컴플라이언스

N2SF란? 국가망 보안체계 개요와 공공기관 대응 5단계

2026.10.19.

💡 한 눈에 요약 보기

•N2SF는 업무정보를 C(기밀), S(민감), O(공개)로 나눠 등급별로 보안통제를 적용하는 국가망 보안체계입니다. •국가정보원은 2025년 9월 30일 국가망 보안체계(N2SF) 가이드라인 1.0을 공개했습니다. •N2SF 적용 절차는 준비부터 적절성 평가와 조정까지 5단계

안녕하세요, 지란지교소프트 데이터사업부문입니다.

공공기관에서도 생성형 AI를 업무에 쓰는 일이 빠르게 늘고 있는데요. 지금까지의 망분리 방식으로는 AI를 쓰면서 정보 유출까지 막기가 어렵습니다. 그래서 나온 기준이 N2SF입니다. N2SF로 무엇이 달라지는지, 공공기관은 무엇부터 준비해야 하는지 정리해 볼게요.

📌 N2SF란? 국가망 보안체계의 변화

N2SF는 업무정보와 정보시스템을 중요도에 따라 등급으로 나누고, 등급별로 보안통제를 적용하는 국가망 보안체계입니다. National Network Security Framework의 약자로, 국가정보원이 2025년 9월 30일 가이드라인 1.0을 공개했어요.

그동안 공공기관은 업무망과 인터넷망을 물리적으로 나누는 망분리를 기본 원칙으로 운영해 왔어요. 보안성은 높지만 클라우드나 생성형 AI 같은 새 기술을 업무에 쓰기 어렵다는 한계가 있었는데요. N2SF는 모든 정보를 똑같이 차단하던 방식에서 벗어나, 정보의 중요도와 위험 수준에 따라 보안통제를 다르게 적용합니다.

구분	망분리	N2SF
기준	망 단위로 일괄 분리	업무와 정보의 등급 단위
통제 방식	모든 정보를 같은 수준으로 차단	등급에 따라 차등 통제
새 기술 활용	클라우드, 생성형 AI 활용이 어려움	등급에 맞는 통제를 갖추면 활용 가능

01. N2SF는 왜 필요한가요?

N2SF가 필요한 이유는 공공기관의 AI 활용이 빠르게 늘고 있기 때문입니다. 기획재정부 자료에 따르면 전체 공공기관 343곳 중 132곳(38.4%)이 총 381건의 AI를 활용하거나 구축하고 있어요. AI를 쓰는 기관 한 곳당 평균 약 2.9건인 셈입니다.

AI 활용이 늘어날수록 정보 유출 경로도 함께 늘어납니다. 국가정보원은 「국가·공공기관 AI 보안 가이드북」(2025년 12월)에서 AI 보안 위협 15가지를 제시했는데요. AI 보안 가이드북의 위협 유형과 실제 생성형 AI 사용 환경을 바탕으로, 업무에서 주의해야 할 대표 사례를 정리했습니다.

위험	상황
민감정보 입력과 유출	직원이 생성형 AI에 개인정보나 내부 업무자료를 입력
첨부파일 기반 유출	내부 문서 전체를 AI 서비스에 업로드해 요약이나 번역을 요청
비인가 AI 서비스 사용	기관이 승인하지 않은 AI 서비스를 업무에 임의로 사용
학습데이터 추출	AI가 학습한 데이터가 응답 과정에서 다시 노출
프롬프트 인젝션	악의적인 지시를 통해 AI가 보호된 정보나 내부 정보를 노출하도록 유도하는 공격

👉 생성형 AI 활용 시 생길 수 있는 보안 위험은 [생성형 AI, 이렇게 쓰면 위험해요! 프라이빗 AI가 필요한 이유]에서 자세히 확인할 수 있어요.

02. C·S·O 등급은 어떻게 나누나요?

업무정보를 중요도에 따라 C(기밀), S(민감), O(공개) 세 등급으로 나눕니다. 업무정보를 처리하는 정보시스템도 같은 기준으로 등급을 매겨요. 등급이 높을수록 보안통제를 강하게 적용하고, 공개(O) 등급은 외부 서비스와 더 유연하게 연계할 수 있습니다.

등급	의미	예시
C (Classified, 기밀)	유출될 경우 국가안보·국민 안전 등에 중대한 영향을 줄 수 있는 중요 비공개 정보	비밀 문서, 안보 관련 업무
S (Sensitive, 민감)	공개될 경우 개인이나 기관·국가의 이익을 침해할 수 있는 비공개 업무정보	개인정보가 담긴 업무 자료, 내부 보고서
O (Open, 공개)	C·S에 해당하지 않거나 외부 공개가 가능한 정보	보도자료, 공개 통계

👉 개인정보처럼 공개하면 안 되는 정보의 처리 기준은 [개인정보보호법 개정 2026 총정리]에서 함께 확인할 수 있어요.

03. N2SF는 어떤 절차로 적용하나요?

N2SF 가이드라인은 준비부터 적절성 평가와 조정까지 5단계로 적용합니다. 현황을 파악해 등급을 나누고, 위협을 찾아 보안대책을 세운 뒤, 대책이 잘 작동하는지 계속 점검하는 흐름이에요.

단계	하는 일
1. 준비	기관의 업무, 정보시스템, 보유 데이터 현황을 파악합니다.
2. 등급분류	업무정보와 정보시스템을 C·S·O 등급으로 분류합니다.
3. 위협식별	서비스 환경을 모델링하고 정보 흐름과 보안위협을 식별합니다.
4. 보안대책 수립	위협과 정보등급에 맞춰 필요한 보안통제를 선정합니다.
5. 적절성 평가와 조정	보안통제가 적절하게 작동하는지 평가하고, 필요한 경우 정책을 조정합니다.

N2SF 가이드라인에는 기관이 자주 쓰는 업무 환경을 예로 든 정보서비스 모델 11종도 담겨 있어요. 실무에서 참고하기 좋은 대표 모델은 다음과 같습니다.

✔ 업무환경에서 생성형 AI 활용

✔ 업무 단말의 인터넷 이용

✔ 클라우드 기반 통합문서체계

04. N2SF는 어디까지 적용됐나요?

N2SF는 2026년 실증과 도입 지원사업을 거쳐 단계적으로 확대되고 있습니다. 실증은 실제 기관 환경에 시범 적용해 효과를 확인하는 단계예요. 한국인터넷진흥원(KISA)은 2026년 4월 실증 결과를 모은 N2SF 실증 사례집을 공개했어요. 적용 방향은 대규모 국가·공공 정보화사업을 중심으로 구체화되고 있는데요. 정보화 사업을 준비하는 기관이라면 기획 단계부터 N2SF 적용 여부와 등급분류, 보안대책을 함께 검토해 두세요. 2027년 사업이 있다면 예산과 일정을 고려해 현황 파악부터 먼저 시작해야 일정에 쫓기지 않습니다.

✅ 우리 기관이 먼저 준비할 사항

1. 업무와 정보시스템 목록 만들기 → 기관이 운영 중인 업무와 시스템 현황을 정리합니다.

2. 데이터 현황 파악하기 → PC, 서버, 파일서버 등에 어떤 정보가 저장돼 있는지 확인해요.

3. 등급 기준 정하기 → 기관 업무 특성에 맞춰 C·S·O 등급 분류 기준을 마련합니다.

4. AI 사용 현황 점검하기 → 조직에서 쓰는 AI 서비스와 이용 현황을 확인해요.

5. 예산과 일정 반영하기 → 다음 연도 정보화 사업 계획에 N2SF 대응 예산과 일정을 반영합니다.

⁉️ 자주 묻는 질문

Q. N2SF가 시행되면 망분리는 없어지나요?

A. 기존의 획일적인 망분리 원칙을 그대로 유지하는 방식에서 N2SF 기반의 등급별 보안통제로 전환되고 있습니다. 다만 모든 망분리를 일괄적으로 없애는 것은 아니며, 정보와 시스템의 등급 및 위험 수준에 따라 분리·연계 방식을 다르게 적용합니다.

Q. 모든 공공기관이 대상인가요?

A. 기관 유형과 사업에 따라 다릅니다. N2SF 적용 범위는 단계적으로 확대되고 있어서, 구체적인 대상과 일정은 관련 지침과 국가정보원 안내를 확인해야 해요.

Q. 등급분류는 누가 하나요?

A. 각 기관이 N2SF 가이드라인 기준에 따라 직접 분류합니다. 정보량이 많거나 업무가 복잡한 기관은 자동 분류 도구를 쓰면 분류 시간을 줄일 수 있어요.

Q. 생성형 AI를 쓰려면 무엇을 준비해야 하나요?

A. AI에 입력하는 정보의 등급부터 구분해야 합니다. 민감정보가 프롬프트나 첨부파일로 외부에 전달되는 경로도 통제할 수 있어야 해요.

🤝 지란지교소프트와 함께 준비하세요

N2SF 대응은 등급을 판정하고, 등급마다 통제하는 것에서 시작해요. 향후 AI필터의 C·S·O 등급 판정 기능과 필터 제품군의 정보유출 통제를 연계해 N2SF 대응을 지원할 예정입니다.

N2SF 단계	하는 일	대응 제품
1. 준비	자산과 데이터 기반 현황 파악	PC필터, WEB필터, SERVER필터, AI필터
2. 등급분류	문서 C·S·O 등급 자동 판정	AI필터 (지원 예정)
3. 위협식별	문서 이동 경로 모니터링	PC필터 AI-DLP
4. 보안대책 수립	경로별 등급 차등 통제 정책	PC필터, WEB필터, SERVER필터
5. 적절성 평가와 조정	통제 지속성과 증적 확보	PC필터, WEB필터, SERVER필터, AI필터