18년 만에 사라진 망분리, N2SF 시대에 시스템 발주가 달라져야 하는 것들

망을 끊던 시대가 끝났습니다

오랫동안 공공과 금융, 대기업의 정보시스템 설계는 하나의 전제 위에 서 있었습니다. 내부망과 인터넷망을 물리적으로 끊어 놓는 망분리입니다. 그런데 국가정보원은 2026년 5월 1일 「국가 정보보안 기본지침」을 「국가 사이버보안 기본지침」으로 개정·시행하면서 일률적 망분리 조항(제40조)을 삭제했습니다. 대신 업무정보를 기밀(C)·민감(S)·공개(O) 등급으로 나눠 등급별로 차등 보안통제를 적용하는 국가 망 보안체계(N2SF)로 전환했습니다.

핵심은 '무조건 끊는다'에서 '조건을 충족하면 연결한다'로 원칙이 바뀌었다는 점입니다. 국정원의 N2SF 보안가이드라인에 따르면 등급 간 절대적·물리적 차단이 아니라, 위험기반 접근통제와 가이드라인 충족을 조건으로 등급·도메인 간 연결을 허용합니다. 발주자 입장에서 이 변화는 단순한 규제 완화가 아니라, 시스템을 설계하는 첫 단추부터 다시 끼워야 한다는 뜻입니다.

발주 문서가 먼저 바뀌어야 합니다

과거에는 "망분리 구성"이라는 한 줄이 보안 요구사항의 상당 부분을 대신했습니다. 이제는 그 한 줄이 통하지 않습니다. 데이터가 어떤 등급인지, 그 등급에 어떤 도메인과 통제를 붙일지를 발주자가 먼저 정의해야 사업자가 견적과 아키텍처를 제대로 잡을 수 있습니다.

1. 데이터 등급 분류를 요구사항 0단계로

기능 명세보다 먼저 와야 하는 것이 데이터 등급 분류입니다. 시스템이 다루는 데이터를 기밀·민감·공개로 나누고, 각 데이터가 어디에 저장되고 누구와 어떤 경로로 오가는지를 표로 정리하십시오. 이 분류표가 없으면 접근통제 설계도, 클라우드 배치 판단도 근거 없이 흘러갑니다. 제안요청서(RFP)에 '데이터 등급 분류 결과물 제출'을 산출물로 명시하는 것이 출발점입니다.

2. 위험기반 접근통제를 계약 언어로

연결을 허용하는 대신 조건을 검증하는 구조이므로, "누가·어떤 상태에서·무엇에 접근하는가"를 검증하는 통제가 계약에 들어가야 합니다. 사용자·기기 인증, 접근 시점의 위험도 평가, 등급 간 데이터 이동 시 로그와 승인 절차 같은 항목을 정성적 기준으로라도 요구사항에 담으십시오. '연결을 허용하되 조건을 상시 검증한다'는 원칙을 계약 문구로 못 박아 두어야 준공 시점에 다툼이 줄어듭니다.

3. 클라우드 인증 변화에 대비한 조항

과학기술정보통신부와 국가정보원은 2026년 4월 20일 공동 발표를 통해 공공 클라우드 보안검증을 국정원 중심 단일 체계로 일원화하고, 기존 클라우드보안인증(CSAP)은 민간 자율 인증으로 전환해 정보보호관리체계(ISMS)에 통합하기로 했습니다. 약 1년의 유예를 거쳐 2027년 하반기(7월)부터 새 제도가 본격 시행됩니다. 지금 발주하는 시스템이 준공·운영 시점에 어느 인증 체계 아래 놓이는지 계약서에 전제로 적고, 제도 전환에 따른 재검증 책임과 비용 부담 주체를 미리 정해 두는 편이 안전합니다.

실증은 이미 시작됐습니다

이 전환은 문서상의 선언에 그치지 않습니다. 한국인터넷진흥원(KISA)은 2026년 6월 총 55억원(도입지원 45억원=7.5억원×6개 과제, 실증사업 9억9천만원) 규모의 N2SF 도입·실증 지원사업을 추진해, 6월 1일 기후에너지환경부·한전KDN, 우정사업본부, 한국도로공사, 한국부동산원 등이 포함된 6개 공공기관 연합체를 도입 지원 대상으로 선정했습니다. 선도 기관들이 먼저 실무 사례를 쌓고 있는 만큼, 뒤따르는 발주에서는 '전례 없음'을 이유로 미루기가 점점 어려워지고 있습니다.

발주 전 점검할 체크리스트

• 데이터 등급 분류표가 요구사항 앞머리에 있는가
• 등급별로 도메인·시스템·통제를 차등 적용하는 설계를 요구했는가
• 등급 간 연결 시 인증·위험평가·로그·승인 절차를 명시했는가
• 클라우드 사용 시 인증 체계 전환에 따른 재검증 책임과 비용을 정했는가
• 운영 단계의 정책 변경·재분류 절차를 계약에 담았는가

결국은 설계 초기의 판단입니다

망분리 폐지는 보안을 느슨하게 하라는 신호가 아닙니다. 오히려 데이터마다 다른 무게를 매기고, 그 무게에 맞는 통제를 설계 초기에 정해야 하는 더 정교한 일이 됐습니다. 이 판단을 준공 이후로 미루면 재구축 비용으로 되돌아옵니다. FIRSTPIP은 신규 개발과 리뉴얼을 준비하는 고객이 데이터 등급 분류부터 접근통제 설계, 계약 요구사항 정리까지 첫 단계에서 정리하도록 함께 돕고 있습니다. 새 시스템을 구상하고 계신다면, 기능 명세보다 데이터 등급표를 먼저 펼쳐 보시길 권합니다.