국가정보원은 '국가 망 보안체계(N2SF: National Network Security Framework) 보안가이드라인'의 초안(Draft)을 배포했다고 23일 밝혔다. 지난해 9월 CSK 행사에선 다층보안체계(MLS)로 이 새 정책의 로드맵을 공개했는데, 미 국방부 용어와 혼동의 여지가 있고 국민 이해를 돕고자 N2SF라는 명칭으로 변경하기로 했다.
이번에 배포된 가이드라인은 드래프트 버전이다. 국정원은 각급기관의 신 체계 적용에 필요한 준비시간을 고려하면서 선도사업을 통해 확인된 미비점·보완사항 등을 반영, 올 7월 N2SF 보안가이드 정식 버전을 배포하고 시행할 계획이다.
N2SF 적용은 '준비 → C·S·O등급분류 → 위협식별 → 보안대책 수립 → 적절성 평가·조정'의 5단계로 추진한다. 각급기관은 △권한 △인증 △분리 및 격리 △통제 △데이터 △정보자산 등 6개 영역으로 구성된 '보안통제 항목'에서 등급별 보안수준에 필요한 항목을 선택·적용하며, 통제 항목은 보안기술 변화를 반영해 지속 업데이트하기로 했다.
국정원은 N2SF 체계를 적용한 △인터넷 단말에서 문서편집기 등 업무에 활용 △업무환경에서 생성형AI 및 외부 클라우드(SaaS) 활용 등 '정보서비스 모델'을 마련, 이를 반영한 선도사업도 디지털플랫폼정부위원회, 과학기술정보통신부 등 관계부처와 협조해 상반기 중 추진할 예정이다. 이로써 안전성 등을 검증하며 안정적으로 정책을 확산해나간다는 구상이다.
기존에 국정원의 보안 검증을 받은 제품은 해당 유효기간까지 효력이 인정된다. 과기정통부 클라우드보안인증(CSAP)도 그대로 유지된다. CSAP는 민간 클라우드 보안수준 인증제고, 국정원은 국가·공공기관 클라우드 등 정보화 서비스 도입 시 보안요건 적합 여부를 검증하므로 그 대상과 목적이 다르다는 게 국정원의 설명이다. 과기정통부는 각급기관 및 업계 혼선 최소화 등을 위해 향후 국정원 보안기준 등을 참고해 CSAP 인증항목을 개정할 예정이다.
국정원은 "N2SF는 기존 망분리를 폐지하는 게 아니라 현실에 맞게 일부 개선하는 것으로, 각급기관에서 등급별 보안대책을 고려해 망분리 유지나 개선 모두 가능하다"고 밝혔다. 또 "정보화사업 보안성 검토 과정에서 CSAP 인증항목을 인정해, CSAP 인증을 받은 클라우드 서비스에 대해선 중복 심사·검토 없이 공공분야 보안기준 위주로 검증하고 있으므로 (N2SF와 CSAP가) 이중 심사는 아니다"고 덧붙였다.
국정원은 "(N2SF를 통해) 기존 획일적 망 분리에서 벗어나 업무 중요도별 보안통제를 차등 적용함으로써 보안성 확보와 함께 AI·클라우드 등 신기술을 원활히 활용 가능할 것으로 기대한다"며 "각급기관이 공공데이터 개방·공유 환경 구축 시 편의성이 증대되고 국민과 기업의 공공데이터 기반 서비스 활용도 증가할 것으로 전망한다. 공공데이터 개방·활용 확대로 국가 데이터 산업 발전 및 대규모 사업 추진에 따른 국내 IT·정보보호 시장이 더욱 활성화될 것으로 기대한다"고 전했다.팽동현기자 dhp@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
