국가 사이버보안 기본지침 개정 핵심 정리… 무엇이 달라졌나

(출처: Zucide - stock.adobe.com)

국가 망 보안체계(N2SF) 개편 가이드 - N2SF 시대, 공공기관 보안의 기준이 바뀌고 있다

정보보호산업법 시행령 개정안 정보보호 공시 의무 확대 - 정보보호 공시 의무 확대, 기업이 확인해야 할 체크포인트

제2차 정보보호 종합대책 - ‘사고 이후 대응’에서 ‘사전 예방 책임’ 체계로: 제2차 정보보호 종합 대책 가이드

국가 망 보안체계(N2SF) 전환 가이드 - 국가 망 보안체계(N2SF) 전환 가이드: 핵심 개념과 안랩의 대응 전략

국가 사이버보안 기본 지침이란 무엇인가?

「국가 사이버보안 기본지침」은 「국가정보원법」, 「사이버안보 업무규정」, 「전자정부법」 등을 법적 근거로, 국가정보원장이 이른바 '각급기관'의 사이버보안 기본업무를 규정한 지침이다. 쉽게 말해, 정부 IT 보안에 관한 '최상위 실무 기준서'다.

이 지침은 국가 안보와 국익 관련 정보를 보호함으로써 국민 전체의 안전을 지키는 데 목적이 있다. 1차 적용 대상은 중앙행정기관과 지방자치단체, 공공기관, 국·공립학교, 군(軍)기관 등 헌법과 법률에 따라 설치된 '각급기관' 전체로 광범위하다. 그런데 이번 개정(제4조)에서 주목할 점은 지침의 영향이 민간 영역으로까지 명시적으로 확장됐다는 점이다. 각급기관의 정보화사업을 수행하는 용역업체, 정보시스템을 공급하는 개발·제조업체, 클라우드 서비스 제공자(CSP), 전기통신사업자 등이 국가정보원장의 협조 요청을 정당한 사유 없이 거부할 수 없도록 법적 근거가 마련된 것이다.

이번 개정의 핵심: '망' 중심에서 '데이터' 중심으로

이번 개정에서 가장 큰 변화는 기존의 획일적인 물리적 망 분리를 폐지(제40조 삭제)하고, 국가 망 보안체계(N2SF, National network Security Framework)를 도입한 것이다. 기존 체계가 '업무용 건물'과 '인터넷용 건물'을 따로 짓고 서로 이동하지 못하도록 막는 방식이었다면, N2SF는 건물 하나에 방마다 다른 보안 등급의 잠금 장치를 설치하는 구조다.

핵심은 업무정보를 3개 등급으로 분류하는 것이다. ▲국가 기밀과 비밀을 다루는 기밀(Classified)등급 ▲공개할 수 없는 내부 정보를 다루는 민감(Sensitive)등급 ▲공개 가능한 정보를 다루는 공개(Open)등급이 이에 해당한다. 각 기관은 등급별 도메인(네트워크 영역)과 정보시스템을 구분해 운영해야 한다.

이 같은 패러다임 전환이 가져오는 가장 큰 실익은 클라우드와 AI 활용의 가능성이 확대됐다는 점이다. 개정 지침은 N2SF 보안 가이드라인의 통제 항목을 준수할 경우, 민감 등급 업무정보도 외부 클라우드 영역에서 처리할 수 있도록 허용한다.

생성형 AI 활용 역시 마찬가지다. 적절한 보안 통제를 적용한다는 전제 하에, 인터넷과 연결된 생성형 AI 서비스를 업무에 활용하는 길이 열렸다.

주요 개정 항목 비교

주요 변경 내역 및 개정 취지

공공기관·기업이 준비해야 할 핵심 대응 과제

이번 개정은 단순히 보안 지침 일부가 바뀐 것이 아니라, 공공 정보시스템의 설계·운영 방식 전반을 다시 정비해야 하는 변화다. 특히 업무정보 등급 분류, 네트워크 구조, 클라우드·AI 활용, 공급망 보안까지 기관과 참여 기업 모두의 준비 범위가 넓어졌다. 따라서 공공기관과 관련 민간 기업은 지침의 요구사항을 기준으로 기존 보안체계를 점검하고, 단계적인 전환 계획을 마련해야 한다.

단계별 대응 로드맵과 필요 솔루션

개정 지침에 효과적으로 대응하기 위해서는 아래 5단계 절차에 따라 보안 체계를 순차적으로 정비할 필요가 있다. 특히 새로운 보안 체계는 단순히 네트워크 구조를 바꾸는 데 그치지 않고, 업무정보의 ‘등급 분류’와 각 등급에 따른 ‘위협 식별’을 기반으로 재설계돼야 한다.

분야별 필요 솔루션

맺음말: 제약이 아닌, 신뢰의 인프라로서의 보안

이번 「국가 사이버보안 기본지침」 개정은 단순한 규정 업데이트가 아니다. AI와 클라우드가 공공 업무의 핵심 인프라로 자리 잡는 시대에, 국가가 보안의 패러다임을 전환하겠다는 선언이다. 물리적 망분리 중심의 제약에서 벗어나, 신뢰를 기반으로 한 합리적인 보안 체계로 나아가야 한다.

그러나 수년간 구축해 온 망분리 환경을 재설계하고, 기관 내 모든 업무정보를 등급별로 분류하며, 새로운 솔루션과 프로세스를 도입하는 일은 단기간에 끝낼 수 있는 과제가 아니다. 예산과 인력의 제약 속에서 이 모든 변화를 추진해야 하는 보안 담당자의 부담 역시 클 수밖에 없다.

그럼에도 당장 모든 것을 바꾸기 어렵다면, 먼저 현재의 보안 환경과 업무정보 현황을 정확히 파악하는 것부터 시작해야 한다. 이번 지침 개정을 보안 체계를 한 단계 성숙시키는 계기로 삼고, 현장에서 쌓아가는 보안 담당자들의 노력이 모여 국가 사이버 안보를 지탱하는 든든한 버팀목이 되기를 기대한다.

☞ N2SF란？: 스마트 보안 하우스로의 전환

N2SF(National network Security Framework)는 보안의 패러다임을 '망(Network)' 중심에서 '데이터(Data)' 중심으로 전환한 체계다. 기존 망 분리가 '인터넷망 집'과 '업무망 집'을 완전히 따로 지어 이동을 물리적으로 막는 구조라면, N2SF는 집은 하나지만 방마다 중요도에 맞는 잠금장치를 다는 '스마트 보안 하우스'라 할 수 있다.

• 공개(O)등급: 거실처럼 외부와 자유롭게 소통 (인터넷, 생성형 AI 활용 가능)
• 민감(S)등급: 서재처럼 중요 서류를 관리하며 인가자만 접근 (인터넷 제한적 허용)
• 기밀(C)등급: 금고처럼 기밀을 가장 엄격하게 보호 (인터넷 접속 제한 유지)

N2SF 적용의 출발점은 '업무정보 등급 식별'이다. 기관은 BRM 소기능 수준까지 업무를 세분화하고 각 데이터의 등급을 부여한 후, 국가정보원이 배포한 「국가 망 보안체계(N²SF) 보안가이드라인」의 통제 항목을 구현한다.

☞ BRM이란? N2SF 등급 분류의 출발점

정부기능분류체계(BRM, Business Reference Model)는 정부가 수행하는 모든 업무를 기능 중심으로 분류한 행정안전부의 표준 체계로, 정책분야(1레벨)부터 소기능(5레벨)까지 5단계 계층 구조를 가진다.

N2SF를 적용하려면 BRM 최소 단위인 '소기능(5레벨)' 수준에서 업무 데이터를 식별해야 한다. 예를 들어 [환경] → [상하수도 수질] → [4대강 유역관리] → [화학물질 관리] → [취급제한 금지물질 영업자 관리]라는 소기능에서 발생하는 '영업자 정보'는 개인정보 포함 시 민감(S)등급 분류 검토 대상이 된다.

공공기관과 협력하는 IT 기업이라면 대상 기관의 BRM 구조를 미리 파악해두는 것이 N2SF 대응 전략 수립의 첫걸음이다.

■ BRM의 구조

단계	분류 명칭	설명
1레벨	정책분야	정부의 거시적인 정책 영역 (예: 환경, 국방, 보건복지 등)
2레벨	정책영역	정책분야 내의 세부 영역 (예: 상하수도 수질)
3레벨	대기능	기관 수준의 주요 기능 (예: 4대강 유역관리)
4레벨	중기능	과' 단위 수준의 업무 기능 (예: 화학물질 관리)
5레벨	소기능	구체적인 단위 업무 및 데이터 발생 지점 (예: 취급제한 물질 영업자 관리)

☞ 온북 단말기란？: 움직이는 사무실의 등장

'온북(On-Book)' 단말기는 행정안전부의 「행정기관 온북 도입 가이드」에 따라 설계된 보안 강화 업무용 노트북이다. 공무원이나 공공기관 직원이 출장지나 재택근무 중에도 사무실과 동일한 환경에서 업무를 처리할 수 있도록 만들어졌다. 기존에는 개인 단말기로 원격근무 시 가상 PC를 통해 공개등급 업무만 처리할 수 있었다. 이번 개정으로 온북 단말기를 사용하면 민감등급 정보시스템에도 직접 접속이 가능해졌다. 대신 기관 제공 보안 소프트웨어 설치가 필수이며, 모바일 신분증·OTP(소유기반)와 지문·홍채 인식(생체기반)을 결합한 다중인증(MFA) 등 강화된 보안이 요구된다.