AI 시대의 업무망 보안, N2SF 도입 지원사업 기반 적용 사례

망분리 여부에서 정보등급과 위험 기반 통제로

N2SF를 실제 업무 환경에 적용하기 위한 기준은 보안 가이드라인과 국가 사이버보안 기본지침에 구체화돼 있다. 2025년 9월 공개된 N2SF 보안 가이드라인 1.0에 이어, 2026년 5월 개정된 국가 사이버보안 기본지침에는 업무정보의 등급 식별과 처리, 정보시스템의 위치, 등급별 보안통제에 관한 조항이 신설됐다.

N2SF의 핵심은 망분리를 없애는 것이 아니라 통제 기준을 바꾸는 것이다. 기존에는 업무망과 인터넷망을 분리했는지가 중요한 판단 기준이었다면, N2SF에서는 업무정보의 등급과 이용 환경에 따라 위험을 통제할 수 있는지가 핵심이다. 필요한 경우 등급이 다른 도메인이나 정보시스템 간 통신을 차단하거나 분리하는 망분리 방식도 보안통제로 여전히 활용할 수 있다.

C/S/O 등급과 접근 조건에 따른 통제

보호할 정보에 맞는 통제를 적용하려면 먼저 그 정보의 등급을 구분해야 한다. N2SF의 정보등급은 기밀(C), 민감(S), 공개(O)로 나뉜다. C 등급에는 비밀과 대외비, 정보공개법 제9조 제1항 제1호부터 제4호까지의 비공개 대상 정보가 포함된다. S 등급에는 같은 항 제5호부터 제8호까지의 비공개 대상 정보 등이 포함되며 O 등급에는 C와 S에 해당하지 않는 업무정보와 법정 요건을 충족해 공개하는 정보 등이 포함된다. 이 때 정보 등급이 지정되었다고 고정되는 것은 아니다. 정보를 결합하거나 연계했을 때 중요도와 침해 영향이 커지면 등급을 상향할수 있다.

이러한 등급은 업무정보뿐 아니라 해당 정보를 처리하는 정보시스템과, 단말이 위치하거나 업무정보가 처리되는 네트워크 영역인 도메인에도 적용된다. 업무정보는 원칙적으로 해당 정보와 같거나 높은 등급의 정보시스템 또는 도메인에서 처리해야 하며 낮은 등급의 환경에서 처리하는 경우에는 가이드라인에서 정한 보안통제를 준수해야 한다.

처리 환경의 등급과 함께 실제로 정보에 접근하는 사용자와 단말도 확인해야 한다. 같은 환경을 이용하더라도 사용자에게 부여된 권한과 단말의 보안 상태에 따라 접근 조건이 달라질 수 있기 때문이다. 사용자의 신원과 권한을 확인하고 이를 지속적으로 검증하는 제로트러스트 원칙은 이러한 접근통제에 적용된다.

N2SF 대응을 위한 운영체계

앞서 정한 정보등급과 접근 조건을 실제 업무에 적용하려면, 보호할 자산과 데이터가 명확히 식별돼 있어야 한다. 어떤 자산에 어떤 정보가 저장되고 처리되는지 파악해야 해당 정보의 중요도에 맞는 접근정책을 적용할 수 있기 때문이다. 사용자 계정과 권한도 이 정책에 맞춰 관리해 허용된 범위에서만 정보에 접근할 수 있도록 해야 한다.

접근을 허용한 이후에는 정보가 어떻게 사용되고 이동하는지도 감시해야 한다. 엔드포인트와 네트워크의 행위 정보와 로그를 분석해 이상 징후를 찾아내고, 발견한 위험에 대응할 수 있어야 한다. 탐지 결과가 실제 조치로 이어지려면 대응 절차와 책임 주체가 명확해야 하기 때문에, 어떤 상황에서 누가 조치할지와 내부 담당자 및 외부 운영 조직의 역할을 미리 정해야 한다.

이 과정에서 적용한 정책과 설정, 정보 이용 내역, 탐지 결과와 조치 이력은 함께 관리해야 어떤 기준으로 접근을 통제했고, 이상 징후를 발견한 뒤 필요한 대응을 수행했는지 확인할 수 있다. 이러한 기록을 중앙에서 지속적으로 관리하면 점검과 감사에서도 보안통제가 실제로 운영되고 있음을 입증하는 증적으로 활용할 수 있다.

N2SF 참조모델에 따른 서비스 이용과 데이터 전송 통제

N2SF 가이드라인 1.0은 정보서비스 이용 환경에 따라 적용할 수 있는 참조모델을 제시한다. 이 가운데 모델 2는 업무망에서 생성형 AI를 이용할 때 필요한 보안통제를, 모델 4는 업무 단말에서 인터넷을 이용할 때 필요한 보안통제를 다룬다.

모델 2와 모델 4에서는 외부 서비스를 이용할 때 접속 대상과 전송하려는 정보의 등급에 따라 서로 다른 정책을 적용한다. 다음에서는 모델 2와 모델 4를 기준으로 접속 대상과 정보등급에 따라 파일 전송 정책이 어떻게 달라지는지 살펴본다.

모델 2: 생성형 AI정보 서비스 모델

모델 2에서는 승인된 생성형 AI 서비스에 대한 접근과 데이터 전송을 통제한다. S 등급 업무망에서 기관이 승인한 O 등급 생성형 AI 서비스에는 접속할 수 있지만, 전송할 수 있는 파일은 O 등급으로 제한하며 C와 S 등급 파일은 차단한다. 승인되지 않은 생성형 AI 서비스는 접속 자체를 허용하지 않는다. 즉 생성형 AI 서비스 이용이 허용됐다고 해서 업무망의 모든 정보를 외부로 보낼 수 있는 것이 아니며 승인된 서비스라도 해당 목적지로 전송할 수 있는 등급의 정보만 허용한다.

모델 4: 인터넷 이용 정보 서비스 모델

모델 4에서는 접속 대상의 등급에 따라 전송할 수 있는 정보의 범위가 달라진다. O 등급 인터넷 사이트에는 O 등급 정보만 전송할 수 있다. 반면 S 등급 업무정보시스템에는 S와 O 등급 정보는 전송할 수 있지만, C 등급 정보는 전송할 수 없다. 승인되지 않은 웹사이트에 대한 접속도 차단한다.

모델 2와의 차이는 목적지의 등급이다. O 등급 생성형 AI에는 전송할 수 없었던 S 등급 파일도, 해당 정보를 처리할 수 있는 S 등급 정보시스템에는 정책에 따라 전송할 수 있다. 즉, 외부에 있는 서비스나 정보시스템이라도 목적지와 데이터의 등급에 따라 전송할 수 있는 정보의 범위가 달라진다.

모델 2와 모델 4를 결합한 업무망 적용 구조

안랩은 업무망에서 생성형 AI와 인터넷을 함께 이용할 수 있도록 모델 2와 모델 4의 보안통제를 결합한 아키텍처를 구성했다. 서비스별로 필요한 접근통제와 데이터 전송 정책을 적용하면서, 이를 하나의 업무 환경에서 운영할 수 있도록 설계한 것이 이번 N2SF 적용 사례다.

전체 구조는 업무 단말이 위치한 Zone A, 외부 서비스 이용에 필요한 보안통제를 수행하는 Zone B, 정보시스템과 인터넷 사이트, 생성형 AI 서비스 등 접속 대상이 위치한 Zone C로 구성된다. 사용자는 Zone A의 업무 단말에서 인증과 보안 상태 확인을 거친 뒤 Zone B의 보안통제를 통해 Zone C에 접속한다. 기존처럼 인터넷 전용 PC를 별도로 사용하지 않고 업무 단말에서 외부 서비스를 이용하면서도, 접속 과정에 필요한 보안통제를 적용하는 방식이다.

먼저 외부 서비스에 접속하기 전 사용자와 단말이 해당 서비스를 이용할 수 있는 상태인지 확인한다. ICAM과 멀티팩터 인증으로 사용자의 신원과 권한을 확인하고, ZTNA로 업무 단말의 보안 상태를 지속적으로 점검한다. 이 조건을 충족한 사용자는 별도의 PC로 전환하지 않고 업무 단말에서 외부 서비스에 접근할 수 있다. 인터넷 웹 콘텐츠는 RBI를 이용해 격리된 환경에서 실행하도록 구성했다.

이 때 외부 서비스 이용이 허용됐다고 해서 모든 데이터의 전송까지 허용되는 것은 아니다. 웹 게이트웨이와 DLP를 이용해 외부로 이동하는 데이터를 통제하고, 파일 전송 시에는 GradeBridge에서 확인한 C/S/O 등급을 기준으로 전송 정책을 적용한다. 이를 통해 같은 사용자가 동일한 업무 단말을 사용하더라도 접속 대상과 전송하려는 파일의 등급에 따라 전송 가능 여부가 달라질 수 있다. 마지막으로 각 보안 기능에서 발생하는 정보는 XDR과 연계한다. XDR은 단말과 네트워크 등에서 발생한 이벤트를 수집하고 분석해 이상 징후를 탐지하며, 대응과 증적 관리를 지원한다.

이 사례의 특징은 N2SF 적용을 위해 모든 보안 환경을 새로 구축한 것이 아니라는 점이다. 기존에 사용하던 보안 솔루션을 활용하면서 사용자 인증이나 단말 검증 등 부족한 기능을 보완하고, 여러 제품을 연계해 모델 2와 모델 4에 필요한 통제를 구현했다.

N2SF 평가 체계

앞서 살펴본 것처럼 필요한 보안통제를 구성했더라도 N2SF 적용이 끝나는 것은 아니다. N2SF의 공식 적용 절차는 준비, C/S/O 등급분류, 위협식별, 보안대책 수립, 적절성 평가 및 조정의 다섯 단계이다. 기관은 먼저 적용할 업무와 정보서비스를 파악하고 정보등급을 분류해야 한다. 이후 위협을 식별해 필요한 보안대책을 수립하고, 마지막으로 해당 대책이 실제 업무 환경과 위험 수준에 적절한지 평가해야 한다. 평가 과정에서 미흡한 부분이 확인되면 앞선 단계로 돌아가 보완한다.

이때 수행하는 적절성 평가는 국가정보원 보안성 검토나 연례 사이버보안 실태평가와는 별개의 절차다. 기관이 자체적으로 보안대책의 적절성을 확인하고 조정한 뒤에도, 필요한 보안성 검토와 실태평가는 각각 정해진 기준과 절차에 따라 진행해야 한다.

운영을 시작한 뒤에도 한 번 정한 정보등급과 보안통제를 그대로 유지하는 것은 아니다. 새로운 정보서비스를 도입하거나 업무정보의 구성과 이용 환경이 바뀌면 기존 등급과 접근 및 전송 정책이 여전히 적절한지 다시 확인해야 한다. 즉 N2SF는 구축 시점에 통제를 한 번 설정하고 끝나는 것이 아니라, 업무와 서비스의 변화에 맞춰 보안통제를 계속 점검하고 조정하는 과정이다.

안랩의 N2SF 지원 사업

안랩은 ‘한국인터넷진흥원 2026년 국가 망 보안체계(N2SF) 도입 지원사업’의 컨소시엄 주관기업으로 참여해 한국연구재단의 N2SF 도입을 지원하고 있다. 지난 6월부터 모니터랩, 드림시큐리티, 시큐어원 등과 컨소시엄을 구성하고, 한국연구재단의 업무망에서 생성형 AI와 인터넷을 안전하게 이용할 수 있도록 필요한 보안체계를 구축하고 있다.

기관마다 업무 환경과 기존 보안 인프라가 다르기 때문에N2SF는 특정 보안 솔루션 하나만으로 구현하는 것이 아닌 기관의 기존 보안 환경을 기반으로 필요한 기능을 연계해 적용해야 한다. 안랩은 N2SF 도입 지원사업을 통해 다양한 보안 기업과 협력해 엔드포인트 보안, 사용자 인증, 웹 격리, 데이터 보호, 탐지와 대응 기능을 하나의 체계로 연계해 N2SF 적용에 필요한 보안체계 구축을 통해 쌓은 노하우를 기반으로 다양한 공공기관 환경에 적합한 N2SF 도입 방안을 제공한다.