그동안 공공기관 보안의 기본 원칙은 비교적 단순했죠. 내부망과 외부망을 물리적으로 분리해 외부 위협을 차단하는, 이른바 ‘망 분리’ 중심 접근이었어요.
하지만 클라우드 전환과 원격근무 확산, 데이터 활용이 늘어나면서 이 방식이 점점 현실과 맞지 않는다는 지적이 커지고 있었어요. 망을 철저히 나누면 보안은 강화되지만, 업무 효율과 신기술 도입은 크게 제약받기 때문이죠.
이런 배경 속에서 등장한 것이 바로 국가망보안체계, N²SF(National Network Security Framework)에요. 핵심은 단순히 경계를 세우는 것이 아니라 데이터를 기준으로 보안을 설계하겠다는 접근이죠. 어디에 있느냐보다 어떤 데이터냐를 중심으로 통제하는 방식으로 전환하고 있어요.
N²SF는 정보를 기밀(C), 민감(S), 공개(O) 세 가지 등급으로 나누고 각 등급에 맞는 보안 수준을 적용해요. 국가 안보와 직결된 정보는 강력하게 보호하고, 공개 가능한 정보는 최소한의 통제로 업무 효율을 높이는 구조죠.
각 기관은 데이터 특성과 업무 환경에 맞춰 접근 통제, 암호화, 단말 보안 등 270여 개 세부 항목 중 필요한 보안 조치를 선택해 적용하게 돼요. 이는 데이터의 생성부터 보관, 활용, 폐기까지 전 생애주기를 관리하는 정교한 체계를 지향하죠.
이 변화의 배경에는 기존 망 분리의 한계가 있어요. 폐쇄망 중심 구조에서는 클라우드 활용이나 기관 간 데이터 공유가 어렵고, 매번 예외 처리를 해야 하는 비효율이 발생해 왔죠. 그래서 이제는 네트워크를 신뢰하기보다 사용자와 기기, 행위를 지속적으로 검증하는 방향으로 무게 중심이 이동하고 있어요.
이러한 데이터 중심 보안 전환 흐름은 정책과 개념에만 머무르지 않고, 실제 보안 설계에도 빠르게 반영되고 있어요. 특히 생성형 AI를 업무에 활용하는 환경에서는 정보 유출이나 오남용 가능성이 새로운 보안 과제로 떠오르고 있죠. 이는 N²SF가 강조하는 ‘데이터 등급 기반 통제’가 왜 필요한지를 보여주는 대표적인 사례라고 볼 수 있어요.
실제 현장에서도 비슷한 접근이 점차 확산되고 있어요. 예를 들어 솔트웨어가 개발한 AI 보안 솔루션인 사피 가디언(Sapie-Guardian)은 생성형 AI 사용 과정에서 입력되는 프롬프트와 파일, 그리고 출력 결과까지 데이터를 기준으로 보안을 적용하는 구조를 가지고 있어요. 네트워크 경계보다 어떤 데이터가 처리되고 있는지를 중심으로 통제하는 방식이죠.
민감(S) 또는 기밀(C) 성격의 정보가 AI에 입력될 경우 이를 탐지하거나 정책에 따라 차단·마스킹하는 등 활용을 제어할 수 있는데요, 이는 N²SF가 지향하는 데이터 생애주기 관리와 제로트러스트 원칙을 실제 AI 업무 환경에 적용한 사례로 볼 수 있습니다. 결국 망 분리보다 데이터를 식별하고 관리하는 접근이 보안의 중심이 되고 있는 셈이에요.
여기서 자연스럽게 연결되는 개념이 제로트러스트예요. N²SF는 제로트러스트 아키텍처(ZTA) 원칙을 포용하고 있으며, 내부와 외부 모든 접근 요청을 잠재적 위험으로 보고 인증과 검증을 반복하는 구조를 지향하죠. N²SF가 전체 보안 거버넌스의 틀이라면, 제로트러스트는 이를 구현하는 기술적 방법이라고 이해할 수 있어요.
정부는 이 체계가 실제 환경에서 작동하는지 확인하기 위해 실증 사업도 진행했어요. 특허청 등 여러 기관에 NAC, EDR, 계정 권한 관리, 망 연계 게이트웨이 등을 적용했고, 기관 간 안전한 데이터 공유 모델과 초거대 AI 환경 적용 가능성도 검증했죠. 특히 마지막 단계에서는 전문 화이트 해커가 참여해 실제 공격 시나리오 기반 모의 해킹을 수행하면서 방어 능력을 점검했어요.
N²SF 실증에 참여한 SGA솔루션즈는 "기관별로 ZTA든 DLP든 CASB든 어떤 방식을 택할지는 자율 설계의 몫"이라고 설명하죠. 즉, 제로트러스트가 유일한 방법론이라기보다 각 기관 환경에 맞춰 다양한 보안 기술을 조합하는 접근이 필요하다는 의미를 가지죠. 기관마다 환경과 요구가 달라 어려움도 있었지만, 일정 수준의 실효성을 확인했다는 평가가 나오고 있어요.
이 변화는 단순히 새로운 보안 정책 하나가 추가된 게 아니에요. 공공 보안을 바라보는 철학 자체가 바뀌고 있다는 신호에 가깝죠. 완전히 닫아 두는 방식에서 벗어나 데이터를 흐르게 하면서 위험을 관리하는 방향으로 이동하고 있는 거예요. 미국의 위험관리 프레임워크처럼 지속적으로 위험을 평가하고 통제하는 선진적인 접근과도 맥을 같이하죠.
AI와 클라우드가 일상이 되는 환경에서는 ‘닫아 두는 보안’만으로는 한계가 분명해요. 그런 점에서 N²SF는 단순한 기술 지침이 아니라, 공공 IT 환경의 운영 방식 자체를 바꾸는 전환점으로 볼 수 있죠.
콘텐츠 제공 : 바이라인네트워크(byline.network)
