N2SF란? 국가 망 보안체계의 C·S·O 등급과 보안 적용 방식

N2SF란 무엇인가요?

N2SF는 국가·공공기관의 업무정보와 정보시스템을 중요도에 따라 분류하고, 등급별로 보안통제를 적용하는 프레임워크입니다.

National Network Security Framework의 약자로, 우리말로는 ‘국가 망 보안체계’라고 합니다.

핵심은 업무정보를 기밀(C)·민감(S)·공개(O)로 구분하고, 정보가 처리되고 이동하는 과정의 위험에 맞춰 보안대책을 설계하는 것입니다. 이를 통해 중요 정보의 보호와 공공데이터의 활용을 함께 추진합니다.

N2SF는 왜 필요한가요?

중요 정보를 보호하면서 AI·클라우드 등 새로운 서비스를 업무에 활용할 수 있는 보안 기준이 필요하기 때문입니다.

국가·공공기관은 업무망과 인터넷망을 분리해 내부 정보를 보호해 왔습니다. 그러나 생성형 AI, 클라우드 기반 협업 도구, SaaS 활용이 늘어나면서 외부 서비스와 데이터를 연계해야 하는 수요도 커지고 있습니다.

국가정보원은 2025년 9월 「국가 망 보안체계 보안 가이드라인 1.0」을 발표해 정보의 중요도와 서비스 환경에 따른 차등 보안 적용 기준을 제시했습니다. 한국인터넷진흥원(KISA)도 국가·공공기관의 N2SF 도입과 AI·클라우드 활용을 지원하고 있습니다.

기존 망분리와 N2SF는 무엇이 다른가요?

기존 망분리가 업무망과 인터넷망의 분리를 중심으로 정보를 보호했다면, N2SF는 정보·시스템·영역의 등급과 이용 과정에 맞춰 보안통제를 설계합니다.

N2SF 도입이 망분리의 일괄 폐지를 의미하지는 않습니다. 등급별 보안통제를 구현하기 위해 서로 다른 등급의 도메인이나 정보시스템 간 통신을 차단하거나 분리할 수 있습니다.

C·S·O 등급은 각각 무엇을 뜻하나요?

C·S·O는 기밀·민감·공개를 뜻하며, 업무정보의 중요도와 공개 시 영향을 구분하는 보안등급입니다.

같은 문서 유형이라도 실제 내용과 공개 조건에 따라 등급이 달라질 수 있습니다.

데이터의 보안등급은 어떻게 분류하나요?

기관의 업무와 취급 정보를 식별한 뒤, 관련 기준과 공개 시 영향을 검토해 등급을 판단합니다.

예를 들어 인사 업무에서는 공개된 채용 공고와 지원자의 개인정보를 구분해야 합니다. 문서명이나 특정 단어뿐 아니라 정보의 내용과 업무 맥락을 살펴야 합니다. 개별 정보가 결합돼 중요도나 침해 영향이 높아지면 등급을 상향할 수도 있습니다. 따라서 분류 결과를 검토하고 조정하는 절차도 필요합니다.

데이터 분류 업무에는 AI 기반 분석 기술을 활용할 수 있습니다. 라온시큐어의 OneTag는 문서와 데이터의 중요도·민감도 분석을 통해 C/S/O 등급 분류를 지원합니다. 최종 등급은 기관의 분류 기준과 검토 절차에 따라 결정해야 합니다.

C·S·O 등급을 분류하면 무엇이 달라지나요?

정보를 생산·저장하거나 다른 시스템으로 이동할 때 필요한 보안대책을 판단하는 기준이 됩니다.

N2SF는 정보의 생산·저장과 이동에 관한 보안원칙을 구분합니다. 정보시스템은 원칙적으로 자신의 등급과 같거나 낮은 등급의 업무정보를 생산·저장할 수 있으며, 업무정보는 자신과 같거나 높은 등급의 시스템으로 이동할 수 있습니다. 이 원칙을 벗어나는 경우에는 적절한 보안대책을 마련해야 합니다.

예를 들어 공개 통계를 요약하는 업무와 내부 인사자료를 분석하는 업무는 같은 AI 서비스를 이용하더라도 정보의 등급과 처리 조건에 따라 필요한 보안통제가 달라집니다.

N2SF 보안대책은 어떤 절차로 수립하나요?

준비부터 등급분류, 위협식별, 보안대책 수립, 적절성 평가·조정까지 5단계로 진행합니다.

등급 분류를 마친 뒤에도 실제 서비스 환경에 맞는 통제를 선정하고 그 적절성을 확인해야 합니다.

AI·클라우드를 활용할 때는 무엇을 통제해야 하나요?

전달하는 데이터, 서비스의 처리·저장 환경, 이용 주체의 신원과 권한을 함께 확인해야 합니다.

공공분야 AI·클라우드 도입에서는 업무 중요도에 따른 차등 보안과 서비스 환경에 맞는 보안기준을 함께 고려해야 합니다. 실제 활용 환경에서는 다음과 같은 질문으로 점검 항목을 구체화할 수 있습니다.

예를 들어 AI에 문서 요약을 요청할 때에는 질문에 직접 입력한 내용뿐 아니라 첨부파일과 검색으로 불러온 자료도 확인해야 합니다. AI가 다른 시스템을 호출하거나 데이터를 수정한다면 수행 가능한 작업과 권한도 정해야 합니다.

이처럼 AI·클라우드 환경에서는 데이터의 내용뿐 아니라 AI가 정보를 처리하고 업무를 수행하는 과정까지 함께 통제할 필요가 있습니다.

N2SF의 데이터 등급별 통제와 제로트러스트의 신원·접근 통제는 함께 활용할 수 있습니다. 예를 들어 AI 에이전트가 내부 자료를 조회하는 환경에서는 정보의 등급뿐 아니라 AI 에이전트의 신원과 권한, 실행 범위를 함께 확인해야 합니다.

라온시큐어는 이러한 보안 요구에 대응하기 위해 데이터 등급 분류, AI 입력·출력 통제, AI 에이전트의 신원·권한 관리를 각각 지원하는 OneTag·OneShield·OneAccess를 제공합니다.

OneTag·OneShield·OneAccess는 데이터 분류와 AI 통제를 어떻게 지원하나요?

OneTag는 데이터의 보안등급 분류를 지원합니다

라온시큐어의 OneTag는 N2SF의 C/S/O 등급 분류를 지원하는 AI 데이터 라벨러입니다. 데이터의 중요도와 민감도에 따라 등급을 구분하고 보안 정책을 관리하는 데 활용할 수 있습니다. N2SF 대응에서 어떤 데이터를 다루는지 식별하고 분류하는 영역과 직접 연결됩니다.

OneShield는 AI의 입력·출력·행동을 통제합니다

OneShield는 AI의 입력·출력·행동을 보안 정책에 따라 통제하는 AI 세이프 가드레일입니다. 악성 프롬프트와 Jailbreak 공격을 탐지하고, 개인정보(PII) 식별·마스킹과 유해 콘텐츠 차단 등을 지원합니다.

OneAccess는 AI의 신원과 권한을 관리합니다

OneAccess는 AI 에이전트와 로봇의 신원·권한·책임을 관리하는 AI 신분증입니다. AI가 업무 시스템에 접속해 자료를 조회하거나 작업을 실행하는 환경에서 권한 기반으로 활동 범위를 제어하고, 감사 추적과 책임 귀속을 지원합니다.

사용자가 AI에 질문하는 단계에서 AI가 직접 업무를 수행하는 단계로 확장될 때 연결할 수 있는 제품입니다.