공공기관 정보보안이라고 하면 가장 먼저 떠오르는 단어가 있습니다.

바로 망분리입니다.

업무망과 인터넷망을 분리해서 외부 위협을 차단하는 방식은 오랫동안 공공기관 보안의 기본 원칙으로 활용되어 왔습니다.

하지만 최근에는 생성형 AI, 클라우드, SaaS, 데이터 분석, 원격협업 등 새로운 업무 환경이 빠르게 확산되면서 기존의 일률적인 망분리 방식만으로는 업무 효율성과 보안성을 동시에 확보하기 어려워졌습니다.

이러한 변화 속에서 등장한 새로운 보안체계가 바로 국가망 보안체계 N2SF입니다.

N2SF는 National Network Security Framework의 약자로, 공공기관의 업무정보와 정보시스템을 중요도에 따라 분류하고, 그 수준에 맞는 보안통제를 적용하는 새로운 국가망 보안체계입니다. 국가사이버안보센터는 2025년 9월 30일 기존 Draft 버전을 보완한 국가 망 보안체계(N2SF) 보안가이드라인 1.0을 공개했습니다.

 

기존 망분리와 무엇이 다를까?

기존 방식은 쉽게 말해

“업무망은 업무망대로, 인터넷망은 인터넷망대로 분리하자”는 구조였습니다.

반면 N2SF는 단순히 망을 나누는 것에서 한 단계 더 나아갑니다.

이제는 먼저 정보를 살펴봅니다.

이 정보가 국가안보나 핵심 정책에 영향을 주는 정보인지, 개인정보나 내부 검토자료처럼 민감한 정보인지, 외부 공개가 가능한 정보인지 구분합니다. 그리고 그 정보의 중요도에 맞춰 접근통제, 인증, 암호화, 로그관리, 데이터 반출통제, 보안관제 등 필요한 보안조치를 차등 적용합니다.

즉, N2SF는 “무조건 막는 보안”에서 “위험도에 따라 관리하는 보안”으로 전환하는 방식이라고 볼 수 있습니다.

 

N2SF의 핵심은 C·S·O 등급 분류

N2SF에서는 업무정보를 크게 세 가지 등급으로 나누어 바라봅니다.

첫째, 기밀등급 C(Classified)입니다.

국가안보, 외교, 국방, 핵심 정책 등 유출될 경우 큰 피해가 발생할 수 있는 정보가 여기에 해당합니다.

둘째, 민감등급 S(Sensitive)입니다.

개인정보, 내부 검토자료, 감사자료, 계약자료, 비공개 행정정보처럼 외부 공개 시 문제가 될 수 있는 정보가 여기에 포함될 수 있습니다.

셋째, 공개등급 O(Open)입니다.

공공데이터, 보도자료, 공개 가능한 통계자료처럼 외부 공개가 가능한 정보가 여기에 해당합니다.

국가 사이버보안 기본지침 개정 이후에는 업무정보를 기밀·민감·공개 등급으로 분류하고, 해당 등급에 맞는 정보시스템 또는 도메인에서 처리하도록 하는 방향이 반영되었습니다. 다만 보안가이드라인의 통제항목을 충족하는 경우에는 보다 유연한 운용도 가능하도록 설계되어 있습니다.

 

왜 지금 N2SF가 중요한가?

공공기관도 이제 AI와 클라우드를 피하기 어려운 시대가 되었습니다.

민원 상담, 행정 데이터 분석, 문서 자동화, 정책 연구, 공공데이터 활용 등 다양한 업무에서 AI와 클라우드 활용 필요성이 커지고 있습니다. 하지만 공공기관이 다루는 정보에는 국민의 개인정보, 정책자료, 비공개 행정정보가 포함될 수 있기 때문에 무작정 외부 서비스를 사용할 수는 없습니다.

N2SF는 이런 고민에 대한 현실적인 해법입니다.

보안은 유지하면서도, 필요한 경우 안전한 통제 아래에서 AI·클라우드·인터넷 기반 서비스를 활용할 수 있도록 길을 열어주는 체계입니다. KISA의 2026년 N2SF 도입 지원사업 공고에서도 N2SF를 국가·공공기관의 효율적인 업무 환경과 고도화된 사이버보안 수준을 동시에 확보하기 위한 체계로 설명하고 있습니다.

 

N2SF는 보안을 약하게 하는 것이 아니다

N2SF를 단순히 “망분리 완화”나 “망분리 폐지”로만 이해하면 위험합니다.

N2SF의 본질은 보안 수준을 낮추는 것이 아니라, 정보의 중요도와 위험도에 맞게 보안을 정교하게 설계하는 것입니다.

기존에는 모든 업무를 비슷한 방식으로 통제했다면, 앞으로는 업무와 데이터의 성격을 먼저 분석해야 합니다.

어떤 정보가 어디에서 생성되고, 누가 접근하며, 어떤 시스템을 거쳐 외부로 나가는지 파악해야 합니다.

그리고 그 흐름에 맞춰 인증, 권한관리, 접속기록, 암호화, 반출통제, 보안관제, 사고대응 체계를 갖추어야 합니다.

결국 N2SF 시대의 공공기관 보안은 “망을 나누었는가?”보다 “데이터를 제대로 분류했고, 그에 맞는 보안통제를 적용했는가?”가 더 중요해집니다.

 

개인정보와 가명정보 관점에서의 주의점

특히 공공기관이 AI나 데이터 분석을 위해 개인정보 또는 가명정보를 활용하는 경우에는 N2SF만으로 충분하지 않습니다.

반드시 개인정보 보호법과 가명정보 처리 가이드라인도 함께 고려해야 합니다.

개인정보 보호법상 가명정보는 통계작성, 과학적 연구, 공익적 기록보존 등을 위해 활용할 수 있지만, 특정 개인을 알아보기 위한 목적으로 처리해서는 안 됩니다. 또한 가명정보를 제3자에게 제공할 때에는 특정 개인을 알아보기 위해 사용될 수 있는 정보를 포함해서는 안 됩니다.

또한 개인정보 보호법 시행령은 가명정보와 추가정보의 분리 보관, 불필요한 추가정보의 파기, 가명정보와 추가정보에 대한 접근권한 분리 등을 안전성 확보조치로 규정하고 있습니다. 개인정보보호위원회도 2024년 2월 개정된 「가명정보 처리 가이드라인」을 현재 안내서로 공개하고 있습니다.

따라서 공공기관이 N2SF 환경에서 AI·클라우드·데이터 분석을 추진할 때는 다음 두 가지를 함께 보아야 합니다.

 

첫째, N2SF 관점에서는 정보의 등급, 시스템 위치, 접근통제, 보안통제 수준을 검토해야 합니다.

둘째, 개인정보보호 관점에서는 처리 목적, 가명처리 적정성, 추가정보 관리, 재식별 방지, 처리기록, 파기 계획을 함께 점검해야 합니다.

이처럼 N2SF와 가명정보 보호체계는 모두 위험도에 따라 보안조치와 절차를 차등화한다는 방향성을 가지고 있습니다. 관련하여 위험도 기반 가명처리 절차 차등화 논의 자료도 함께 참고할 수 있습니다.

 

공공기관이 준비해야 할 사항

N2SF 전환을 준비하는 공공기관이라면 먼저 기관 내부의 업무와 데이터를 정리해야 합니다.

어떤 업무에서 어떤 데이터가 생성되는지, 해당 데이터가 기밀·민감·공개 중 어느 등급에 해당하는지, 현재 어느 시스템에서 처리되고 있는지 확인해야 합니다.

그 다음에는 AI, 클라우드, 외부 협업도구, 인터넷 서비스 활용이 필요한 업무를 선별하고, 해당 업무에 필요한 보안통제를 설계해야 합니다. 특히 개인정보나 가명정보가 포함되는 경우에는 데이터 반출, 외부 위탁, 제3자 제공, 분석환경, 접근권한, 처리기록 관리까지 함께 검토해야 합니다.

실무적으로는 다음 항목을 점검하는 것이 좋습니다.

기관 보유 데이터와 정보시스템 목록화

업무정보의 C·S·O 등급 분류

AI·클라우드 활용 업무의 데이터 흐름 분석

접근권한, 다중인증, 접속기록 관리 체계 점검

개인정보·가명정보 처리 목적 및 법적 근거 확인

추가정보 분리보관 및 재식별 방지 대책 마련

외부 위탁·제3자 제공 시 계약 및 보안책임 명확화

보안사고 발생 시 대응 절차와 모니터링 체계 마련

 

N2SF는 단순히 공공기관의 망분리 정책이 바뀌는 문제가 아닙니다.

공공기관이 AI와 클라우드 시대에 맞게 일하는 방식을 바꾸면서도, 국민의 정보와 국가의 중요한 데이터를 안전하게 보호하기 위한 새로운 보안 운영체계라고 볼 수 있습니다.

앞으로의 공공기관 보안은 단순히 “막는 것”만으로는 충분하지 않습니다.

중요한 것은 데이터를 제대로 분류하고, 위험을 평가하고, 그에 맞는 보안통제를 적용하는 것입니다.

N2SF는 공공기관이 더 유연하게 일하면서도 더 책임 있게 데이터를 보호하기 위한 출발점입니다.