N2SF 시대, 공공기관 보안의 기준이 바뀌고 있다

국가 망 보안체계(N2SF) 전환 가이드 ① - 국가 망 보안체계(N2SF) 전환 가이드: 핵심 개념과 안랩의 대응 전략

국가 망 보안체계(N2SF) 전환 가이드 ② - 제로트러스트(Zero Trust) 구현 전략: 신뢰하지 않고 검증하는 네트워크 보안

망분리 폐지가 끝이 아니다

그동안 공공 보안 체계는 내부망과 외부망을 물리적으로 분리하는 구조를 중심으로 운영되어 왔다. 인터넷 기반 위협을 차단하는 데 일정 수준의 효과가 있었던 것도 사실이다. 하지만 최근 업무 환경은 과거와 크게 달라졌다. 생성형 AI와 클라우드, SaaS 기반 업무 시스템, 외부 협업 환경과 모바일·원격 업무까지 빠르게 확대되면서 단순한 물리적 분리만으로는 현실적인 업무 운영과 보안을 동시에 만족시키기 어려워지고 있다.

더 큰 문제는 망분리가 존재하더라도 실제 위협 자체는 계속 발생할 수 있다는 점이다. 계정 탈취, 내부자 위협, 공급망 공격, 정상 사용자 권한 악용 같은 위협은 단순한 네트워크 차단만으로 충분히 대응하기 어렵다. 최근에는 생성형 AI 사용 과정에서 민감 정보가 외부 서비스로 유출될 가능성까지 새로운 위험 요소로 떠오르고 있다.

결국 지금의 보안은 단순히 “망을 나누었는가”보다 “누가 어떤 정보에 어떤 방식으로 접근하고 있으며 이를 얼마나 지속적으로 검증하고 있는가”가 더 중요해지고 있다. 문제는 많은 기관들이 아직 이런 운영 체계를 경험해보지 못했다는 데 있다. 기존 망분리 환경에서는 외부 연결 자체를 제한하면 되었지만, 이제는 업무별·데이터별 위험을 구분하고 상황에 따라 다른 통제를 적용해야 하는 시대가 되고 있다.

N2SF가 바꾸는 것은 ‘보안 기술’보다 ‘운영 방식’이다

N2SF의 핵심은 모든 업무와 데이터를 동일하게 통제하지 않는다는 점이다. 가이드라인은 업무와 정보의 중요도에 따라 C(Classified), S(Sensitive), O(Open) 등급으로 구분하고, 등급에 맞춰 서로 다른 수준의 보안 통제를 적용하도록 제시하고 있다.

즉, 중요한 정보는 더 강하게 보호하고, 상대적으로 개방이 필요한 업무는 유연하게 운영하되 모든 접근과 행위를 지속적으로 검증하는 방향으로 전환되는 것이다. 이는 단순한 보안 완화가 아니라, 핵심 자산에 대해서는 오히려 이전보다 더 정교한 통제가 요구되는 구조에 가깝다.

이 과정에서 가장 중요하게 언급되는 개념이 바로 제로 트러스트(Zero Trust)다. 제로 트러스트는 기본적으로 누구도 신뢰하지 않고 사용자와 단말, 접속 위치와 행위를 지속적으로 검증하는 방식이다. 결국 N2SF는 ‘신뢰 기반 보안’을 ‘검증 기반 보안’으로 전환하는 과정이라고 볼 수 있다.

실제로 가장 먼저 어려워지는 것은 ‘자산 식별’이다

N2SF 대응에서 가장 먼저 요구되는 것은 새로운 보안 솔루션 도입이 아니다. 오히려 기관 스스로 “무엇을 보호해야 하는가”를 명확히 정의할 수 있는 상태를 만드는 것이 더 중요하다.

하지만 실제 운영 환경에서는 자산 현황이 최신 상태로 관리되지 않거나, 데이터 중요도 기준이 부서마다 다르고, 생성형 AI 사용 기준조차 정리되지 않은 경우가 많다. SaaS 사용 범위가 관리되지 않거나 Shadow IT가 존재하는 사례도 적지 않다.

이 상태에서는 어떤 보안 정책을 적용하더라도 운영 혼선이 발생할 가능성이 높다. 특히 생성형 AI 시대에는 데이터가 어디로 이동하는지 파악하지 못하면 실질적인 위험 통제가 거의 불가능해질 수 있다.

예를 들어 공공기관이 생성형 AI 사용을 허용한다고 가정하면 단순히 사용 여부만 결정해서는 충분하지 않다. 어떤 AI 서비스를 허용할 것인지, 어떤 데이터를 입력할 수 있는지, 결과물 검증은 어떻게 수행할 것인지, 로그는 어떻게 남길 것인지까지 함께 정의해야 한다. 결국 앞으로 공공기관 보안에서 가장 중요한 경쟁력은 단순 차단 기술보다 자산 가시성(Visibility)과 운영 기준 수립 역량이 될 가능성이 높다.

앞으로 가장 중요해질 것은 ‘설명 가능성’이다

과거 공공 보안에서는 망분리 여부 자체가 중요한 평가 기준이었다. 하지만 앞으로는 단순히 정책이 존재하는 것만으로는 충분하지 않다. 이제 기관은 왜 특정 업무를 허용했는지, 어떤 위험을 검토했는지, 누가 승인했는지, 어떤 통제를 적용했는지, 사고 발생 시 어떤 대응을 수행했는지까지 설명할 수 있어야 한다.

즉, 앞으로의 공공 보안은 단순한 보안 솔루션 운영이 아니라 ‘위험 판단과 책임 관리 체계’를 운영하는 방향으로 변화할 가능성이 높다. 특히 생성형 AI 활용이 확대될수록 입력 데이터와 결과물 활용 이력, 접근 로그, 승인 기록 같은 요소들의 중요성은 더욱 커질 수 있다.

향후 감사와 평가 환경에서도 단순 망분리 여부보다 정책 일관성과 로그 추적성, 대응 프로세스, 증적 관리 체계가 더 중요해질 가능성이 높다. 결국 N2SF 시대의 핵심은 ‘차단’보다 ‘설명 가능성(Accountability)’에 가까워지고 있다.

많은 기관들이 실패하는 이유는 ‘솔루션 중심 접근’ 때문이다

N2SF를 새로운 보안 제품 도입 프로젝트 정도로 이해하는 경우도 적지 않다. 하지만 실제로는 훨씬 더 큰 운영체계 변화에 가깝다. 왜냐하면 N2SF는 정책과 자산 관리, 접근 통제, 로그 분석, 이상행위 탐지, 사고 대응, 감사 대응, 증적 관리까지 모두 연결되어야 하기 때문이다.

실제 현장에서는 솔루션은 도입했지만 정책 기준이 없거나, 로그는 쌓이지만 분석 체계가 없고, 생성형 AI 사용은 허용했지만 입력 통제는 부재한 경우도 충분히 발생할 수 있다. ZTNA를 구축했지만 사용자 식별 기준이 명확하지 않거나, 다양한 보안 제품을 도입했음에도 운영 인력이 부족해 실질적인 대응이 어려운 상황 역시 현실적으로 발생할 가능성이 있다.

결국 중요한 것은 제품 수 자체가 아니라 운영 흐름 전체가 끊기지 않고 연결되는 구조다. 어떤 위험을 우선 관리할 것인지, 어떤 업무를 유연하게 운영할 것인지, 어떤 데이터를 가장 강하게 보호할 것인지에 대한 기준이 먼저 정리되어야 한다. N2SF는 기술 프로젝트라기보다 ‘보안 운영 모델 재설계 프로젝트’에 더 가까운 이유가 여기에 있다.

결국 필요한 것은 ‘운영 가능한 구조’다

안랩 역시 N2SF를 단순한 제품 판매 관점이 아니라 실제 공공기관이 운영 가능한 구조를 만드는 방향으로 접근하고 있다. 자산 식별과 접근 통제, ZTNA 기반 인증, EDR/XDR 기반 위협 탐지, 로그 연계 분석, 대응 기록과 증적 관리까지 각각 분리된 기능이 아니라 하나의 운영 흐름 안에서 연결될 수 있도록 구성하는 방식이다.

특히 앞으로 공공기관은 생성형 AI 확대와 하이브리드 업무 환경 증가, 외부 협업 확대, SaaS 사용 증가 같은 변화에 지속적으로 대응해야 한다. 이 때문에 단일 솔루션보다 중요한 것은 운영 복잡도를 줄이면서도 정책과 통제, 탐지와 대응, 증적 관리까지 연결할 수 있는 지속 가능한 운영 구조라고 볼 수 있다.