N2SF란 무엇일까? 공공기관 망분리 변화와 생성형 AI·클라우드 도입 기준

N2SF란 무엇일까? 공공기관 망분리 변화와 생성형 AI·클라우드 도입 기준 관련 핵심 정보를 상징적으로 보여주는 썸네일 이미지

글 요약

N2SF란 무엇일까? 공공기관 망분리 변화와 생성형 AI·클라우드 도입 기준 관련 확인 방법과 주의사항을 정리했습니다.

N2SF는 국가·공공기관의 업무정보를 기밀(C)·민감(S)·공개(O)로 분류하고, 정보의 중요도와 침해 영향을 기준으로 서로 다른 보안통제를 적용하는 국가 망 보안체계입니다.

 

2026년 5월 1일 시행된 「국가 사이버보안 기본지침」에서는 기존의 획일적인 내부망·인터넷망 분리 조항이 삭제되고 N2SF 관련 기준이 신설됐습니다. 다만 이는 망분리를 모두 없앤다는 뜻이 아닙니다. 정보 등급과 업무 위험에 따라 통신 차단, 정보시스템 분리, 도메인 분리 같은 통제가 계속 적용될 수 있습니다.

생성형 AI와 민간 클라우드도 무조건 허용되는 것은 아닙니다. O등급 정보는 법령과 기관 정책이 허용하는 범위에서 인터넷 PC나 상용 서비스를 이용할 수 있지만, C·S등급 업무정보를 일반 상용 생성형 AI에 입력·저장·송수신하는 행위는 원칙적으로 금지됩니다. 클라우드는 도입 가능 서비스인지, 데이터가 국내에서 저장·관리되는지, 시스템 중요도에 맞게 영역이 분리되는지 등을 함께 확인해야 합니다.

핵심 요약

• N2SF란 무엇일까? 공공기관 망분리 변화와 생성형 AI·클라우드 도입 기준의 적용 대상과 현재 기준을 먼저 확인합니다.
• N2SF란 무엇이며 누구에게 적용될까? 항목에서 가장 중요한 조건을 확인합니다.
• 기존 망분리와 N2SF는 무엇이 다를까? 항목에서 신청 또는 이용 순서를 확인합니다.
• C·S·O 정보등급은 어떻게 구분할까? 항목에서 제외 조건과 주의사항을 확인합니다.

• N2SF란 무엇일까? 공공기관 망분리 변화와 생성형 AI·클라우드 도입 기준의 적용 대상과 현재 기준을 먼저 확인합니다.
• N2SF란 무엇이며 누구에게 적용될까? 항목에서 가장 중요한 조건을 확인합니다.
• 기존 망분리와 N2SF는 무엇이 다를까? 항목에서 신청 또는 이용 순서를 확인합니다.
• C·S·O 정보등급은 어떻게 구분할까? 항목에서 제외 조건과 주의사항을 확인합니다.

N2SF란 무엇이며 누구에게 적용될까?

N2SF는 National Network Security Framework의 약자로, 한국어 공식 명칭은 국가 망 보안체계입니다. 네트워크가 내부망인지 인터넷망인지에만 초점을 맞추는 방식에서 벗어나, 업무정보의 중요도와 침해 시 영향을 먼저 판단하고 그 결과에 맞춰 보안통제를 설계하는 것이 핵심입니다.

적용 대상은 「국가 사이버보안 기본지침」에서 정하는 각급기관입니다. 국가기관, 지방자치단체, 교육청과 소속기관, 공공기관, 국·공립학교 및 군기관 등이 포함될 수 있습니다. 민간기업 전체에 동일한 방식으로 직접 적용되는 일반 법령이라고 단정해서는 안 되지만, 공공기관과 계약하거나 공공 클라우드·AI 서비스를 제공하는 사업자는 계약상 보안요건과 서비스 구성에 영향을 받을 수 있습니다.

N2SF가 해결하려는 질문

기존 방식에서는 인터넷 연결 여부와 물리적 망 위치가 중요한 판단 기준이었습니다. N2SF에서는 여기에 “이 업무정보가 어느 등급인가?”, “다른 정보와 결합하면 위험이 커지는가?”, “어떤 서비스가 정보를 처리하는가?”, “침해 시 기관 업무와 국민에게 미치는 영향은 어느 정도인가?”라는 질문이 추가됩니다.

따라서 N2SF는 단순한 네트워크 장비 교체 사업이 아닙니다. 정보분류, 업무 프로세스, 사용자 권한, 시스템 연계, 클라우드 계약, AI 입력 데이터, 보안관제와 사고대응을 함께 검토하는 업무·보안 체계 개편에 가깝습니다.

2026년 기준 무엇이 달라졌나?

제공된 국가정보원 공식자료 기준으로 2026년 5월 1일 시행된 「국가 사이버보안 기본지침」에 국가 망 보안체계 절이 신설됐습니다. 종전 제40조의 내부망·인터넷망 분리 조항은 삭제됐으며, 업무정보·정보시스템·도메인을 C·S·O로 분류하고 등급별 보안통제를 적용하는 구조가 마련됐습니다.

다만 세부 보안통제는 기관 환경과 최신 가이드라인에 따라 달라질 수 있습니다. 실제 사업에 적용할 때는 국가정보원, 국가사이버안보센터, 한국인터넷진흥원(KISA) 및 소속기관 보안담당 부서가 제공하는 최신 지침을 다시 확인해야 합니다.

기존 망분리와 N2SF는 무엇이 다를까?

가장 큰 차이는 보안 판단의 출발점입니다. 기존 망분리는 내부 업무망과 외부 인터넷망을 분리하는 네트워크 구조가 중심이었습니다. N2SF는 업무정보의 등급을 먼저 정하고, 그 정보를 처리하는 정보시스템과 도메인에 필요한 통제를 차등 적용합니다.

이 때문에 공개정보를 다루는 일부 업무에서는 인터넷이나 상용 정보통신서비스의 활용 범위가 넓어질 수 있습니다. 반대로 C·S등급 정보가 포함된 업무는 기존보다 더 엄격한 접근통제, 연계통제, 저장·전송 보호, 기록관리 또는 시스템 분리가 필요할 수 있습니다.

망분리가 전면 폐지된 것은 아니다

기존 조항의 삭제만 보고 “이제 공공기관은 내부망과 인터넷망을 구분하지 않아도 된다”고 해석하면 곤란합니다. 기관은 등급별 보안통제를 구현하기 위해 서로 다른 등급의 도메인이나 정보시스템 사이 통신을 차단할 수 있고, 물리적 또는 논리적으로 영역을 분리할 수도 있습니다.

즉, 망분리는 모든 기관에 똑같이 적용하는 단일 전제에서 위험에 따라 선택하는 통제수단으로 성격이 달라졌다고 이해하는 편이 정확합니다. C등급 업무처럼 침해 영향이 큰 영역에서는 강한 분리가 유지될 가능성이 높고, O등급 업무는 조건을 충족할 때 인터넷·클라우드 활용이 상대적으로 쉬워질 수 있습니다.

낮은 등급 시스템에서 처리할 수 있는 예외

업무정보는 원칙적으로 같은 등급 이상의 정보시스템이나 도메인에서 처리합니다. 다만 N2SF 보안 가이드라인에서 요구하는 보안통제를 충족하면 예외적으로 더 낮은 등급의 환경에서 처리할 수 있는 여지가 있습니다. 이 경우에도 서로 다른 등급의 정보가 한 시스템에 과도하게 혼재하지 않도록 최소화해야 합니다.

예외는 담당자가 편의를 위해 임의로 결정하는 허용 규칙이 아닙니다. 정보 등급의 근거, 적용할 보안통제, 잔여 위험, 승인 주체와 운영 기록을 문서화하고 기관 내부 절차 및 필요한 보안성 검토를 거쳐야 합니다.

주의사항

“망분리 조항 삭제”와 “보안통제 해제”는 같은 의미가 아닙니다. 정보 등급을 정하지 않은 상태에서 인터넷 연결부터 허용하거나, 공개정보가 조금 포함됐다는 이유로 전체 업무를 O등급으로 처리하면 사고와 감사 위험이 커질 수 있습니다.

C·S·O 정보등급은 어떻게 구분할까?

N2SF 도입에서 가장 먼저 막히는 지점은 정보등급 분류입니다. 파일 한 개의 제목만 보고 정하는 것이 아니라 정보의 내용, 법적 비공개 사유, 업무 맥락, 결합 가능성 및 유출 시 영향을 함께 판단해야 합니다.

등급	주요 판단 기준	처리 시 핵심 확인	대표적인 주의점
C 기밀	비밀, 대외비, 정보공개법 제9조 제1항 제1호부터 제4호까지의 비공개 대상 정보	강화된 접근통제, 분리, 저장·전송 보호와 취급 권한	일반 상용 AI·클라우드로 임의 이전 금지
S 민감	정보공개법 제9조 제1항 제5호부터 제8호까지의 비공개 대상 정보, 직무상 요구로 작성·취득한 일부 자료 등	업무상 필요 최소 권한, 외부 전송 제한, 처리 이력과 연계통제	개인정보를 삭제했더라도 업무상 민감성이 남을 수 있음
O 공개	C등급과 S등급에 해당하지 않는 업무정보	법령, 저작권, 기관 이용정책과 서비스 약관 확인	여러 공개정보를 결합하면 상위 등급이 될 수 있음

C·S·O 정보등급은 어떻게 구분할까? 내용을 설명하는 관련 이미지

O등급은 인터넷에 공개된 정보만 뜻하지 않는다

O등급은 C·S등급을 제외한 업무정보라는 분류입니다. 이미 홈페이지에 게시된 자료뿐 아니라, 법령과 기관 정책상 비공개로 관리할 필요가 없는 업무정보가 포함될 수 있습니다. 그러나 O등급이라는 이유만으로 모든 외부 서비스에 자유롭게 올릴 수 있는 것은 아닙니다.

개인정보, 저작권 자료, 계약상 비밀, 보존기간이 정해진 기록물, 서비스 사업자의 학습·재사용 약관 등 별도의 제한을 확인해야 합니다. N2SF 정보등급과 다른 법률·계약상 의무는 동시에 적용될 수 있습니다.

정보를 결합하면 등급이 올라갈 수 있다

개별적으로는 공개 가능한 자료라도 대량으로 모으면 시설 위치, 운영 패턴, 담당자 구조 또는 시스템 취약점을 추론할 수 있습니다. 같은 등급의 자료끼리 집합·결합하거나 상위 등급 정보와 연결돼 중요도와 침해 영향이 커지면 등급을 상향할 수 있습니다.

예를 들어 공개된 조직도, 업무 일정, 장비 목록의 일부가 결합되어 주요 시스템의 운영 구조를 구체적으로 드러낸다면 단순 O등급 자료 묶음으로 처리하기 어려울 수 있습니다. 데이터셋, 검색 인덱스, AI 학습자료, 로그 저장소는 개별 문서보다 결합 위험을 더 엄격하게 살펴야 합니다.

직접 진행하기 전 공식 기준을 확인하세요

공식 상세 페이지에서 현재 기준 확인하기

현재 글과 직접 일치하는 공식 상세·신청·조회 페이지만 새 창으로 연결합니다.

생성형 AI는 어디까지 사용할 수 있을까?

결론부터 말하면, 공개형 생성형 AI를 공공기관 업무에 전면 허용한 것이 아닙니다. 관계 법규와 기관 이용 제한에 위배되지 않는 O등급 업무정보는 인터넷 PC나 상용 정보통신서비스에서 처리할 수 있지만, C·S등급 정보를 인공지능을 활용한 일반 상용 서비스에 작성·저장·송수신하는 것은 원칙적으로 금지됩니다.

일반 상용 생성형 AI에 입력하면 안 되는 정보

비밀·대외비뿐 아니라 미공개 정책 검토안, 민원인의 개인정보, 내부 의사결정 자료, 계약 검토자료, 보안 설정값, 비공개 회의록, 시스템 로그처럼 C·S등급에 해당할 수 있는 내용을 그대로 입력해서는 안 됩니다. 문서 전체를 붙여 넣지 않고 일부만 입력하더라도 사람·기관·사건을 재식별할 수 있으면 안전하다고 보기 어렵습니다.

“학습에 사용하지 않음” 옵션이나 대화기록 삭제 기능만으로 기관의 보안요건을 충족한다고 단정할 수도 없습니다. 데이터 저장 위치, 관리자 접근, 보존기간, 재위탁, 사고통지, 감사권한, 프롬프트와 출력물의 기록관리까지 검토해야 합니다.

기관 통제형 AI를 도입할 때 확인할 사항

KISA가 공개한 N2SF 정보서비스 모델에는 생성형 인공지능 활용을 다루는 모델 2가 포함됩니다. 다만 특정 AI 제품을 설치하는 것만으로 N2SF 준수가 끝나는 것은 아닙니다. 입력 데이터의 등급을 통제하고, 사용자별 권한을 나누며, 허용되지 않은 정보 입력을 탐지·차단할 수 있어야 합니다.

기관은 인공지능시스템의 구축·운영 보안대책을 수립하고 국가정보원의 「AI 보안 가이드북」 등 관련 기준을 활용할 필요가 있습니다. 모델 제공자에게 전송되는 정보, 검색증강생성(RAG) 원본 저장소, 벡터 데이터베이스, 대화기록, 관리자 콘솔과 외부 플러그인을 모두 처리 범위에 포함해야 합니다.

실무에서는 AI의 답변 정확도만 평가하지 말고 데이터 유출, 프롬프트 주입, 권한 없는 문서 검색, 악성 파일 업로드, 민감정보 출력, 외부 도구 호출 및 환각으로 인한 잘못된 행정처리 가능성을 함께 시험해야 합니다. 중요한 판단은 담당자가 원문과 공식 근거를 다시 확인하도록 절차를 설계하는 것이 안전합니다.

민간 클라우드는 어떤 기준을 충족해야 할까?

민간 클라우드를 이용하려면 우선 국가정보원의 클라우드컴퓨팅 도입 가능 목록에 등재된 서비스인지 확인해야 합니다. 비슷한 상품명이나 같은 사업자의 다른 리전·서비스 유형이 자동으로 포함된다고 보면 안 됩니다. 계약하려는 정확한 서비스와 구성 단위가 목록 및 기관 기준에 부합하는지 확인해야 합니다.

데이터 저장 위치와 관리 인력

국가 클라우드 보안기준에서는 데이터가 국내 정보시스템에 저장·관리되고 국내 인력이 관리하는 서비스인지가 중요한 조건입니다. 기본 저장소뿐 아니라 백업본, 장애복구 사본, 로그, 기술지원 과정에서 생성되는 파일과 관리 콘솔 데이터가 어디에 저장되는지도 확인해야 합니다.

해외 본사의 원격지원, 해외 리전으로의 자동 백업, 글로벌 분석도구로의 로그 전송이 있다면 해당 흐름을 별도로 검토해야 합니다. 사업자의 홍보자료만 확인하지 말고 계약서, 서비스 설명서, 데이터 처리 흐름도와 재위탁 현황을 근거로 남기는 것이 좋습니다.

시스템 중요도에 따른 영역분리

일반 이용자용 서비스와 간섭 없이 보안관제, 사고조사 및 예방활동을 수행할 수 있도록 서비스 영역을 분리해야 합니다. 제공된 공식자료 기준으로 시스템 중요도 상·중 등급에는 물리적 영역분리가 제시되고, 하 등급에는 물리적 또는 논리적 분리가 가능합니다.

시스템 중요도는 기관이 자체 분류하더라도 국가정보원이 보안성 검토 과정에서 적정성을 다시 살펴볼 수 있습니다. 비용이나 구축 편의를 이유로 중요도를 임의로 낮추기보다 처리정보, 서비스 중단 영향, 대국민 업무 여부, 다른 시스템과의 연결 범위를 근거로 분류해야 합니다.

계약서에 포함할 보안 협조 내용

클라우드 계약에는 국가정보원과 이용기관이 수행하는 보안관제, 사고조사, 사이버위협 예방·대응 활동에 사업자가 협조한다는 내용을 포함해야 합니다. 사고통지 시한, 로그 제공 범위, 증거 보존, 취약점 조치, 계약 종료 후 데이터 삭제와 삭제 확인 방법도 구체화할 필요가 있습니다.

서비스 해지 시 데이터를 내려받을 수 있는 형식, 백업본의 최종 삭제 시점, 암호화 키 폐기, 계정과 API 키 회수 절차가 빠지면 계약 종료 후에도 위험이 남습니다. 사업 연속성을 위해 장애복구 목표와 다른 서비스로 이전할 수 있는 출구전략도 함께 검토하는 편이 좋습니다.

N2SF 도입은 어떤 순서로 진행할까?

N2SF 전환은 솔루션 선정부터 시작하기보다 업무와 정보의 흐름을 파악하는 일부터 시작해야 합니다. 기관마다 네트워크 구성, 연동 시스템, 보안정책이 다르므로 다른 기관의 실증 사례를 그대로 복제하면 실제 업무 흐름과 맞지 않을 수 있습니다.

1단계: 업무기능과 정보 흐름 식별

부서별 주요 업무, 담당자, 사용하는 정보시스템, 입력·생성·저장·전송되는 정보를 정리합니다. 외부기관 연계, 이메일 전송, 이동식 저장매체, 원격근무, 모바일 접속, API, 클라우드 백업 등 눈에 잘 보이지 않는 경로도 포함해야 합니다.

2단계: C·S·O 등급분류와 결합 위험 검토

정보공개법과 개별 법령, 기관의 보안·개인정보·기록물 정책을 기준으로 정보등급을 정합니다. 파일 단위뿐 아니라 데이터베이스 테이블, 첨부파일, 로그, 검색 인덱스와 백업본도 분류 대상에 넣습니다. 여러 자료가 모일 때 중요도가 올라가는지도 별도로 기록합니다.

3단계: 정보서비스 모델과 목표 구조 선정

기관이 해결하려는 업무 문제를 기준으로 정보서비스 모델을 선정합니다. 생성형 AI 활용은 모델 2, 클라우드 기반 문서체계는 모델 8로 공개돼 있습니다. 모델 번호 자체보다 기관이 어떤 정보를 어떤 환경에서 처리하고 어떤 사용자에게 제공할 것인지가 더 중요합니다.

4단계: 등급별 통제와 운영계획 설계

접근권한, 인증, 단말 통제, 영역분리, 암호화, 데이터 반출입, 악성코드 대응, 로그 수집, 보안관제, 사고대응 및 백업복구 통제를 설계합니다. AI에는 프롬프트·출력물 관리와 학습 데이터 통제를, 클라우드에는 계약·관리자 권한·재위탁·데이터 삭제 통제를 추가해야 합니다.

5단계: 보안성 검토와 단계적 전환

최신 N2SF 보안 가이드라인과 소속기관 절차에 따라 필요한 보안성 검토를 진행합니다. 전면 전환 전에 제한된 부서와 O등급 업무를 대상으로 시험하고, 오분류·권한 오류·로그 누락·업무지연을 확인한 뒤 범위를 확대하는 방식이 현실적입니다.

PC에서는 대량 문서 분류, 시스템 연계도 검토, 권한표 작성과 관리자 설정이 상대적으로 편리합니다. 모바일은 현장 확인과 승인에는 유용하지만 화면이 작고 파일 저장·공유 경로를 놓치기 쉬우므로, 등급분류와 계약·보안 설정의 최종 검토는 PC 환경에서 원문 문서와 첨부파일을 함께 확인하는 것이 좋습니다.

도입 전 최종 체크리스트

• 기관의 적용 대상 업무와 책임부서를 정했는가?
• 파일·데이터베이스·로그·백업을 포함해 C·S·O 등급을 분류했는가?
• 정보 집합·결합으로 등급이 올라가는 상황을 검토했는가?
• AI 입력정보와 출력물, 대화기록의 저장·삭제 기준을 정했는가?
• 일반 상용 생성형 AI에 C·S등급 정보가 입력되지 않도록 통제하는가?
• 클라우드 서비스가 최신 도입 가능 목록에 포함되는지 확인했는가?
• 데이터·백업·로그의 국내 저장과 국내 관리 조건을 확인했는가?
• 시스템 중요도에 맞는 물리적·논리적 영역분리를 설계했는가?
• 보안관제·사고조사 협조와 계약 종료 후 삭제 조건을 계약서에 반영했는가?
• 보안성 검토, 사용자 교육, 사고대응 훈련과 정기 재분류 일정을 정했는가?

공식 기준과 지원사업은 어디서 확인할까?

기본 기준은 국가정보원의 「국가 사이버보안 기본지침」과 N2SF 관련 보안 가이드라인에서 확인해야 합니다. 클라우드 도입 가능 목록과 세부 보안통제는 변경될 수 있으므로 사업 기획 단계뿐 아니라 제안요청서 작성, 계약 직전, 서비스 구성 변경 시점에도 최신본을 확인하는 것이 안전합니다.

2026년 KISA 도입 지원사업 공식 공고에서 확인되는 규모는 총 45억 원으로, 과제당 7억5천만 원씩 6개 과제를 지원하는 구조입니다. 사업기간은 협약 체결일부터 2026년 12월 11일까지로 공고됐습니다. KISA는 2026년 6월 1일 6개 연합체를 선정했다고 밝혔으며, 공개된 수요기관은 기후에너지환경부·한전KDN, 성평등가족부, 우정사업본부, 한국도로공사, 한국부동산원, 한국연구재단입니다.

일부 보도에서 언급된 55억 원과 KISA 공식 공고의 45억 원은 같은 사업비라고 단정할 근거가 충분하지 않습니다. 별도 실증사업이 포함된 총액인지 확인되지 않았으므로 지원사업 규모를 안내하거나 예산을 편성할 때는 KISA 공식 공고의 사업명과 세부 항목을 기준으로 구분해야 합니다.

공고와 가이드라인 확인 경로

2026년 지원사업 내용과 선정 결과는 한국인터넷진흥원 공식 홈페이지의 사업공고·보도자료에서 확인할 수 있습니다. 국가 사이버보안 기본지침과 국가 망 보안체계 기준은 국가정보원 및 국가사이버안보센터 공식 자료를 우선 확인해야 합니다. 2026년 국가·공공기관 사이버보안 평가지표는 국가정보원 안내와 첨부파일을 함께 살펴야 하며, 요약 기사만으로 평가항목을 확정해서는 안 됩니다.

2026년 6월 17일 자료에서 중앙행정기관 대상 추가 실증사업을 7월 중 추진할 계획이라고 밝혔지만, 제공된 확인 자료만으로는 2026년 8월 7일 현재 실제 착수 또는 선정 완료 여부를 확정하기 어렵습니다. 참여를 검토한다면 이후 공고가 게시됐는지 KISA 공식 사이트에서 다시 검색해야 합니다.

자주 발생하는 도입 오류와 해결 방법

등급분류가 부서마다 다른 경우에는 공통 분류기준과 대표 사례를 만들고, 경계 사례를 심의할 담당자를 지정해야 합니다. 공개정보와 비공개정보가 한 문서에 섞인 경우에는 일부 공개 표시만 하지 말고 원본·공개본을 분리해 관리하는 방법을 검토합니다.

AI가 내부 문서를 과도하게 검색하는 경우에는 사용자 권한과 검색 인덱스 권한이 일치하는지 확인하고, 문서가 삭제·이관될 때 벡터 데이터도 함께 갱신되는지 점검해야 합니다. 클라우드 사업자의 답변이 모호한 경우에는 국내 저장 위치, 해외 접근, 로그 제공, 재위탁과 삭제 시점을 예·아니요 형태의 확인서 및 계약 조항으로 구체화하는 것이 좋습니다.

실증 사례와 기관 환경이 다른 경우에는 제품 목록을 복제하지 말고 정보 흐름과 연동 구조부터 다시 설계해야 합니다. KISA 실증 사례집도 기관마다 네트워크와 보안정책이 다르므로 사례를 그대로 복제하지 말고 기관 환경에 맞게 재설계하도록 권고합니다.

작성 기준 안내

작성자: 고정정보 · Go to the Info

자료 확인: 2026년 8월 7일 기준 국가정보원·국가사이버안보센터·한국인터넷진흥원 공식자료와 제공된 검색자료를 교차 확인해 정리했습니다.

오류 신고: gttinfo01@gmail.com

이 글은 N2SF를 이해하기 위한 일반 정보이며 특정 기관의 보안성 검토, 법률 자문 또는 도입 승인을 대신하지 않습니다. 기관별 정보등급, 시스템 중요도, 클라우드 도입 가능 여부와 AI 이용 범위는 달라질 수 있으므로 실제 구축·계약 전 최신 국가정보원·국가사이버안보센터·KISA 공고와 소속기관 보안담당 부서의 확인을 받아야 합니다.

N2SF 자주 묻는 질문 FAQ

일반 사용자: N2SF는 기존 망분리를 완전히 없애는 제도인가요?

아닙니다. 획일적인 내부망·인터넷망 분리 조항은 삭제됐지만, 정보 등급과 위험에 따라 통신 차단, 시스템 분리와 도메인 분리를 계속 적용할 수 있습니다. 기관별로 필요한 통제가 달라진다는 의미에 가깝습니다.

공공기관 직원: 공개된 보도자료를 생성형 AI에 입력해도 되나요?

조건을 확인하면 가능할 수 있습니다. 해당 자료가 실제 O등급인지, 개인정보·저작권·계약상 제한이 없는지, 기관의 생성형 AI 이용정책이 허용하는지부터 확인해야 합니다. 여러 공개자료의 결합으로 민감성이 높아지는 경우도 주의해야 합니다.

공공기관 직원: 이름과 주민등록번호를 지우면 민원자료를 AI에 넣어도 되나요?

바로 허용된다고 볼 수 없습니다. 다른 내용으로 민원인을 재식별할 수 있고, 민원 내용 자체가 S등급에 해당할 수 있기 때문입니다. 비식별 여부뿐 아니라 업무정보 등급과 기관의 AI 이용 승인 범위를 함께 확인해야 합니다.

보안담당자: 모든 정보에 C·S·O 표시를 붙여야 하나요?

기관의 분류·표시 방식에 따라 달라집니다. 중요한 것은 문서 표면의 표시만이 아니라 정보시스템, 데이터베이스, 로그, 백업과 결합 데이터까지 일관된 분류기준으로 관리하는 것입니다. 자동분류 결과도 담당자의 검증 절차가 필요합니다.

보안담당자: O등급 시스템은 외부 인터넷에 바로 연결해도 되나요?

아닙니다. N2SF 보안통제에 위배되지 않는 범위에서 외부 인터넷과 통신하게 하거나 외부에 둘 수 있다는 의미입니다. 취약점 관리, 접근통제, 인증, 로그, 보안관제 및 연결된 상위 등급 시스템으로의 이동 가능성을 먼저 점검해야 합니다.

클라우드 담당자: CSAP 인증만 있으면 N2SF 조건을 모두 충족하나요?

그렇게 단정할 수 없습니다. 국가정보원의 도입 가능 목록, 정확한 서비스 범위, 국내 데이터 저장·관리, 시스템 중요도별 영역분리, 보안성 검토와 계약상 사고조사 협조 조건을 함께 확인해야 합니다.

계약 담당자: 클라우드 계약서에서 가장 먼저 확인할 항목은 무엇인가요?

데이터 위치와 사고대응 협조 조건부터 확인하는 것이 좋습니다. 여기에 관리자 접근, 재위탁, 로그 제공, 사고통지, 증거 보존, 계약 종료 후 백업을 포함한 데이터 삭제 및 삭제 확인 방법을 구체적으로 넣어야 합니다.

AI 구축 담당자: 기관 전용 생성형 AI라면 C·S등급 정보를 처리할 수 있나요?

기관 전용이라는 이유만으로 자동 허용되지는 않습니다. 정보등급에 맞는 시스템·도메인, N2SF 보안통제, AI 보안대책, 접근권한, 학습·검색 데이터 관리 및 필요한 보안성 검토를 충족해야 합니다. 구체적인 허용 범위는 최신 지침과 기관 승인으로 결정해야 합니다.

사업 담당자: 2026년 N2SF 도입 지원사업 예산은 45억 원인가요, 55억 원인가요?

KISA 공식 도입 지원사업 공고에서 확인되는 금액은 총 45억 원입니다. 일부 보도의 55억 원은 별도 실증사업 등을 포함했는지 공식 원문만으로 확정하기 어려우므로 같은 사업의 예산으로 혼용하지 말고 사업명별 공식 공고를 확인해야 합니다.

기관 책임자: N2SF 전환을 시작할 때 가장 먼저 해야 할 일은 무엇인가요?

업무기능과 정보 흐름을 식별하는 일이 먼저입니다. 이후 C·S·O 정보분류, 결합에 따른 등급 상향 검토, 정보서비스 모델 선정, 등급별 보안통제 설계, 클라우드·AI 보안성 검토, 운영·교육·사고대응 계획 수립 순으로 진행하는 것이 좋습니다.

소개 문의 개인정보처리방침 쿠키·광고 정책 이용약관 면책조항 저작권 정책 콘텐츠 운영원칙