N2SF란?

N2SF(National Network Security Framework) 란?

N2SF(국가 망 보안체계)는 국가정보원이 국가 및 공공기관의 업무정보와 정보시스템을 중요도에 따라 C, S, O 등급으로 분류하고, 정보서비스에서 식별한 위협에 맞춰 보안통제를 차등 적용하도록 마련한 정책 프레임워크다.

업무망과 인터넷망을 나누는 기존 망분리 방식에서는 네트워크 구획이 주요 보호 기준이었다. N2SF와의 차이점은 보호 수준을 네트워크 위치만으로 결정하지 않는다는 점이다. N2SF는 먼저 보호할 정보와 시스템을 식별해 등급을 정한 후 해당 정보가 처리되는 서비스 구조와 이동 경로에서 위협을 분석하고, 필요한 통제를 선택한다.

N2SF 등장 배경과 제도화

기존 공공부문 망분리는 외부 인터넷에서 유입되는 위협과 내부 업무환경을 분리하는 데 초점을 맞췄다. 하지만 클라우드와 생성형 AI, 외부 협업 서비스, 무선 및 모바일 업무환경에 대한 요구가 커지면서 모든 업무에 비슷한 분리 기준을 적용하기 어려워졌다. 정보의 중요도와 서비스별 위험이 다른데도 네트워크 구획을 기준으로 통제하면 외부 서비스 및 공공데이터 활용이 제한되고, 개별 서비스의 위협에 맞는 대책을 설계하기도 어렵다.

국가정보원은 이에 대응하기 위해 2024년 7월 공공 클라우드 보안정책 간담회에서 업무 중요도에 따라 등급을 나누고 보안대책을 차등 적용하는 다층보안체계 추진 방향을 설명했다. 2025년 1월에는 국가 망 보안체계 보안 가이드라인 초안을 발간했다.

의견 수렴 후 2025년 9월 30일 공개된 가이드라인 1.0은 적용 절차를 설명하는 본문, 보안통제 항목 해설서, 정보서비스 모델 해설서로 구성됐다. 2026년 5월 1일에는 N2SF 관련 조항이 국가 사이버보안 기본지침 개정본에 반영됐으며 이후 여러 기관의 사이버보안 행정규칙에도 업무정보 등급식별과 처리, 정보시스템 위치, 보안통제 관련 내용이 포함됐다.

기존 망분리와 N2SF의 차이

기존 망분리는 네트워크 영역을 나누고 영역별 접속을 제한하는 방식이다. N2SF는 정보와 시스템의 등급, 서비스 구조, 식별된 위협을 기준으로 보호대책을 결정한다. 두 방식의 차이를 항목별로 비교하면 다음과 같다.

구분	망분리	N2SF
보호 기준	네트워크 영역과 접속 위치	업무정보와 정보시스템의 등급, 서비스 구조, 식별된 위협
통제 방식	분리된 망별로 비교적 일률적인 통제 적용	등급과 위협에 따라 필요한 통제를 선택하고 조정
정보 활용	외부 서비스 및 인터넷 연계가 제한되는 경우가 많음	등급분류와 보안대책을 전제로 서비스별 활용 범위를 설계
클라우드와 생성형 AI	분리 구조로 인한 활용 및 업무 연계가 제한	별도 정보서비스 모델과 위협 분석을 통해 활용 방안 검토

N2SF로 인해 망분리 자체가 폐지되는 것은 아니다. 높은 등급의 정보와 시스템에는 분리와 격리 조치를 적용할 수 있으며, 등급이 다른 시스템 간 통신도 필요에 따라 차단하거나 분리할 수 있다. 다만 분리를 일률적으로 적용하는 대신, 정보의 중요도와 서비스에서 확인한 위협에 따라 통제 수준을 정한다.

N2SF의 C, S, O 등급

N2SF는 업무정보와 정보시스템을 C, S, O의 세 등급으로 분류한다. 기관은 이 등급을 바탕으로 정보서비스의 위협을 분석하고 적용할 보안통제를 결정한다.

등급	영문명	의미	주요 판단 기준
C	Classified	공개될 경우 국가와 사회에 중대한 영향을 줄 수 있는 기밀 정보와 이를 처리하는 시스템	국가안보, 국방, 외교, 수사, 국민의 생명과 안전 등에 미칠 수 있는 영향
S	Sensitive	공개될 경우 개인, 기관 또는 국가의 이익을 침해할 수 있는 민감한 비공개 정보와 이를 처리하는 시스템	관련 법령의 비공개 기준, 개인정보와 기관 업무에 대한 침해 영향
O	Open	C 또는 S에 해당하지 않거나 관련 기준에 따라 공개할 수 있는 정보와 이를 처리하는 시스템	공개 가능 여부와 서비스 운영에 미치는 영향

등급을 정할 때는 정보의 명칭보다 관련 법령과 기관의 업무 기능, 공개 시 예상되는 영향, 다른 정보와 결합될 가능성을 확인해야 한다. 개인정보가 포함됐다고 모든 정보를 같은 등급에 넣거나, 공공데이터라는 이유로 일괄적으로 O 등급을 부여해서는 안 된다.

정보를 집합하거나 다른 시스템과 연계해 침해 영향이 커진다면 등급을 상향할 수 있다. 정보시스템의 등급은 처리하는 정보와 담당 업무의 중요도를 고려해 정한다. O 등급으로 분류하더라도 무결성과 가용성 확보와 계정 및 서비스 보호를 위한 통제는 필요할 수 있다.

N2SF의 5단계 적용 절차

가이드라인 1.0은 N2SF 적용 절차를 준비, C·S·O 등급분류, 위협식별, 보안대책 수립, 적절성 평가 및 조정 5단계로 제시한다. 기관은 보호대상과 등급을 정한 뒤 서비스별 위협에 맞는 자체 보안대책을 수립한다. 단계별 산출물은 다음 분석에 사용되며, 최종 보안대책은 국가정보원의 보안성 검토에 활용된다.

1단계: 준비

먼저 적용계획을 세우고 기관의 업무와 기능을 분석한다. 이를 바탕으로 보호할 업무정보와 정보시스템을 식별하고, 각 요소가 어떤 정보서비스를 구성하는지 정리한다.

업무정보에는 기관이 생산, 저장, 이용하거나 외부와 주고받는 정보가 포함되며 정보시스템은 서버, 단말, 네트워크 및 관련 구성요소를 포함한다. 정보서비스는 특정 업무를 위해 정보와 시스템, 이용 주체가 상호작용하는 단위다. 여기서 식별한 대상이 등급분류 범위가 된다.

2단계: C, S, O 등급분류

준비 단계에서 식별한 업무정보와 정보시스템에 C, S, O 등급을 부여한다. 정보는 관련 법령과 업무 기능, 공개 시 영향을 기준으로, 시스템은 처리하는 정보와 담당 업무의 중요도를 함께 고려해 분류한다.

이 결과는 정보가 이동할 수 있는 방향과 추가 보안대책이 필요한 지점을 판단할 때 활용한다. 개별 정보의 등급뿐 아니라 정보가 결합된 형태와 실제 처리 환경도 검토한다.

3단계: 위협식별

정보서비스를 위치, 주체, 객체로 나눠 모델링한다. 위치는 정보가 처리되는 물리적·논리적 영역, 주체는 정보와 시스템에 접근하는 사람이나 시스템, 객체는 접근 대상인 정보와 자원을 뜻한다. 이 구성요소에 등급을 표시하고 정보가 생산, 저장, 이동하는 경로를 분석한다.

분석할 때는 정보 생산 및 저장 원칙과 정보 이동 원칙을 적용한다. 특히 낮은 등급의 시스템이 상위 등급 정보를 생산 및 저장하거나, 상위 등급 정보가 하위 등급 시스템으로 이동하는 경로를 확인해 보안대책이 필요한 위치를 찾는다.

4단계: 보안대책 수립

앞 단계에서 식별한 위협마다 보안 요구사항을 정하고 등급별 기준선과 가이드라인의 보안통제 항목을 검토해 통제를 선택하고, 기관의 시스템과 업무환경에 맞는 구현계획을 작성한다. 이 때 같은 등급의 정보서비스라도 구성과 접속 방식, 이용 주체, 외부 연계에 따라 위협은 달라진다. 따라서 등급만으로 통제를 결정하지 않고 앞서 식별한 위협을 함께 반영한다.

5단계: 적절성 평가 및 조정

보호대상 누락 여부, 등급분류 근거, 정보 흐름과 위협식별 결과, 보안통제의 요구사항 충족 여부를 확인한다. 준비 단계부터 작성한 산출물이 서로 맞는지도 평가한다. 누락이나 불일치가 발견되면 해당 단계로 돌아가 분석 결과와 대책을 수정한다. 평가 결과는 확인과 승인 절차를 거쳐 자체 보안대책으로 정리한다. 각 단계는 필요에 따라 이전 단계로 돌아가 재검토할 수 있다.

N2SF의 정보 흐름 원칙

가이드라인은 서로 다른 등급의 정보와 시스템이 만나는 경로를 분석할 때 두 가지 정보 흐름 원칙을 적용한다. 이 원칙은 모든 이동을 동일한 규칙아래 허용하거나 금지하는 것이 아닌 추가 보호대책이 필요한 경로를 찾아내는 데 사용된다.

정보 생산 및 저장 원칙

정보시스템은 원칙적으로 자신의 보안등급과 같거나 낮은 등급의 업무정보를 생산 및 저장할 수 있다. 시스템보다 높은 등급의 정보를 생산하고 저장할 때는 정보의 기밀성과 무결성을 확보할 수 있도록 별도의 보안대책을 마련해야 한다.

정보 이동 원칙

업무정보는 원칙적으로 해당 정보와 같거나 더 높은 보안등급의 정보시스템으로 이동할 수 있다. 반면 상위 등급의 정보를 하위 등급 시스템으로 이동시킬 때는 정보 유출이나 부적절한 처리를 방지하기 위한 별도의 보안대책을 마련해야 한다. 실제 이동 허용 여부와 구체적인 통제 방식은 서비스 구조와 식별된 위협을 고려해 결정한다.

보안통제와 정보서비스 모델

N2SF 가이드라인은 위협에 대응할 보안대책을 수립하기 위한 6개 영역의 보안통제 항목과 클라우드·생성형 AI 등 다양한 업무환경의 시스템 구성과 정보 흐름을 분석할 때 참고할 11종의 정보서비스 모델을 제시한다.

보안통제의 6개 영역

가이드라인 1.0은 보안통제를 권한, 인증, 분리 및 격리, 통제, 데이터, 정보자산의 6개 영역으로 구분된 280여 개의 세부 보안통제 항목이 포함돼 있다. 권한 영역에서는 이용 주체의 자원 접근 범위를 정하고, 인증 영역에서는 신원과 접근 자격을 확인한다. 분리 및 격리 영역은 정보·시스템 간 경계를, 통제 영역은 서비스 이용과 정보 흐름을 관리하는 항목을 다룬다. 데이터 영역은 저장·전송 등 처리 과정의 보호를, 정보자산 영역은 시스템과 구성요소의 보호를 대상으로 한다. 기관은 식별된 위협과 보안 요구사항을 기준으로 통제를 선택하고, 기존 시스템과 운영 절차에 맞춰 기술적·관리적 구현 방법을 정할 수 있다.

11종 정보서비스 모델

가이드라인은 인터넷 단말의 업무 활용, 업무환경에서 생성형 AI 활용, 외부 클라우드를 이용한 업무협업, 공공데이터의 외부 AI 융합, 모바일 업무환경, 무선 업무환경 등 11종 정보서비스 모델을 제공한다. 연구 목적 단말의 신기술 활용, 개발 환경의 편의성 향상, 클라우드 기반 통합문서체계, 정보 연계와 같은 업무 형태도 포함된다.

No	정보서비스 참조모델	핵심 메시지
1	인터넷 단말의 업무 활용성 제고	인터넷 단말도 통제된 환경에서 업무 생산성 도구로 활용
2	업무환경에서 생성형 AI 활용	생성형 AI는 허용하되 민감정보 유출은 사전 차단
3	외부 클라우드 활용 업무 협업 체계	외부 클라우드 협업은 접근통제∙암호화 ∙ MFA 로 보호
4	업무 단말의 인터넷 이용	업무 단말 인터넷 사용은 가상화 기반으로 안전하게 허용
5	공공 데이터의 외부 AI 융합	공공 데이터 ∙ 외부 AI연계는 익명화 ∙ API 통제로 관리
6	연구 목적 단말의 신기술 활용	연구 환경은 유연하게, 연구망은 분리 ∙ 보강해 운영
7	개발 환경 편의성 향상	개발 편의성은 높이고 코드 유출 ∙ 취약점 유입은 차단
8	클라우드 기반 통합 문서 체계	클라우드 문서도 DRM ∙ 권한관리로 안전하게 통합
9	모바일 업무 환경 정보 연계	모바일 업무는 MDM ∙ VPN ∙ 강화 인증 기반으로 연계
10	무선 업무 환경 운용 체계	무선망은 강한 인증과 WIPS로 비인가 접속 차단
11	정보 연계를 위한 CDS 구성	망간 연계는 CDS와 무결성 검증으로 안전하게 수행

정보서비스 모델은 위치, 주체, 객체와 정보 흐름을 정리하고 위협을 식별할 때 참고할 수 있는 예시다. 기관별 네트워크 구성과 연계 시스템, 정보 등급, 보안 정책이 서로 다르기 때문에 가이드라인의 구성도를 그대로 도입하기보다 실제 서비스에 맞게 조정해야 한다.

N2SF의 적용 대상

N2SF는 국가 및 공공기관의 정보화사업과 업무 정보서비스 환경을 직접적인 적용 대상으로 한다. 국가정보원과 국가사이버안보센터가 정책과 가이드라인을 마련하며, 과학기술정보통신부와 KISA는 도입 지원과 실증을 담당한다.

일반 민간기업의 경우 정보 등급분류와 위험 기반 통제 방법을 참고할 수 있지만, N2SF의 직접 적용 대상이 되는 것은 아니다. 다만 공공 정보화사업에 참여하는 사업자와 클라우드 및 보안 서비스 제공자는 등급분류, 위협식별, 통제 구현, 보안성 검토 관련 요건이 계약 범위나 서비스 설계에 반영되는 경우 발주기관의 N2SF 적용에 따른 요구사항을 받을 수 있다.

N2SF의 기대효과

N2SF를 적용하면 정보와 시스템의 중요도에 따라 보호 수준을 달리 설계할 수 있다. C·S·O 등급과 서비스별 위협을 기준으로 통제를 고르면 보호 필요성이 높은 영역에는 강한 보안 조치를 유지하고, 상대적으로 위험이 낮은 영역에는 그 특성에 맞는 대책을 적용할 수 있다.

자체 보안대책의 결정 근거도 추적하기 쉬워진다. 보호대상 식별부터 등급분류, 위협식별, 통제 선택, 평가까지 단계별 산출물을 남기 때문에 어떤 위협에 어떤 통제를 적용했는지 설명할 수 있다.

새로운 정보서비스를 검토할 때도 동일한 절차를 활용할 수 있다. 기관은 생성형 AI, 외부 클라우드 협업, 무선 및 모바일 업무, 공공데이터와 외부 AI 연계 등을 도입할 때 처리 정보의 등급과 서비스별 위협을 확인하고, 필요한 보안통제를 마련한 뒤 활용 가능성을 판단할 수 있다.

N2SF 적용 시 고려사항

실제 적용에서는 단계별 산출물이 기관의 업무와 정보서비스 구조를 정확히 반영하는지 확인해야 한다. 특정 솔루션을 먼저 정하기보다 정보 흐름을 파악하고 등급분류의 근거와 담당 책임을 명확히 하는 작업이 우선이다.

• 보호대상 식별:
  기관의 업무정보와 정보시스템뿐 아니라 외부 클라우드, 협력기관 연계, 사용자 단말, 자동화된 시스템 간 통신까지 정보서비스 범위에 포함됐는지 확인한다.
• 등급분류의 근거와 책임:
  법령과 업무 기능, 공개 시 영향, 정보의 결합 가능성을 근거로 등급을 결정하고 담당자와 승인 절차를 명확히 한다. 정보와 서비스가 변경될 때 등급을 다시 검토할 기준도 필요하다.
• 위치, 주체, 객체 모델링:
  정보가 어디에 저장되고 처리되는지, 사람과 시스템 중 누가 접근하는지, 어떤 데이터와 자원이 대상인지 실제 흐름과 일치하도록 모델링한다.
• 위협식별 범위:
  상위 등급 정보가 하위 등급 시스템으로 이동하는 경로와 함께 계정 오용, 외부 연계, 관리 인터페이스, 데이터 결합에 따른 위협을 검토한다.
• 통제 구현과 운영:
  선택한 보안통제를 기존 시스템과 운영 절차에 어떻게 구현할지 정하고, 통제가 실제로 작동하는지 확인할 수 있는 기록과 점검 방식을 마련한다.
• 정보서비스 모델의 조정:
  11종 참고 모델을 기관의 네트워크, 연계 시스템, 정보 등급, 보안 정책에 맞게 수정한다.
• 평가와 보안성 검토:
  단계별 산출물의 연결이 타당한지 평가하고, 누락이나 불일치가 발견되면 앞 단계로 돌아가 조정한다. 최종 자체 보안대책은 보안성 검토에 활용될 수 있도록 근거와 구현계획을 함께 갖춰야 한다.

운영 중 외부 서비스를 추가하거나 처리 정보를 변경하면 기존 등급과 보안통제의 적절성을 다시 검토해야 한다. 변경된 서비스 구조와 정보 흐름을 산출물에 반영하고, 필요한 통제도 조정해야 한다.

위험 기반 공공 망 보안으로의 전환

기관이 N2SF를 적용할 때는 망분리 장비를 바꿀지부터 결정하기보다 업무정보의 등급과 서비스 간 정보 흐름을 먼저 정리해야 한다. 그 결과를 토대로 위협을 식별하고 분리와 격리를 포함한 보안통제를 선택한 뒤, 대책의 적절성을 평가한다. 새로운 시스템이나 외부 서비스를 도입할 때도 같은 기준으로 등급과 위협, 통제의 변경 필요성을 검토할 수 있다.

FAQ

안랩의 N2SF 솔루션

안랩은 N2SF 도입을 위해 기관의 기존 보안 환경을 바탕으로 필요한 보안 기능을 연계하는 통합 보안체계를 제시하고 있다. 자산 식별부터 접근통제, 데이터 보호, 위협 탐지 및 대응, 증적 관리까지 하나의 운영체계로 연결하는 데 중점을 두고 있으며, 2026년 N2SF 도입 지원사업에도 컨소시엄 주관기업으로 참여해 공공기관의 보안체계 구축을 지원하고 있다.

안랩의 N2SF 대응 방향과 실제 적용 사례는 아래 콘텐츠에서 자세히 확인할 수 있다.

Article

N2SF 시대, 공공기관 보안의 기준이 바뀌고 있다

Article

AI 시대의 업무망 보안, N2SF 도입 지원사업 기반 적용 사례