국가 망 보안체계(N2SF)란?

국가공공기관 정보화 담당자가 알아야 할 업무정보 등급분류와 보안통제

2026년 국가공공기관의 정보화 업무에서 주목해야 할 변화 가운데 하나가 국가 망 보안체계(N2SF, National Network Security Framework)의 제도화입니다.

2026년 5월 1일 개정된 「국가사이버보안기본지침」에는 제3장 「정보통신망 및 정보시스템 보안」의 제1절로 「국가 망 보안체계(N2SF)」가 신설되었습니다. 해당 절에는 업무정보의 등급식별, 업무정보의 처리, 정보시스템의 위치, 보안통제가 규정되어 있습니다.

「국가사이버보안기본지침」은 2026년 5월 1일 개정본이며 국가정보원 지침으로 제시되어 있습니다.

KISA도 2026년 국가 망 보안체계 도입 지원사업을 추진하면서 N2SF를 국가·공공기관의 업무정보를 중요도에 따라 기밀·민감·공개 3등급으로 분류하고 등급별로 보안 수준을 차등 적용하는 제도로 설명하고 있습니다.

이 글에서는 국가공공기관의 정보화사업 담당자가 실제 사업을 추진하면서 이해하기 쉽도록 N2SF의 핵심 개념과 「국가사이버보안기본지침」 제39조의2부터 제39조의5까지의 내용을 중심으로 정리해 보겠습니다.

국가 망 보안체계(N2SF)는 왜 필요한가?

기존 공공기관의 정보보안 환경에서는 업무망과 인터넷망을 분리하는 망분리 방식이 중요한 보안수단으로 활용되어 왔습니다.

망분리는 외부 인터넷을 통한 공격이나 정보유출 위험을 줄이는 데 중요한 역할을 해왔지만, 최근에는 클라우드, 생성형 AI, SaaS, 외부 데이터 연계 등 다양한 기술을 업무에 활용해야 할 필요성이 커졌습니다.

이러한 환경에서는 단순히 "망을 분리했는가?"만 보는 것보다,

어떤 정보를 처리하는가? → 얼마나 중요한 정보인가? → 어떤 시스템에서 처리하는가? → 어떤 위협이 존재하는가? → 어떤 보안통제가 필요한가?

를 종합적으로 판단하는 방식이 필요합니다.

N2SF는 이러한 방향의 보안체계입니다.

국가 망 보안체계 보안 가이드라인은 N2SF를 업무정보와 정보시스템을 식별하고 업무 중요도에 따라 기밀(Classified), 민감(Sensitive), 공개(Open)로 분류한 뒤 등급별 보안통제를 적용하는 프레임워크로 설명합니다.

즉, N2SF의 핵심은 모든 시스템에 동일한 보안통제를 적용하는 것이 아니라 정보와 업무의 중요도에 따라 보안수준을 구분하는 것이라고 이해하면 쉽습니다.

N2SF의 기본 구조

N2SF를 이해하기 위해서는 다음의 관계를 먼저 이해해야 합니다.

기관 업무·기능 → 업무정보 → 정보시스템 → 도메인 → 보안통제

예를 들어 어떤 공공기관에 다음과 같은 업무가 있다고 가정해 보겠습니다.

• 민원 업무

• 내부 행정업무

• 인사 업무

• 공개자료 관리

• 대국민 웹서비스

• 중요 정책자료 관리

각 업무에서는 서로 다른 업무정보가 생성·처리됩니다.

그리고 이러한 업무정보는 데이터베이스, 애플리케이션 서버, 클라우드 서비스 등의 정보시스템에서 처리됩니다.

따라서 N2SF에서는 단순히 네트워크부터 분류하는 것이 아니라 기관의 업무와 업무정보를 먼저 식별하는 것이 중요합니다.

첫 번째 핵심: 업무정보를 3개 등급으로 분류한다

「국가사이버보안기본지침」 제39조의2는 기관의 업무기능을 식별하고 해당 업무에서 취급하는 업무정보를 기밀등급·민감등급·공개등급으로 분류하도록 하고 있습니다. 또한 업무정보의 보안등급을 명확히 구분할 수 있도록 업무기능을 가능한 한 소기능 수준까지 세분화하도록 규정합니다.

쉽게 표현하면 다음과 같습니다.

「국가사이버보안기본지침」의 정의에 따르면 기밀등급 업무정보에는 비밀과 대외비, 그리고 일정한 비공개 대상 정보가 포함될 수 있으며, 민감등급 업무정보에는 정보공개법상 일정한 비공개 대상 정보 등이 포함됩니다. 반면 기밀등급과 민감등급을 제외한 업무정보는 원칙적으로 공개등급으로 분류됩니다.

여기서 중요한 것은 "문서 하나하나를 단순히 중요/중요하지 않음으로 나누는 것"이 아니라 업무기능을 기준으로 업무정보를 식별하고 분류한다는 점입니다.

업무기능을 어떻게 식별할까?

제39조의2에서는 기관의 업무기능을 식별·분류할 때 다음과 같은 기준을 활용하도록 하고 있습니다.

1. 정부기능별 분류체계 및 지방자치단체 기능분류체계

2. 지방교육기능분류시스템의 기능분류체계

3. 「공공기관의 데이터베이스 표준화 지침」에 따른 기준

4. 기관 자체의 기능분류체계

따라서 정보화 담당자는 N2SF 적용을 시작하면서 바로 네트워크 장비부터 조사하기보다 먼저 기관의 업무기능 목록과 정보 목록을 정리하는 작업부터 시작하는 것이 좋습니다.

예를 들어 다음과 같이 정리할 수 있습니다.

다만 위 표의 등급은 실제 기관에서 그대로 적용하는 기준이 아닙니다.

실제 분류는 해당 정보의 내용, 법령상 공개 여부, 업무상 영향, 결합·연계에 따른 위험 등을 기관에서 검토하여 결정해야 합니다.

공개정보라고 해서 항상 공개등급인 것은 아니다

N2SF에서 특히 주의해야 할 부분입니다.

개별 정보 자체만 보면 공개 또는 민감등급에 해당하더라도 다른 정보와 결합하거나 연계하면서 중요도가 높아질 수 있습니다.

「국가사이버보안기본지침」 제39조의2는 공개 또는 민감등급의 개별 정보가 상위 등급 정보와 집합·결합·연계되거나, 동일 등급 정보가 결합되어 중요도 또는 침해 영향이 높아지는 경우 등급을 상향 조정할 수 있도록 규정하고 있습니다.

예를 들어,

데이터 A + 데이터 B = 단순 정보

였던 것이,

데이터 A + 데이터 B + 데이터 C = 개인이나 기관의 중요 상태를 파악할 수 있는 정보

가 될 수 있습니다.

따라서 데이터베이스나 AI 분석시스템을 구축할 때는 개별 데이터의 등급뿐 아니라 데이터가 결합된 이후의 위험까지 고려해야 합니다.

두 번째 핵심: 정보는 적절한 등급의 시스템에서 처리해야 한다

업무정보를 분류했다면 다음 단계는 해당 정보를 어떤 정보시스템에서 처리할 것인가입니다.

「국가사이버보안기본지침」 제39조의3은 원칙적으로 업무정보를 해당 등급과 같거나 높은 등급의 정보시스템 또는 도메인에서 처리하도록 합니다.

예를 들어 개념적으로 보면 다음과 같습니다.

기밀 정보 → 기밀등급 시스템 또는 그보다 높은 보호수준의 환경

민감 정보 → 민감등급 이상 시스템

공개 정보 → 공개등급 이상 시스템

다만 N2SF 보안 가이드라인에서 정한 보안통제 항목을 준수하는 경우에는 업무정보 등급보다 낮은 등급의 정보시스템이나 도메인에서 처리할 수 있는 예외가 존재합니다.

따라서 담당자가 기억해야 할 핵심은 다음과 같습니다.

"낮은 등급 시스템에서 처리할 수 있는가?"라는 질문보다 먼저 "필요한 보안통제를 충족하는가?"를 확인해야 한다.

하나의 시스템에 여러 등급의 정보를 섞지 않는 것이 중요하다

제39조의3은 단일 정보시스템 또는 도메인 안에서는 가급적 단일 등급의 업무정보가 처리되도록 하고, 서로 다른 등급의 업무정보가 혼용되는 것을 최소화하도록 하고 있습니다.

왜 그럴까요?

하나의 시스템에서 기밀·민감·공개 정보가 복잡하게 섞이면 보안정책도 복잡해집니다.

예를 들어 하나의 데이터베이스에

• 공개 홈페이지 데이터

• 내부 행정자료

• 민감한 업무자료

가 모두 저장된다면 데이터 접근권한, 저장·전송 암호화, 로그관리, 외부 연계, 백업 및 복구 정책 등을 각각 다르게 적용해야 합니다.

따라서 정보화사업을 설계할 때부터 가능한 한 업무정보의 등급을 구분하고 시스템 구조도 이를 반영하는 것이 중요합니다.

세 번째 핵심: 도메인 안에서도 시스템 등급을 고려한다

제39조의4에서는 하나의 도메인 안에 가급적 단일 등급의 정보시스템이 위치하도록 하고, 서로 다른 등급의 정보시스템 혼용을 최소화하도록 규정합니다.

이를 단순화하면 다음과 같습니다.

[기밀 도메인]
   └─ 기밀 정보시스템

[민감 도메인]
   ├─ 민감 정보시스템
   └─ 민감 정보시스템

[공개 도메인]
   ├─ 공개 웹서버
   └─ 공개 서비스 시스템

물론 실제 기관 환경에서는 시스템 간 연계, 공동 인프라, 클라우드, 데이터 연계 등의 이유로 보다 복잡한 구조가 발생할 수 있습니다.

이 때문에 N2SF는 단순히 "망을 세 개로 나누라"는 의미가 아니라 정보·시스템·도메인의 등급을 연계하여 적절한 보안통제를 설계하는 체계로 이해하는 것이 중요합니다.

네 번째 핵심: N2SF의 핵심은 '보안통제'이다

「국가사이버보안기본지침」 제39조의5는 도메인, 정보시스템, 업무정보의 등급별 보안통제를 N2SF로 규정하고, 별도로 정하지 않은 사항은 국가정보원장이 배포한 「국가 망 보안체계 보안가이드라인」의 보안통제 항목을 따르도록 하고 있습니다.

즉,

정보를 분류하는 것만으로 N2SF가 끝나는 것이 아닙니다.

실제 정보화사업에서는 분류 결과에 따라 필요한 보안통제를 설계하고 구현해야 합니다.

예를 들어 사업 특성에 따라 다음과 같은 영역을 검토할 수 있습니다.

• 사용자 인증

• 접근통제

• 네트워크 접근통제

• 데이터 보호

• 암호화

• 로그 및 모니터링

• 악성코드 대응

• 취약점 관리

• 보안관제

• 백업 및 복구

• 외부 시스템 연계통제

• 클라우드 보안

• AI 서비스 이용통제

국가 망 보안체계 보안 가이드라인은 N2SF 적용을 준비 → C/S/O 등급분류 → 위협식별 → 보안대책 수립 → 적절성 평가·조정의 5단계로 설명합니다.

N2SF 5단계 절차를 쉽게 이해하기

① 준비(Prepare)

먼저 기관의 정보서비스와 업무환경을 파악합니다.

확인할 사항은 다음과 같습니다.

• 어떤 업무를 수행하는가?

• 어떤 업무정보를 처리하는가?

• 어떤 시스템을 사용하는가?

• 어디에서 시스템이 운영되는가?

• 외부 시스템과 어떤 데이터를 주고받는가?

• 클라우드나 외부 SaaS를 사용하는가?

• AI 서비스를 이용하는가?

이 단계의 목적은 보안대책을 설계하기 위한 기초정보를 확보하는 것입니다.

② C/S/O 등급분류(Categorize)

업무정보와 정보시스템을

• C = Classified

• S = Sensitive

• O = Open

으로 분류합니다.

중요한 것은 정보만 분류하는 것이 아니라 정보와 정보시스템, 위치를 서로 연결해서 보는 것입니다.

③ 위협식별(Identify)

등급분류가 끝났으면 어떤 위협이 발생할 수 있는지를 확인합니다.

예를 들어,

• 인터넷 공격

• 계정 탈취

• 내부자에 의한 정보유출

• 외부 클라우드 연계 위험

• API 연계 취약점

• 악성코드

• 공급망 공격

• 데이터 오남용

• AI 서비스로의 정보 입력 위험

등을 검토할 수 있습니다.

N2SF 가이드라인은 정보시스템뿐 아니라 정보서비스 환경 전체를 대상으로 위협을 식별하는 접근을 제시합니다.

④ 보안대책 수립(Select)

식별한 위협에 대응하기 위해 필요한 보안통제를 선택합니다.

예를 들어 인터넷과 연결되는 공개등급 시스템이라면 웹 애플리케이션 보안, 접근통제, 로그관리, 취약점 관리 등의 통제를 검토할 수 있습니다.

민감정보를 처리하는 시스템이라면 보다 높은 수준의 접근통제, 데이터 보호, 모니터링 등이 필요할 수 있습니다.

⑤ 적절성 평가·조정(Assess)

마지막으로 적용한 보안대책이 실제 위협을 충분히 통제할 수 있는지 평가합니다.

필요하다면 보안통제를 추가하거나 시스템 구조를 변경합니다.

즉,

분류 → 보안대책 적용 → 끝

이 아니라,

분류 → 위협분석 → 보안대책 → 평가 → 보완

이라는 반복적인 과정으로 이해하는 것이 좋습니다.

N2SF와 인터넷 연결은 어떻게 이해해야 할까?

N2SF를 처음 접하는 담당자들이 많이 궁금해하는 부분입니다.

"공개등급 시스템이면 인터넷에 연결해도 되는가?"

「국가사이버보안기본지침」 제39조의5는 보안통제 항목에 위배되지 않는 범위에서 공개등급 도메인·정보시스템을 외부 인터넷과 통신하도록 하거나 공개등급 정보시스템을 외부 인터넷에 둘 수 있도록 규정하고 있습니다.

따라서 중요한 것은

공개등급 = 무조건 인터넷 연결

이 아니라,

공개등급 시스템이라도 요구되는 보안통제를 충족한 상태에서 외부 인터넷 연결 여부를 판단한다

는 것입니다.

KISA 역시 N2SF 도입을 통해 기존의 획일적인 망분리 중심 환경에서 정보 중요도에 따라 보안수준을 차등 적용하는 방향을 설명하고 있습니다.

클라우드와 N2SF

클라우드 환경에서는 N2SF의 개념이 더욱 중요해집니다.

「국가사이버보안기본지침」은 민감등급 도메인의 정의에 기관이 이용하는 외부 클라우드컴퓨팅 영역을 포함하고 있으며, 공개등급 도메인 역시 기관이 이용하는 외부 정보통신망 또는 클라우드컴퓨팅 영역을 포함하고 있습니다.

따라서 정보화 담당자는 클라우드 도입을 검토할 때 단순히

"정부 클라우드인가?"

만 확인할 것이 아니라,

어떤 업무정보를 → 어떤 클라우드 환경에서 → 어떤 보안통제를 적용하여 → 어떤 외부 서비스와 연결할 것인가

를 함께 검토해야 합니다.

특히 국가사이버보안기본지침에는 클라우드컴퓨팅 보안에 관한 별도 규정도 있으므로 N2SF와 관련 클라우드 보안 기준을 함께 검토해야 합니다.

생성형 AI 도입에서도 N2SF가 중요한 이유

최근 공공기관의 생성형 AI 활용이 증가하면서 N2SF의 의미는 더욱 커지고 있습니다.

예를 들어 기관 직원이 외부 AI 서비스에 업무자료를 입력한다고 가정해 보겠습니다.

이때 단순히 "AI를 사용할 수 있는가?"만 판단해서는 안 됩니다.

다음 사항을 먼저 확인해야 합니다.

1. 입력하려는 정보의 등급은 무엇인가?

2. 해당 정보가 외부 서비스로 전송되는가?

3. AI 서비스가 데이터를 어떻게 처리하는가?

4. 정보가 저장되는가?

5. 다른 데이터와 결합될 가능성이 있는가?

6. 필요한 보안통제가 적용되어 있는가?

7. 관련 AI 보안 가이드라인을 충족하는가?

특히 공개 또는 민감등급 정보가 다른 정보와 결합되면서 중요도가 높아질 수 있다는 제39조의2의 원칙은 AI 데이터 활용에서도 중요하게 고려할 필요가 있습니다.

정보화사업 담당자가 실무에서 해야 할 일

N2SF를 실제 정보화사업에 적용할 때는 다음 순서로 업무를 정리하면 이해하기 쉽습니다.

Step 1. 업무 목록 작성

기관의 업무와 기능을 목록화합니다.

Step 2. 업무정보 식별

각 업무에서 생성·취급되는 정보를 식별합니다.

Step 3. C/S/O 분류

각 업무정보를 기밀·민감·공개로 분류합니다.

Step 4. 정보시스템 연결

각 정보가 어떤 시스템에서 생성·저장·처리되는지 연결합니다.

Step 5. 도메인 및 위치 확인

시스템이 어느 도메인과 물리적·논리적 환경에서 운영되는지 확인합니다.

Step 6. 외부 연계 확인

인터넷, 클라우드, SaaS, AI, 타 기관 시스템 등과의 연계를 확인합니다.

Step 7. 위협 식별

각 서비스의 주요 위협을 분석합니다.

Step 8. 보안통제 선정

N2SF 보안 가이드라인을 기반으로 필요한 보안통제를 선정합니다.

Step 9. 보안대책 문서화

정보화사업의 자체 보안대책에 반영합니다.

Step 10. 적절성 평가 및 보완

실제 구현 결과를 확인하고 필요한 부분을 보완합니다.

정보화 담당자가 특히 주의해야 할 7가지

① 네트워크부터 설계하지 말 것

N2SF는 단순한 네트워크 설계가 아닙니다.

업무 → 정보 → 시스템 → 도메인 → 보안통제

순서로 접근하는 것이 중요합니다.

② 정보의 등급을 너무 높게 잡지 말 것

보안 때문에 모든 정보를 높은 등급으로 분류하면 업무 활용성과 데이터 활용성이 떨어질 수 있습니다.

반대로 실제로 보호가 필요한 정보를 공개등급으로 분류하면 보안상 문제가 발생할 수 있습니다.

따라서 근거를 가지고 분류해야 합니다.

③ 데이터 결합에 주의할 것

개별적으로는 중요하지 않은 데이터라도 여러 데이터가 결합하면 민감도가 높아질 수 있습니다.

④ 시스템과 정보의 등급을 연결할 것

정보의 등급만 정하고 시스템 설계에 반영하지 않으면 N2SF의 목적을 제대로 달성하기 어렵습니다.

⑤ 외부 연계를 반드시 확인할 것

API, 클라우드, SaaS, AI, 타 기관 시스템 등 외부 연계가 증가할수록 데이터 흐름을 명확히 파악해야 합니다.

⑥ 기존 시스템에도 적용할 것

N2SF는 신규 시스템만의 문제가 아닙니다.

기존 정보시스템을 클라우드로 이전하거나 시스템을 고도화하는 경우에도 정보·시스템·도메인 등급과 보안통제를 다시 확인할 필요가 있습니다.

⑦ 관련 가이드라인과 함께 검토할 것

N2SF 보안 가이드라인만 단독으로 검토하기보다 클라우드, AI 등 사업 특성에 따라 관련 보안 가이드라인과 기준을 함께 확인해야 합니다.

KISA도 N2SF 실증 사례집에서 기관별 네트워크 구성, 연동 시스템, 보안정책 등 인프라 환경을 고려해 N2SF를 기관 환경에 맞게 재설계하여 적용할 필요성을 설명하고 있습니다.

기존 망분리와 N2SF를 어떻게 이해하면 좋을까?

둘을 단순히 "기존 망분리 vs N2SF"처럼 서로 대체되는 개념으로 이해하면 곤란합니다.

N2SF에서는 업무정보의 중요도와 위협을 고려해 필요한 보안통제를 적용하고, 제39조의5에 따라 서로 다른 등급의 도메인 또는 정보시스템 간 통신을 차단하거나 분리할 수도 있습니다.

즉, 망분리는 N2SF에서 활용될 수 있는 하나의 보안통제 수단으로 볼 수 있습니다.

필요한 경우에는 분리하고, 보안통제 수준과 업무 특성에 따라 다른 방식의 통제를 적용할 수 있다는 것이 핵심입니다.

정보화사업 기획 단계에서 체크해야 할 질문

N2SF를 정보화사업에 적용한다면 사업 초기부터 다음 질문을 확인하는 것이 좋습니다.

업무

• 어떤 업무를 정보화하는가?

• 업무의 중요도는 무엇인가?

정보

• 어떤 업무정보를 처리하는가?

• 업무정보의 등급은 무엇인가?

• 다른 정보와 결합되는가?

시스템

• 어떤 정보시스템이 정보를 처리하는가?

• 하나의 시스템에 여러 등급의 정보가 혼용되는가?

네트워크

• 어느 도메인에서 운영되는가?

• 외부 인터넷과 연결되는가?

• 다른 등급의 시스템과 통신하는가?

클라우드

• 외부 클라우드가 사용되는가?

• 클라우드에서 처리되는 정보의 등급은 무엇인가?

AI

• 생성형 AI 또는 AI 분석서비스를 이용하는가?

• 업무정보가 외부 AI 서비스로 전송되는가?

보안

• 어떤 위협이 존재하는가?

• 어떤 보안통제가 필요한가?

• 보안통제가 실제로 구현되었는가?

N2SF를 한 문장으로 정리하면

국가 망 보안체계(N2SF)는 단순한 "망분리 해제 정책"도 아니고 단순한 "네트워크 보안기술"도 아닙니다.

기관의 업무를 식별하고, 업무정보를 기밀·민감·공개 등급으로 분류한 다음, 정보시스템과 도메인의 구성 및 위협을 고려하여 등급에 맞는 보안통제를 적용하는 보안 프레임워크라고 이해하는 것이 가장 쉽습니다.

2026년 개정 「국가사이버보안기본지침」에서는 이 체계가 제3장 제1절에 공식적으로 반영되었고, 업무정보 등급식별부터 정보처리, 정보시스템 위치, 보안통제까지 기본적인 원칙을 규정하고 있습니다.

특히 정보화 담당자에게 중요한 것은 "어떤 망에 넣을 것인가?"에서 시작하는 것이 아니라 "어떤 업무정보를 처리하고, 그 정보에 어떤 보호가 필요한가?"에서 시작하는 것입니다.

이 관점으로 정보화사업을 바라보면 클라우드, AI, 외부 SaaS, 기관 간 데이터 연계와 같은 새로운 업무환경에서도 보안 요구사항을 보다 체계적으로 설계할 수 있습니다.

핵심 공식

업무 식별 → 정보 식별 → C/S/O 등급분류 → 시스템·도메인 연계 → 위협 식별 → 보안통제 적용 → 적절성 평가

이것이 국가공공기관 정보화 담당자가 N2SF를 이해할 때 가장 먼저 기억해야 할 흐름입니다.