N2SF가 무엇인지
안녕하세요 novice-22입니다.
N2SF(국가 망 보안체계)는 국정원이 기존 망분리 정책을 대체하기 위해 만든 보안 체계로, 정보를 중요도에 따라 C/S/O 등급으로 나눠 AI와 클라우드 같은 신기술을 안전하게 활용할 수 있도록 합니다. 2025년 9월 가이드라인 1.0이 정식 공개되었고, 이번 글에서는 N2SF가 무엇인지 개념을 정리했습니다. 다음 글에서는 N2SF 환경에서 모의해킹을 수행하는 방법을 다룰 예정입니다.
1. 망분리 정책
1-1 망분리란?
망분리는 업무망(내부망)과 인터넷망을 분리해서, 인터넷에서 들어오는 공격이 내부 업무 시스템에 닿지 못하게 하는 정책이다. 2006년부터 국가·공공기관을 대상으로 시행되었고, 이후 금융·방산 분야로 확대되었다.
망분리 방식은 물리적 망분리와 논리적 망분리로 나뉜다.
| 구분 | 물리적 망분리 | 논리적 망분리 |
|---|---|---|
| 방법 | 업무용 PC와 인터넷용 PC를 따로 두고 네트워크도 이중으로 구성 | PC 한 대에서 가상화(VDI, SBC 등)로 업무 영역과 인터넷 영역을 분리 |
| 장점 | 분리가 확실함 | 비용이 적고 PC 한 대로 업무 가능 |
| 단점 | 구축·유지 비용이 큼 | 가상화 구성이 잘못되면 우회될 수 있음 |
두 망 사이에 자료를 주고받아야 할 때는 망연계 솔루션을 쓴다. 망연계는 분리된 망 사이의 유일한 통로이기 때문에 공격 대상이 되기 쉽다.
1-2 망분리의 한계
- 신기술을 쓰기 어렵다: 업무망에서 인터넷을 쓸 수 없으니 클라우드, SaaS, 생성형 AI를 업무에 활용할 수 없다.
- 보안이 획일적이다: 정보의 중요도와 상관없이 모든 정보를 같은 수준으로 막는다. 공개해도 되는 정보까지 똑같이 막기 때문에 과잉 통제가 된다.
- 비용이 들고 불편하다: PC 이중화와 망연계 솔루션 구축에 비용이 들고, 자료를 옮길 때마다 망연계를 거쳐야 한다.
분리해도 뚫린다: 망 사이의 접점, 망연계 구간, 백신·업데이트 서버, 내부자를 통해 침해가 일어난다.
- 2016년 국방망 해킹: 서버실 스위치 연결 문제로 군 인터넷망과 국방망 사이에 접점이 생겼고, 북한 추정 해커가 이 접점으로 침투한 뒤 백신 중계 서버로 악성코드를 퍼뜨렸다.
출처
2. N2SF란 무엇인가
2-1 N2SF란?
N2SF(National Network Security Framework, 국가 망 보안체계)는 국정원이 만든 국가·공공기관용 보안 체계다. 망 전체를 나누는 대신 업무정보를 중요도에 따라 C/S/O 등급으로 나누고, 등급마다 다른 수준의 보안통제를 적용한다.
간단하게 비유하자면 망분리는 건물 전체에 담을 쌓고 안에 있는 사람은 모두 믿는 방식이고, N2SF는 방마다 보안 등급을 매기고 등급에 맞춰 출입 확인을 다르게 하는 방식이다.
망분리와 비교
| 구분 | 망분리 | N2SF |
|---|---|---|
| 보호 기준 | 망(네트워크) | 정보(데이터)의 중요도 |
| 보안 수준 | 모든 정보에 같은 수준 | 등급별로 다르게 (C가 가장 높고 O가 가장 낮음) |
| 인터넷·신기술 | 업무망에서 사용 불가 | O 등급은 인터넷·생성형 AI 사용 가능, S 등급은 통제를 지키면 외부 클라우드 사용 가능 |
| 경계 | 업무망과 인터넷망 사이 | 등급이 다른 영역 사이 (CDS로 통제) |
| 내부 신뢰 | 업무망 안은 신뢰 | 내부여도 매번 검증 (제로트러스트) |
핵심 개념
- 등급 분류: 정보가 공개됐을 때의 영향도에 따라 C(기밀), S(민감), O(공개)로 나눈다.
- 위험 기반 통제: 등급과 위협을 분석해서 필요한 보안통제를 고른다. 미국 NIST의 위험관리 프레임워크(RMF) 방식을 바탕으로 했다.
- 제로트러스트: 보안대책을 세울 때 "항상 검증하고 최소 권한만 준다"는 원칙을 필수 기준으로 적용한다.
적용 대상
국가·공공기관이 대상이며, 신규 정보화 사업을 추진할 때 N2SF를 반영해야 한다. 기관은 5단계 절차(4장에서 설명)에 따라 등급을 분류하고 보안대책을 세운 뒤 국정원에 보안성 검토를 요청한다.
2-2 추진 경과
N2SF는 2024년 망분리 개선 논의에서 시작해서, 가이드라인 드래프트와 1.0을 거쳐 2026년 기본지침 개정으로 제도화되었다.
| 시기 | 내용 |
|---|---|
| 2024년 1월 | 국정원 주도로 민관 합동 TF 구성 |
| 2024년 9월 11일 | CSK 2024에서 망분리 개선 로드맵(다층보안체계) 발표 |
| 2025년 1월 | N2SF 가이드라인 드래프트 배포 |
| 2025년 9월 30일 | 가이드라인 1.0 정식 공개 |
| 2026년 5월 1일 | 국가 사이버보안 기본지침 개정, 망분리 조항(제40조) 삭제 |
2026년 기본지침 개정으로 공공부문의 망분리는 공식적으로 N2SF로 대체되었다.
출처
2-3 가이드라인 구성
가이드라인 1.0은 본책과 부록 2권, 총 3권으로 구성된다.
| 문서 | 내용 |
|---|---|
| 본책 | N2SF 개념, 등급 분류, 적용 절차 |
| 부록1 보안통제 해설서 | 보안통제 항목별 의미와 적용 방법 |
| 부록2 정보서비스 모델 해설서 | 업무 환경별 보안통제 적용 예시 (11종) |
드래프트와 비교하면 다음이 달라졌다.
| 항목 | 드래프트 (2025년 1월) | 1.0 (2025년 9월) |
|---|---|---|
| 보안통제 | 170여 개 | 274개 |
| 정보서비스 모델 | 8종 | 11종 |
| 추가된 개념 | - | 제로트러스트, 오버레이, CDS |
| 부록 공개 범위 | 공공기관 내부 | 전면 공개 |
출처
3. C/S/O 등급 분류
3-1 등급 정의
N2SF의 등급은 정보가 공개됐을 때 어떤 영향을 주는지를 기준으로 나눈다. 기밀(C)과 민감(S)은 「정보공개법」, 「공공데이터법」, 「보안업무규정」 등에 따라 기관이 지정한 비공개 정보이고, 나머지는 모두 공개(O)다.
| 등급 | 정의 | 근거 | 예시 |
|---|---|---|---|
| C기밀 (Classified) | 비밀, 안보·국방·외교·수사 관련 정보, 국민 생명·안전과 직결된 정보 | 정보공개법 제9조 제1호부터 제4호 | 법령상 비밀, 국방·외교 자료, 재판·수사 정보 |
| S민감 (Sensitive) | 공개 시 개인·국가 이익 침해가 우려되는 정보 | 정보공개법 제9조 제5호부터 제8호, 시스템 로그·임시백업 등 | 감사·인사·계약 등 의사결정 과정 정보, 개인정보, 법인 영업비밀 |
| O공개 (Open) | C, S를 제외한 모든 정보 | 비공개 필요성이 사라진 정보도 포함 | 공개 자료, 공공데이터 |
등급을 나눌 때는 공개해도 되는 정보를 불필요하게 비공개로 분류하거나, 반대로 비공개 정보를 공개로 분류하지 않도록 주의해야 한다.
3-2 업무정보·정보시스템·위치 등급
등급분류는 업무정보, 정보시스템, 위치 순서로 진행한다.
- 업무정보: 기관 업무에 쓰이는 정보를 C/S/O로 분류한다. 정부기능분류체계 같은 기능분류체계로 기관의 업무를 식별해서 중요도를 판단하는 기준으로 삼는다.
- 정보시스템: 처리하는 업무정보와 같은 등급으로 분류한다. 서로 다른 등급의 정보가 섞이면 가장 높은 등급을 따른다. 이 경우 낮은 등급 정보에도 높은 수준의 보안이 걸리기 때문에, 등급별로 시스템을 분리해서 운영하는 것을 권고한다.
- 위치: 정보시스템이 있는 논리적 영역을 분류한다. 원칙적으로 인터넷 영역은 O, 업무 영역은 S, 기밀을 다루는 특수한 환경은 C다.
위치 등급은 다음 단계인 위협식별에서 기초 자료로 쓰인다.
출처
4. 적용 절차
4-1 5단계 절차
N2SF는 준비, C/S/O 등급분류, 위협식별, 보안대책 수립, 적절성 평가·조정의 5단계로 적용한다. 모든 단계가 끝나면 최종 산출물(자체 보안대책)을 만들어 국정원에 보안성 검토를 요청한다. 새로 구축하는 정보서비스뿐 아니라 이미 운영 중인 정보서비스에도 적용할 수 있다.
| 단계 | 하는 일 | 주요 활동 |
|---|---|---|
| ➊ 준비 (Prepare) | 업무정보와 정보서비스 현황을 파악하고 적용 계획을 세운다 | 적용계획 수립, 기관 업무·기능 분석, 업무정보·정보시스템·정보서비스 식별, 보안목표 설정 |
| ➋ C/S/O 등급분류 (Categorize) | 업무정보와 정보시스템의 등급을 정한다 | 업무정보 등급분류, 정보시스템 등급분류 |
| ➌ 위협식별 (Identify) | 모델링으로 위협과 보안대책이 필요한 지점을 찾는다 | 위치-주체-객체 모델링 및 C/S/O 평가, 보안원칙 적용, 보안위협 식별 |
| ➍ 보안대책 수립 (Select) | 위협에 맞는 보안통제를 고르고 구현 계획을 세운다 | 보안 요구사항 도출, 보안통제 선택, 구현계획 수립, 정보서비스 구성도 작성 |
| ➎ 적절성 평가·조정 (Assess) | 앞 단계 전체가 적절한지 평가하고 보완한다 | 적절성 평가, 부적합 항목 협의·조정, 평가결과 확인(정보보안담당관) |
4-2 위협식별: 위치-주체-객체 모델링
5단계 중 N2SF만의 방식이 가장 잘 드러나는 단계는 위협식별이다. 복잡한 정보서비스 구조를 세 요소로 단순화하고, 각 요소에 C/S/O 등급을 매긴다.
- 위치(Domain): 주체가 있는 물리적·논리적 영역
- 주체(Subject): 업무정보를 활용하는 정보시스템 (예: 업무 PC)
- 객체(Object): 주체가 접속하거나 이용하는 정보시스템 (예: 외부 생성형 AI 서비스)
세 요소의 등급이 모두 같으면 문제가 없고, 등급이 섞이면 보안위협이 있다고 본다. 예를 들어 위치와 주체는 S인데 객체가 O라면 주체, 객체, 둘 사이의 연계 구간 3곳에 보안대책을 검토해야 한다.
구체적으로 어디에 대책이 필요한지는 두 가지 보안원칙으로 판단한다.
- 정보 생산·저장 원칙: 정보시스템은 자신과 같거나 낮은 등급의 정보만 생산·저장할 수 있다.
- 정보 이동 원칙: 정보는 자신과 같거나 높은 등급의 정보시스템으로만 이동할 수 있다.
이 원칙을 벗어나는 지점이 보안대책을 적용해야 하는 곳이다. 예를 들어 S등급 업무 PC에서 O등급인 외부 생성형 AI로 질문을 보내면 S등급 정보가 낮은 등급으로 이동하게 되므로, 입력 필터링이나 DLP 같은 대책이 필요하다.
출처
5. 보안통제
5-1 보안통제 6개 분류
보안통제는 위협식별에서 찾은 위협을 막기 위한 관리적·기술적 대책이다. 부록1(보안통제 항목 해설서)에 6개 대항목, 27개 중항목, 274개 세부 항목으로 정리되어 있다.
| 대항목 | 중항목 |
|---|---|
| 권한 | 최소 권한, 신원 검증, 식별자 관리, 계정 관리 |
| 인증 | 다중요소 인증, 외부인증수단, 단말인증, 인증보호, 인증정책, 인증수단, 로그인 |
| 분리 및 격리 | 분리, 격리 |
| 통제 | 정보흐름, 외부경계, CDS, 원격접속, 세션, 무선망 접속, 블루투스 연결 |
| 데이터 | 암호 키 관리, 암호 모듈 사용, 데이터 전송, 데이터 사용 |
| 정보자산 | 모바일 단말, 하드웨어, 정보시스템 구성요소 |
각 항목에는 N2SF-RA-1 같은 고유 ID가 붙고, C/S/O 중 어느 등급에서 우선 검토해야 하는지가 표시되어 있다. 예를 들어 원격접속(RA)의 "원격접속 세션 암호화(N2SF-RA-2)"는 C/S/O 모든 등급에서, "원격접속 위치 통제(N2SF-RA-3)"는 C와 S 등급에서 우선 검토한다.
기관은 이 우선 검토사항을 기준으로 통제를 고르고, 기관 환경에 맞게 빼거나 고치거나 추가할 수 있다. 부록1에 맞는 통제가 없으면 기관이 직접 정의해서 쓸 수도 있다.
5-2 1.0에서 추가된 개념
제로트러스트
제로트러스트는 별도의 단계가 아니라 보안대책 수립 단계의 핵심 원칙으로 적용된다. 통제를 설계할 때 "항상 검증(Always Verify)"과 "최소 권한(Least Privilege)"을 반영해야 한다. 가이드라인은 보안통제 6개 대항목이 제로트러스트의 필러(Pillar)와 대응된다고 설명한다.
오버레이
기본 보안통제(우선 검토사항)를 그대로 적용하는 대신, 기관의 환경과 위협 수준에 맞춰 통제를 덧씌워 재구성하는 방식이다. 미국 NIST RMF의 오버레이 개념을 가져온 것으로, 미국 국방부가 NIST SP 800-53 통제에 제로트러스트 원칙을 덧씌운 DoD ZT Overlay가 대표 사례다.
CDS (Cross Domain Solution)
등급이 다른 영역 사이에서 데이터를 검증된 방식으로 안전하게 전달하는 기술이다. 미국 NSA의 CDS 개념을 반영했고, 목적에 따라 세 가지로 나뉜다.
| 유형 | 방식 | 예시 |
|---|---|---|
| 접근 CDS | 단말 하나로 여러 등급 영역에 접속하지만, 영역 간 데이터 전달은 막는다 | 업무망 사용자가 가상화로 인터넷 화면만 중계받아 열람 |
| 전송 CDS | 영역 경계에서 데이터를 전달한다. 단방향과 양방향이 있다 | 단방향은 한쪽으로만 전송, 양방향은 악성코드 검사·무결성 검증 후 주고받음 |
| 다중등급보안(MLS) CDS | 한 시스템 안에서 사용자 등급에 따라 볼 수 있는 정보를 통제한다 | 국방·외교 분야에서 높은 등급 사용자만 기밀까지 열람 |
5-3 정보서비스 모델
정보서비스 모델은 N2SF를 적용했을 때 바뀌는 공공기관 업무 환경을 예시로 보여준다. 모델마다 위치-주체-객체 모델링, 위협, 적용할 보안통제가 정리되어 있어서, 같은 구성으로 구축하는 기관은 부록2(정보서비스 모델 해설서)를 토대로 산출물을 작성할 수 있다. 1.0에는 11종이 수록되어 있고 앞으로 계속 추가될 예정이다.
- 인터넷 단말의 업무 활용성 제고
- 업무환경에서 생성형 AI 활용
- 외부 클라우드 활용 업무협업 체계
- 업무 단말의 인터넷 이용
- 공공 데이터의 외부 AI 융합
- 연구 목적 단말의 신기술 활용
- 개발 환경 편의성 향상
- 클라우드 기반 통합문서체계
- 모바일 업무환경 정보 연계
- 무선 업무환경 운용 체계
- 정보 연계를 위한 CDS 구성
출처
6. 마무리
N2SF는 망을 통째로 나누던 망분리에서 벗어나, 정보를 C/S/O 등급으로 나누고 등급에 맞춰 보안을 차등 적용하는 체계다.
핵심은 세 가지다. 정보의 중요도로 등급을 나누고, 위치-주체-객체 모델링으로 등급이 섞이는 지점에서 위협을 찾고, 그 지점에 맞는 보안통제를 선택한다. 이 과정에서 제로트러스트 원칙과 CDS가 함께 적용된다.
다음 글에서는 N2SF 환경에서 모의해킹을 어떻게 수행하는지 다룰 예정이다. 등급이 섞이는 지점이 곧 보안대책이 필요한 지점이고, 모의해킹에서는 그 대책이 실제로 동작하는지 검증하게 된다.