 생략할 수 있도록 하고 있습니다.

다만 중요한 조건이 있습니다.

검토를 생략하더라도 자체 보안대책을 수립·시행해야 합니다.

즉,

보안성 검토 생략 = 보안조치 생략

이 아닙니다.

이 차이를 반드시 이해해야 합니다.

보안성 검토 생략 대상 ① 단순 장비·물품 도입

제15조의 검토 대상에 해당하지 않는 단순 장비·물품 도입은 보안성 검토를 생략할 수 있습니다.

예를 들어 단순한 장비 교체나 물품 구매가 사업의 본질이고 정보통신망이나 시스템의 중요한 구조 변경이 없다면 검토 생략 대상에 해당할 수 있습니다.

하지만 실제 사업 내용이 단순 구매를 넘어선다면 주의해야 합니다.

예를 들어,

단순 PC 구매

와

PC를 대규모로 신규 도입하면서 새로운 업무시스템·망을 구성하는 사업

은 보안 관점에서 동일하게 볼 수 없습니다.

따라서 "구매사업이니까 무조건 생략"이라고 판단해서는 안 됩니다.

보안성 검토를 완료한 시스템의 단순 후속 운영

이미 보안성 검토를 완료한 정보화사업의 후속 운영·유지보수 중 일부도 검토를 생략할 수 있습니다.

단, 중요한 조건은 정보통신망 구성을 변경하지 않는 범위라는 것입니다.

지침은 다음과 같은 사례를 제시하고 있습니다.

• 서버·스토리지·네트워크장비 등의 단순 장비 교체

• 전화기·무전기·CCTV 등의 노후 장비 교체

• 기존 정보보호시스템을 동일한 보안기능을 가진 다른 정보보호시스템으로 교체

• 사업자 변경이나 임대기간 종료 등 단순 후속 운영 절차

2026년 개정에서는 사업자 변경이나 임대기간 종료 등 단순 후속 운영을 위한 절차가 명시적으로 추가되었습니다.

실무에서 가장 중요한 판단 기준

장비가 바뀌었는지가 아니라,

"기존에 검토했던 정보통신망 구성과 보안환경이 실질적으로 달라지는가?"

를 먼저 살펴보는 것이 중요합니다.

다년도 사업도 무조건 매년 다시 검토하는 것은 아니다

다년도에 걸쳐 계속되는 사업의 경우,

• 사업 착수 당시 보안성 검토를 완료했고

• 이후 사업 내용에 변동이 없다면

운영·유지사업에 대해서는 보안성 검토를 생략할 수 있습니다.

다만 사업 내용이나 시스템 구조가 변경된다면 이야기가 달라집니다.

예를 들어 처음에는 단순 내부업무 시스템이었지만 다음 연도에

• 인터넷 서비스를 추가하거나

• 클라우드로 이전하거나

• AI 기능을 추가하거나

• 외부기관과 데이터를 연계하거나

• 개인정보 처리 범위를 크게 확대한다면

기존 검토 결과만으로 충분한지 다시 확인할 필요가 있습니다.

PC·프린터·상용 소프트웨어 등의 단순 구매·교체

PC, 프린터 및 상용 소프트웨어 등의 단순 제품 구매·교체, 라이선스 기간 연장 또는 사용자 수 증감도 검토 생략 대상에 포함됩니다.

그러나 여기서도 "단순"이라는 성격이 중요합니다.

단순 라이선스 갱신과 새로운 업무시스템 도입은 동일하지 않습니다.

따라서 정보화사업 담당자는 사업명보다 실제 사업 내용과 정보통신망 변화 여부를 기준으로 판단하는 것이 안전합니다.

검토를 생략해도 기존 보안성 검토 결과는 지켜야 한다

제16조의 중요한 내용 중 하나입니다.

검토 생략 대상이라 하더라도 기존 보안성 검토 결과를 준수해야 합니다.

즉,

기존 검토 결과 → 운영·유지 단계에서도 계속 준수

라는 원칙입니다.

따라서 사업 담당자는 기존 보안성 검토 결과서나 보안대책을 사업관리 자료와 함께 관리하는 것이 좋습니다.

보안성 검토 신청 시 제출해야 하는 자료

지침 제17조에서는 보안성 검토를 의뢰할 때 제출해야 할 자료를 명확하게 제시하고 있습니다.

기본적으로 다음 4가지입니다.

① 사업계획서

사업 목적과 추진계획을 포함해야 합니다.

단순히 "시스템을 구축한다"는 수준보다는,

• 무엇을 구축하는지

• 왜 구축하는지

• 누가 사용하는지

• 어떤 데이터를 처리하는지

• 어떤 기관과 연계하는지

• 언제 구축하는지

등이 명확하게 드러나는 것이 좋습니다.

② 제안요청서

실제 사업자에게 요구할 기술적·관리적 사항을 담은 문서입니다.

보안 요구사항이 제안요청서에 제대로 반영되어 있어야 사업자가 사업 수행 과정에서 이를 준수하도록 계약·사업관리 단계와 연결할 수 있습니다.

③ 정보통신망 구성도

정보통신망 구성도를 제출해야 하며, 필요한 경우 IP 주소체계도 추가합니다.

구성도에는 최소한 다음과 같은 정보가 명확하게 표현되는 것이 실무적으로 유용합니다.

• 사용자 영역

• 서버 영역

• 네트워크 영역

• 보안장비

• 인터넷 연결

• 외부기관 연계

• 클라우드 연결

• 주요 정보시스템

• 데이터 흐름

④ 자체 보안대책

가장 중요한 부분 중 하나입니다.

지침은 자체 보안대책을 제출하도록 하고 있으며, N2SF·클라우드·AI 관련 정보화사업은 해당 보안가이드라인의 체크리스트와 산출물 등을 포함하도록 2026년에 개정되었습니다.

즉, 최신 정보화사업에서는 단순히 "방화벽을 설치한다" 정도로 끝나는 것이 아니라 해당 사업 유형에 맞는 보안 요구사항과 산출물을 함께 준비해야 합니다.

자체 보안대책은 어떻게 작성하면 좋은가?

정보화사업 담당자가 가장 어려워하는 부분이 바로 자체 보안대책입니다.

다음과 같은 구조로 작성하면 이해하기 쉽습니다.

① 관리적 보안

예:

• 보안책임자 지정

• 업무 담당자 역할

• 용역업체 보안관리

• 접근권한 관리

• 보안교육

• 보안사고 대응체계

• 산출물 관리

② 물리적 보안

예:

• 서버실 출입통제

• 장비 반출입 통제

• 저장매체 관리

• 시설 접근통제

• 백업시설 보호

③ 기술적 보안

예:

• 네트워크 접근통제

• 계정 및 인증

• 암호화

• 로그관리

• 취약점 관리

• 악성코드 대응

• 데이터 보호

• 보안관제

• 백업 및 복구

④ 사업 특성별 보안

클라우드라면:

클라우드 서비스 환경과 데이터 보호, 접근통제, 관리주체 등을 검토

AI라면:

AI 시스템 특성에 맞는 보안가이드라인의 체크리스트와 산출물 반영

N2SF 사업이라면:

N2SF 적용 절차와 관련 산출물을 반영

하는 방식으로 구성할 수 있습니다.

보안성 검토 결과를 받으면 끝인가?

아닙니다.

오히려 여기서부터가 중요합니다.

지침 제18조에서는 보안성 검토 결과를 통보받은 기관의 장이 검토 결과를 반영하여 보안대책을 보완하도록 규정하고 있습니다. 또한 보안성 검토 기관의 장은 검토결과의 반영 여부를 확인하기 위해 현장점검을 실시할 수 있습니다.

즉,

검토 → 결과 통보 → 보완 → 실제 사업 반영

이 하나의 과정입니다.

보안성 검토 의견을 단순히 문서로 보관하는 것으로 업무가 끝나는 것이 아닙니다.

보안성 검토 결과를 사업에 어떻게 반영할까?

실무적으로는 다음과 같이 관리하는 것이 좋습니다.

이렇게 관리하면 나중에 "검토 의견을 실제로 이행했는가?"라는 질문에 객관적인 자료로 답할 수 있습니다.

보안성 검토 현황도 관리해야 한다

제19조에서는 상급기관의 장이 전년도 해당 기관 및 관할 하급기관의 정보화사업 보안성 검토 결과 현황을 매년 1월 25일까지 국가정보원장에게 제출하도록 규정하고 있습니다. 국방부에 대해서는 본부 및 소속기관에 한정하는 별도 규정이 있습니다.

따라서 기관 내부에서도 최소한 다음과 같은 관리대장을 유지하는 것이 유용합니다.

• 사업명

• 사업부서

• 사업기간

• 사업금액

• 사업유형

• 보안성 검토 대상 여부

• 검토기관

• 검토일자

• 검토결과

• 주요 보완사항

• 조치 완료 여부

• 증빙자료

• 검토 생략 여부 및 사유

정보화사업 담당자를 위한 "보안성 검토 10단계"

실무에서는 다음 순서로 확인하면 편리합니다.

STEP 1. 정보화사업인지 확인

단순 물품구매인지 정보화사업인지 구분합니다.

STEP 2. 사업 내용을 구체화

시스템, 네트워크, 데이터, 사용자, 연계기관 등을 파악합니다.

STEP 3. 정보의 중요도 확인

어떤 업무정보를 처리하는지 확인합니다.

STEP 4. 검토 대상 여부 확인

제15조의 국가정보원 또는 상급기관 검토 대상에 해당하는지 확인합니다.

STEP 5. 검토 생략 대상인지 확인

제16조에 해당하는지 확인합니다.

STEP 6. 자체 보안대책 작성

관리적·물리적·기술적 보안대책을 작성합니다.

STEP 7. 필요한 자료 준비

사업계획서, 제안요청서, 망 구성도, 자체 보안대책을 준비합니다.

STEP 8. 사업 공고 전에 검토 완료

사업 공고 전에 보안성 검토 절차를 완료하도록 일정을 관리합니다.

STEP 9. 검토 결과 반영

검토 의견별 조치계획을 수립하고 사업에 반영합니다.

STEP 10. 이행 증적과 현황 관리

조치결과와 증빙자료를 보관하고 연간 현황관리에 활용합니다.

자주 발생하는 실무상의 실수

실수 1. "사업 발주 후 검토하면 되겠지"

가장 주의해야 할 부분입니다.

지침은 사업 계획 단계, 사업 공고 전에 보안성 검토를 실시하도록 하고 있습니다.

실수 2. "검토 생략이면 보안조치도 필요 없다"

잘못된 이해입니다.

제16조는 검토를 생략할 수 있는 경우에도 자체 보안대책을 수립·시행하도록 하고 있습니다.

실수 3. "장비 교체니까 무조건 생략"

장비 교체 자체보다 정보통신망 구성과 보안환경이 변경되는지를 확인해야 합니다.

실수 4. "기존 시스템이니까 다시 볼 필요 없다"

기존 시스템이라도

• 클라우드 전환

• AI 기능 추가

• 외부기관 연계

• 인터넷 연계

• 데이터 처리범위 확대

• 네트워크 변경

등이 발생하면 사업의 성격이 달라질 수 있습니다.

실수 5. "보안성 검토 결과서를 보관하면 끝"

검토 결과를 실제 사업에 반영해야 합니다.

제18조의 핵심은 검토 결과를 반영하여 보안대책을 보완하는 것입니다.

AI·클라우드 시대의 보안성 검토는 더 중요해졌다

2026년 개정 지침을 보면 보안성 검토 대상에 N2SF, 민간 클라우드, 기관 간 연계, AI, 우주시스템, 대규모 백업·재해복구센터 등 다양한 새로운 환경이 포함되어 있습니다.

특히 AI 시스템은 기존 정보시스템과 다른 보안 문제를 가질 수 있습니다.

예를 들어,

• 어떤 데이터를 AI가 처리하는가?

• 외부 AI 서비스와 데이터를 주고받는가?

• AI 모델 또는 학습데이터가 어디에 저장되는가?

• 사용자가 입력하는 정보는 어떻게 관리되는가?

• AI 시스템과 기존 내부망이 어떻게 연결되는가?

• AI 시스템의 관리자 권한은 어떻게 통제하는가?

등을 사업계획 단계에서 검토해야 합니다.

지침이 2026년 개정을 통해 AI 활용 정보통신망 또는 정보시스템 구축을 국가정보원 보안성 검토 대상에 명시한 것도 이러한 변화와 연결해서 볼 수 있습니다.

보안성 검토를 한 문장으로 정리하면

국가·공공기관 정보화사업 담당자 입장에서 보안성 검토는 다음과 같이 이해하면 가장 쉽습니다.

"정보화사업을 발주하기 전에 해당 사업의 보안 위험을 확인하고 필요한 보안대책을 사업계획과 제안요청서에 반영하는 사전 보안 절차"

그리고 업무적으로는 다음 6가지만 기억해도 큰 도움이 됩니다.

① 사업 공고 전에 한다.

② 제15조에서 검토기관과 대상을 확인한다.

③ 제16조의 검토 생략 대상인지 확인한다.

④ 사업계획서·제안요청서·망 구성도·자체 보안대책을 준비한다.

⑤ 검토 결과를 실제 사업에 반영한다.

⑥ 결과와 이행현황을 지속적으로 관리한다.

보안성 검토는 정보화사업의 속도를 늦추기 위한 별도의 행정절차로 보기보다 사업 초기에 보안 요구사항을 명확하게 정의하여 이후의 보안 문제와 재작업을 줄이는 예방적 보안체계로 이해하는 것이 좋습니다.

특히 2026년 개정 「국가사이버보안기본지침」에서는 N2SF, 클라우드, AI, 기관 간 연계, 대규모 백업·재해복구 등 최근 정보화 환경과 관련된 사업들이 보안성 검토 대상에 포함되어 있습니다.

따라서 정보화사업 담당자는 사업을 기획할 때부터 다음 질문을 체크하는 것이 좋습니다.

"어떤 정보를 처리하는가?"

"어떤 망에 연결되는가?"

"누가 사용하는가?"

"외부기관과 연결되는가?"

"클라우드를 사용하는가?"

"AI를 사용하는가?"

"기존 보안성 검토 내용과 달라지는가?"

이 질문에 대한 답을 사업계획 단계에서 정리한다면 보안성 검토 준비가 훨씬 수월해집니다.