강남대학교 박정수 컴퓨터공학부 교수가 23일 웨스틴 서울 파르나스에서 열린 ‘파이오링크 레질리언스 서밋 2026’에서 ‘N2SF 대응 과제’를 주제로 발표하는 모습 (사진=김호준 기자)
[아이티데일리] “우리나라 기업과 기관은 ‘국가 망 보안체계(N2SF)’를 보안 솔루션에 맞춰 생각하는 경향이 있다. 자산 식별부터 위협 등급 분류에 이르는 단계를 밟기보다 기존에 보유한 솔루션에 체계를 맞추려 한다. 주객이 전도된 격이다. N2SF를 성공적으로 도입하려면 시스템 내 위협을 식별하고 그에 맞는 보안 대책을 찾아가는 절차를 지키는 일이 중요하다.”
강남대학교 박정수 컴퓨터공학부 교수는 23일 웨스틴 서울 파르나스에서 열린 ‘파이오링크 레질리언스 서밋 2026’에서 N2SF 도입에 있어 자산 식별의 중요성을 이 같이 강조했다.
N2SF 시행이 본격화하고 있다. 국가정보원은 올해 사이버보안 실태평가부터 N2SF 구축 기관에 가산점 1점을 부여하기로 발표했다. 나아가 망분리 조항 삭제와 N2SF 도입을 골자로 한 ‘국가 사이버보안 기본 지침’을 이르면 5월 초 시행할 예정이다. 많은 공공기관은 N2SF에 부합하는 시스템 체계를 마련해야 하는 과제를 맞닥뜨리게 됐다.
기관에서 N2SF를 준비할 때 가장 어려운 지점은 등급 분류다. N2SF는 업무 정보와 시스템을 △기밀(Classified, C) △민감(Sensitive, S) △공개(Open, O) 등 3개 등급으로 분류하고 보안 통제를 차등 적용하는 체계다. 기밀(C)과 민감(S)은 각 기관이 지정한 비공개 정보이며 공개(O)는 법률이 규정한 요건을 조치한 정보 또는 비공개 필요성이 소멸한 정보 등이 해당한다.
N2SF의 등급 분류는 기관에서 직접 해결해야 한다. 국정원은 정보공개법, 공공데이터법 등 현행 법률 및 규정에 따라 분류할 것을 명시했다. 하지만 현장에서는 혼란 겪고 있는 실정이다. 어디서부터 어떻게 등급을 매겨야 할지 기관 차원에서 대응하기 힘들다는 것이다.
이를 해소하고자 정부는 지난해 N2SF 시범 실증 사업을 추진했으며 이 결과를 사례집으로 공개해 기관에서 참고 자료로 활용할 수 있도록 했다. 박정수 교수는 실증 사업을 통해 N2SF 정보서비스 모델별 사례를 확보한 점을 긍정적이나 데이터에 관한 등급 분류는 부족했다고 평가했다.
정보서비스에 대한 모델 C·S·O 평가 및 보안원칙 적용 예시 (출처=KISA ‘N2SF 실증 사례집’)
박 교수는 “실증 사업을 평가하며 확인한 결과, 시스템 차원에서는 자산을 식별하는 작업이 충실하게 이뤄졌다”면서도 “데이터 등급 분류는 제대로 돼 있지 않는 경우가 많았다. 데이터가 결합하면서 등급이 달라지는 문제가 발생한 소지가 있는 만큼 대응이 필요한 상황”이라고 지적했다.
데이터까지 보안 등급을 분류하기 위해서는 IT 자산 식별이 첫째다. 미국은 제로 트러스트(Zero-trust)를 연방정부 차원에 적용하는 과정에서 어떤 자산이 있는지 확인하고 업무 프로세스를 분리하는 기반 확립부터 시작했다. 우리나라도 제로 트러스트 가이드라인을 통해 자산 식별의 중요성을 강조하고 있으나 현실은 이와 다르다.
박 교수는 “자산 식별을 이야기하면 우리나라 조직은 방대한 자산을 어떻게 식별하느냐며 볼멘소리를 내거나 보안 담당자가 해결할 문제라며 간과하기 일쑤”라며 “실증 사업을 한다 해도 컨설팅 기업이 모든 자산을 알 수는 없다. 결국 조직이 직접 자산 식별에 나서야 한다”고 말했다.
박정수 교수는 우리나라 기관이 참고할 만한 자료로 미국 국립표준기술연구소(NIST)가 지난 2월 발표한 ‘NIST 1800-39’를 소개했다. NIST 1800-39는 조직에서 비정형 데이터를 발견·식별·라벨링하는 과정을 정립하는 방안을 마련하는 프로젝트다. 데이터를 찾고 그 안에 어떤 민감 정보가 있는지 판별하며 그 결과를 활용할 수 있도록 분류하는 단계까지 아우른다.
NIST는 산업계, 학계 전문가들과 함께 이 프로젝트를 완성해 나갈 예정이다. 현재 5개 기업이 1800-39 프로젝트에 참여 중인 것으로 알려졌다. 우리나라에서도 1800-39의 귀추를 주목한다면 향후 보안 등급 분류 방안을 모색하는 데 도움이 될 것이라고 박정수 교수는 조언했다.
박정수 교수는 “N2SF는 장기적인 목표를 설정하고 자산 식별부터 단계별로 접근해야 한다. 우리나라가 추진하는 속도는 다소 빠른 감이 있다”며 “섣불리 앞서나가려 하기보다 보안 체계를 확립하기 위한 프로세스와 과제를 한 번 더 돌아보고 논의해야 할 시점”이라고 강조했다.
이어 “보안의 출발점은 이제 네트워크가 아니라 자산, 그중에서도 데이터”라며 “자산 식별과 데이터 등급 분류 없이는 어떤 보안 정책도 효과를 거둘 수 없다”고 덧붙였다.
한편, 이날 파이오링크 서밋은 산학연 전문가들이 참여해 ‘레질리언스(Resilience)’를 주제로 사이버 복원력에 관련한 정책 현황과 최신 사이버 위협 동향을 공유하는 자리로 마련됐다.
오전에는 파이오링크 조영철 대표의 기조연설을 시작으로 서울과학기술대학교 손기욱 교수와 한국인터넷진흥원 심재홍 위협대응단장이 발표했다. 오후에는 인프라와 보안, 클라우드·인공지능(AI) 등 각 분야를 대표하는 전문 기업에서 실전 전략을 소개했다.
댓글
0