N2SF 전환, 등급 분류 다음은? 기밀·민감·공개(C·S·O) 등급별 접근통제 설계 가이드

망분리 의무가 지침에서 빠지고 N2SF(국가망 보안체계)가 그 자리를 채우면서, 공공기관이 할 일은 "망을 나눌지 말지"에서 "무엇을 얼마나 지킬지"를 정하는 쪽으로 바뀌었습니다. 많은 기관은 업무자료를 기밀(C)·민감(S)·공개(O)로 나누는 보안등급 분류부터 막혀 있습니다. 분류를 마쳤다고 해서 끝나는 것도 아닙니다. 등급마다 사용자, 단말, 접속 경로를 얼마나 다르게 통제할지는 따로 정해야 합니다. 이 글에서는 등급 분류를 출발점으로 삼아, 그다음에 할 등급별 접근통제 설계를 실무 순서대로 정리합니다.

N2SF 등급별 접근통제란 업무자료와 정보서비스를 기밀(C)·민감(S)·공개(O)로 분류하고, 등급이 높을수록 사용자 인증, 허용 단말, 접속 경로, 데이터 반출 권한을 더 엄격하게 묶는 설계 방식입니다. 모든 망을 일률적으로 분리하지 않고, 보호할 대상에 맞춰 통제 강도를 정하는 것이 핵심입니다.

망분리 조항 삭제, 무엇이 달라졌나

공공기관 보안의 기본 전제가 일률적인 망분리에서 등급에 따른 차등 보안으로 바뀌었습니다. 보도에 따르면 올해 5월부터 시행된 「국가 사이버보안 기본지침」개정으로 기존 망분리 조항이 삭제되고 N2SF 관련 조항이 새로 들어갔습니다.

망분리가 지침에서 빠졌다고 해서 통제도 함께 사라진 것은 아닙니다. 외부망과의 연결이나 클라우드·생성형 AI 활용을 검토할 수 있게 된 만큼, 연결하는 대상과 사람에 대해 기관이 근거를 갖고 통제를 설계해야 합니다. 그 근거가 바로 보안등급입니다. 이번 개정에는 원격 근무자와 시스템 관리자에 대한 다중 인증 의무화도 포함된 것으로 보도됐습니다.

출발점은 보안등급 분류: C·S·O는 어떻게 나누나

N2SF에서는 정보서비스와 업무자료를 중요도에 따라 세 등급으로 나누고, 등급마다 요구되는 보안통제 수준을 다르게 적용합니다. 등급별 정의와 세부 기준은 국가정보원이 공개한 N2SF 가이드라인의 용어를 그대로 따르는 것이 안전합니다. 개념은 다음과 같이 이해하면 됩니다.

• 기밀(C, Classified): 비밀·대외비처럼 국가 안보와 직결되는 비공개 정보. 가장 강한 분리와 통제가 필요합니다.
• 민감(S, Sensitive): 공개되지 않는 업무자료, 개인정보처럼 유출되면 기관 업무나 국민에게 피해를 줄 수 있는 정보. 보안통제를 갖추는 조건으로 승인된 클라우드 등 통제된 외부 연계를 검토할 수 있습니다.
• 공개(O, Open): 공개를 전제로 하는 정보. 무결성과 가용성 관리가 중심입니다.

현장에서는 이 분류 단계를 가장 어렵다고 말하는 경우가 많습니다. 하나의 업무 시스템 안에 여러 등급의 자료가 섞여 있기 때문입니다. 실무에서는 다음 원칙이 도움이 됩니다.

• 시스템 전체가 아니라 정보서비스·데이터 흐름 단위로 나눠 분류합니다.
• 정보보안 부서만 분류하지 말고 업무 부서·개인정보 담당과 함께 정합니다.
• 판단이 애매하면 상위 등급을 잠정 적용한 뒤 운영하면서 재검토합니다.
• 등급은 자료뿐 아니라 이를 처리하는 시스템과 네트워크 영역에도 붙고, 여러 자료를 결합해 중요도가 커지면 상향될 수 있다는 점을 반영합니다.

N2SF의 전체 개념과 관련 제품 구성은 N2SF 환경에서 Unified-IAM과 DBSAFER가 필요한 이유에서 먼저 확인할 수 있습니다.

등급 분류 다음은? 등급별 접근통제 실무 5단계

N2SF 가이드라인은 준비 → 등급 분류 → 위협 식별 → 보안대책 수립 → 적절성 평가·조정의 흐름으로 전환을 진행하고, 결과물로 국가정보원 보안성 검토를 받도록 합니다. 이 가운데 '보안대책 수립'에서 접근통제를 구체화할 때는 다음 5단계로 진행하면 빠뜨리는 부분이 줄어듭니다. 아래 5단계는 공식 절차를 대신하는 것이 아니라, 공식 절차의 보안대책 수립 단계 안에서 접근통제를 구체화하는 실무 순서입니다.

1. 자산과 등급 연결: 정보서비스, 서버, DB, 업무 애플리케이션을 목록으로 만들고 각 자산에 C·S·O 등급을 붙입니다. 등급이 붙지 않은 자산은 통제 정책에서도 빠지기 쉽습니다.
2. 계정 정비: 공용 계정과 퇴직·전보자 계정, 용도를 알 수 없는 서비스 계정을 정리하고, 사람마다 하나의 식별 체계로 묶습니다. 계정을 식별할 수 없으면 등급별 통제도 의미가 없습니다.
3. 등급별 통제 기준 정의: 등급마다 허용할 사용자 범위, 인증 강도, 단말 조건, 접속 경로, 데이터 반출 가능 여부를 표로 정합니다.
4. 정책 적용: 정의한 기준을 접근제어와 계정관리 정책에 반영합니다. 자산의 등급과 사용자의 역할을 함께 조건으로 걸어, 높은 등급 자산에 낮은 조건으로 접근하는 경로를 막습니다.
5. 검증과 조정: 접속기록으로 실제 접근이 정책대로 이뤄지는지 정기적으로 확인하고, 권한 과다나 예외 경로가 보이면 등급이나 정책을 조정합니다. N2SF 가이드라인도 통제를 적용한 뒤 적절성을 평가하고 조정하는 절차를 둡니다.

C·S·O 등급별 접근통제 차등 매트릭스

등급별 통제는 사용자·계정, 인증, 단말, 접속 경로, 데이터 처리, 기록의 여섯 축으로 나눠 정하면 설계와 점검이 쉬워집니다. 아래 표는 기관별 상황에 맞게 조정할 수 있도록 설계 방향을 정리한 것입니다. 가이드라인은 보안통제를 권한·인증·분리 및 격리·통제·데이터·정보자산 영역으로 나누고 등급별로 우선 검토할 기준선을 제시하므로, 세부 항목은 그 목록과 대조해 확정합니다.

설계할 때 자주 놓치는 지점

등급별 통제가 무너지는 곳은 주로 정책 바깥에 있는 예외 계정과 예외 경로입니다. 다음 항목을 함께 점검합니다.

• 등급 변경과 권한 회수: 자료의 등급이 바뀌거나 담당자가 바뀌어도 기존 권한이 그대로 남는 경우가 많습니다.
• 외주·유지보수 계정: 운영 대행이나 유지보수 인력의 계정은 기간과 범위를 정해 부여하고, 작업이 끝나면 회수합니다.
• 서비스 계정·API: 사람이 아닌 계정도 등급 정책의 대상입니다. 높은 등급 DB에 연결되는 애플리케이션 계정을 따로 관리합니다.
• 기록의 분절: 계정관리, 접근제어, 접속기록이 서로 다른 시스템에 흩어져 있으면 "누가 어떤 등급의 자료에 접근했는가"를 한 번에 확인하기 어렵습니다.

계정관리와 접근통제를 하나의 정책으로

등급별 접근통제를 실제로 운영하려면, 계정의 생성·변경·회수와 접근 허용 정책, 접속기록을 한 흐름으로 연결해야 합니다. PNPSECURE의 Unified-IAM은 접근제어(DBSAFER AM)와 계정관리(DBSAFER IM)를 통합해 다루는 방식입니다. 등급별로 정한 사용자·권한 기준을 계정 수명주기와 접근 정책에 함께 반영하고, 접속기록으로 검증하는 구조를 설계하는 데 활용할 수 있습니다. DBSAFER는 서버·DB 등 주요 자산의 접근 경로와 행위를 통제하고 기록하는 데 초점을 둡니다.

특권 계정 관리만으로 충분한지, 통합 접근 거버넌스가 필요한지 고민된다면 PAM과 Unified-IAM의 차이도 함께 참고할 수 있습니다.

자주 묻는 질문

N2SF로 전환하면 망분리를 바로 없애도 되나요?

그렇지 않습니다. 지침에서 망분리 조항이 빠졌다는 것은 모든 망을 똑같이 나눠야 하는 의무가 사라졌다는 뜻입니다. 기밀(C) 등급 업무는 여전히 강한 분리와 통제가 필요하고, 민감(S) 등급은 보안통제를 갖춘 통제된 연계를, 공개(O) 등급은 외부 인터넷 연결을 중심으로 검토합니다.

보안등급 분류는 누가, 어떤 기준으로 하나요?

기관이 N2SF 가이드라인의 기준에 따라 정보서비스와 데이터 흐름 단위로 분류합니다. 정보보안 부서 혼자 정하기보다 업무 부서와 개인정보 담당이 함께 판단하는 것이 정확합니다. 판단이 애매한 자료는 상위 등급을 잠정 적용한 뒤 재검토하는 방식이 현실적입니다.

기존 접근제어·계정관리 체계로 등급별 통제를 할 수 있나요?

기존 체계가 자산 등급을 정책 조건으로 쓸 수 있는지, 그리고 계정·권한·접속기록이 하나의 흐름으로 연결되는지를 먼저 확인해야 합니다. 이 두 가지가 안 되면 등급을 분류해 놓고도 실제 통제에는 반영되지 않는 공백이 생깁니다.

다음 단계

보안등급 분류를 마쳤거나 분류 기준을 검토하고 있다면, 이제 그 등급을 계정과 접근 정책에 어떻게 연결할지 정할 차례입니다. 우리 기관의 자산 구성과 등급 체계에 맞춘 접근통제 설계가 궁금하다면 N2SF 등급별 접근통제 설계 상담을 신청해 보세요.