[보안 101] 더보기 ▶

매달 하나의 주제를 선정해 질문을 던지며, 보안에 한 걸음 더 가까이 다가갑니다.
복잡하고 어렵게 느껴질 수 있는 보안 지식을 초보자도 쉽게 이해할 수 있도록, 기초 개념부터 최신 이슈까지 차근차근 풀어갑니다.

보안이 알고 싶을 땐, 보안 101으로 시작해 보세요.
물음표를 느낌표로 바꾸는 여정을 이글루코퍼레이션이 함께합니다.

01. N2SF의 등장

기존에는 국가·공공기관의 IT 환경을 보호하기 위해서 인터넷 사용이 가능한 인터넷망과 인터넷을 단절시킨 내부망을 분리하는 것이 효과적이었습니다. 왜냐하면 공격자가 인터넷을 통해 민감한 데이터가 포함되어 있는 컴퓨터에 불법적인 접근을 하는 등 외부로부터 발생하는 사이버 위협을 원천적으로 차단하는 역할을 했기 때문입니다. 실제로 망 분리 정책 덕분에 세계를 위협했던 워너크라이(WannaCry) 랜섬웨어 공격에서도 우리나라 기관들은 큰 피해를 입지 않았다는 전문가들의 견해가 있습니다. 하지만 이러한 효과에도 불구하고, 기존의 망 분리 정책은 원격근무, 클라우드 사용, 생성형 AI 도입 등 최근 빠르게 변화하는 IT 환경에 적응하는 데 한계가 있다는 문제점이 있습니다. 이 상황을 해결하기 위해 국가정보원은 관계기관 및 산학연과 함께 기존의 망 분리 문제점을 개선한 정책을 만들게 됩니다.

그 정책이 바로 국가 망 보안체계(National Network Security Framework, N2SF)입니다. N2SF는 업무정보의 중요도(기밀정보, 민감정보, 공개정보)에 따라 보안통제를 차등 적용하여 보안성 확보와 원활한 데이터 공유의 두 가지 목적을 동시에 달성하는 정책입니다. 기존의 망 분리 환경으로 인한 업무의 불편함을 개선하고, 공공 자원을 활용할 수 있게 만드는 N2SF 정책은 급격하게 변화하는 IT 시대에 발맞춰가는 정책이라 할 수 있습니다. 이번 [보안 101]에서는 N2SF의 적용 절차 및 주요 사항에 대해 간략하게 살펴보겠습니다.

02. N2SF의 전체적인 흐름

[그림 2]는 N2SF와 국가·공공기관 정보서비스 및 정보보안 업무와의 관계를 나타냅니다. 여기에서 정보보안 업무란, 정보시스템 등에서 발생할 수 있는 정보의 유출, 변조, 훼손 등의 사고를 방지하기 위한 모든 관리적·물리적·기술적 행위와 관련된 업무를 의미합니다. 이 업무는 국가·공공기관이 운영하는 다양한 정보서비스를 통해 운영 및 관리되며, 이 정보서비스는 정보보안 업무의 인프라를 제공합니다. N2SF는 보안통제를 통해서 정보서비스에 대해 요구되는 보안 수준을 확보하는 역할을 합니다.

총 5단계의 절차로 적용되는 N2SF는 국가·공공기관이 정보화사업을 계획·시행할 때 해당 사업에 포함되는 정보서비스에서 발생할 수 있는 보안 위협을 사전에 식별하여 위험 수준을 평가하고 보안대책을 수립하는 과정을 거치며, N2SF 각 단계의 산출물(결과물)은 국가정보원 보안성 검토 시에 제출하게 됩니다.

03. N2SF 적용을 위한 5단계 절차

N2SF를 적용하려면 준비, C/S/O 등급분류, 위협식별, 보안대책 수립, 적절성 평가·조정의 5단계를 순서대로 진행하고, 각 단계별로 나온 산출물로 국가정보원에 보안성 검토를 요청하여 통과되어야 합니다.

준비 단계

기관의 업무·기능을 분석하고, 업무정보·정보시스템·정보서비스 현황을 식별하여 이후 절차에 필요한 기초적인 정보를 확보하고, 각 단계의 활동별 책임자를 지정하고 관련된 역할과 권한을 정의하는 등 N2SF 적용 계획을 수립합니다.
여기에서 '업무정보'란 국가·공공기관의 기능을 위한 업무를 수행하는데 필요한 정보 또는 업무 수행 결과로 생산되는 정보를 의미합니다. '정보시스템'이란 업무정보의 생성·저장·처리·이동·보관 ·폐기 등에 관여하는 시스템을 뜻합니다.

C/S/O 등급분류 단계

준비 단계에서 식별한 업무정보 및 업무정보를 저장하는 정보시스템에 대해서 업무 중요도에 따라 등급을 C(Classified: 기밀), S(Sensitive: 민감), O(Open: 공개)로 분류합니다. 업무정보의 등급 분류는 정보공개법, 공공데이터법 등을 따르고, 정보시스템의 등급 분류는 기본적으로 업무정보의 등급에 따라 결정됩니다.

위협식별 단계

정보서비스를 구성하는 정보시스템을 식별하고, 정보서비스의 기능 및 정상적인 사용 시나리오에 따른 구성요소를 분석합니다. 이후 「위치-주체-객체」 모델링 및 모델 C/S/O 평가를 통해 위협을 식별하고 보안대책 적용지점을 판단합니다. 이때 세부적으로 「정보 생산·저장」 보안원칙과 「정보 이동」 보안 원칙이 적용됩니다.

「위치-주체-객체」 모델링

주체는 업무정보·정보시스템을 활용하는 주체(이용자), 위치는 주체가 위치한 물리적 영역, 객체는 주체가 접속하는 대상을 의미합니다.
여기서, 「위치-주체-객체」 모델링은 복잡한 정보서비스 구성환경을 '위치', '주체', '객체' 세 요소로 나누어 구조화(단순화)하는 기법을 말합니다.

「정보 생산·저장」 보안 원칙 예시

S등급 업무정보는 S등급 이상의 정보시스템에서 생산·저장되어야 합니다. S등급 업무정보가 O등급 정보시스템에 생산·저장되면 위협으로 식별합니다.

「정보 이동」 보안 원칙 예시

S등급 업무정보는 S등급 이상의 정보시스템으로 이동해도 되지만, O등급 정보시스템으로 갈 때는 위협으로 식별합니다.

보안대책 수립 단계

위협식별 단계의 결과를 기준으로 각 업무정보·정보시스템에 필요한 보안통제를 선택하고 구현계획을 수립합니다. 보안통제 항목은 국가사이버안보센터 사이트에서 '국가 망 보안체계 보안 가이드라인(Draft)_부록1'을 다운로드 받으면 자세하게 볼 수 있습니다.

적절성 평가·조정 단계

'준비', 'C/S/O 등급분류', '위협식별', '보안대책 수립'의 각 단계에 대한 산출물을 통해 적절성을 평가 및 재조정하고 승인하는 과정을 수행합니다.

04. N2SF의 보안통제 항목 맛보기

보안통제는 크게 '권한', '인증', '분리 및 격리', '통제', '데이터', '정보자산'으로 분류됩니다.

권한·인증

'권한'은 사용자 신원 증명과 고유 식별자 및 계정 관리를 통해 최소 권한 원칙을 적용하여 시스템 접근을 통제합니다.
'인증'은 다양한 수단과 다중요소 인증, 외부 연계 및 식별을 통해 사용자 신원을 지속적으로 확인 하고, 인증 정책 및 보호 절차를 적용하여 인증 과정 전반의 보안을 강화합니다.

분리 및 격리

'분리 및 격리'는 정보서비스와 업무정보를 보안 등급에 따라 구분하고, 하드웨어, 소프트웨어, 운영체제 등을 분리하여 각 영역의 독립성을 확보하며, 프로세스와 애플리케이션의 접근을 통제하여 상호 간섭과 무단 접근을 방지합니다.

통제·데이터

'통제'는 정보시스템의 경로, 경계, 원격접속, 세션, 무선 통신망, 블루투스 등 다양한 영역에서 접근 및 정보 흐름을 관리·제어하여 비정상적인 접근과 민감 정보 유출을 방지합니다.
'데이터'는 암호 키 관리, 검증된 암호기술, 안전한 전송 및 사용 중 보호를 통해 데이터가 사용되는 모든 단계에 다양한 보안조치를 적용하여 기밀성과 무결성을 유지합니다.

정보자산

'정보자산'은 모바일 단말, 하드웨어, 정보시스템 구성요소 전반에 걸쳐 인가, 모니터링, 체계적인 목록화 및 갱신, 그리고 불필요한 기능 통제를 통해 무결성과 안전한 사용을 보장합니다.

[그림3]의 N2SF 우선 검토사항 항목을 보면 C/S/O로 보안통제 기준선이 나눠져 있는 걸 볼 수 있습니다. 이 기준선은 업무정보·정보시스템에 대해 등급별로 우선 적용을 검토하는 보안통제 항목을 ●로 표시하고, 통제항목 자체가 해당 등급의 기밀성에 문제가 있어 사용 제한을 권고하는 항목을 –로 표시합니다.
보안통제를 선택하는 방법의 예시로 업무정보·업무시스템이 S등급이면, [그림3]에서 NNSF-DT-1, NNSF-DT-2 보안통제 항목을 우선적으로 선택하면 됩니다. 이후 준비단계에서 수립된 N2SF 적용계획, 보안요구사항 등에 따라 보안통제 항목의 적용여부, 적용수준 등을 조정할 수 있습니다.

05. N2SF 적용 이점 및 기대 효과

N2SF 이전, 기존 망 분리 정책 환경에서는 내부망과 외부망에 각각 별도의 서버, 네트워크 장비 등을 구축해야 하므로 초기 투자 비용이 높고, 이중으로 관리해야 하기 때문에 유지보수 인력이 많이 필요했습니다. 그리고, 외부 자료를 내부망으로 옮기기 위해 인가된 USB를 사용하거나 특정 보안 절차를 거쳐야 하는 등 내부망과 외부망 간의 데이터 이동 및 공유가 제한적이거나 복잡한 절차를 거쳐야 했습니다. 이외에도 클라우드, 원격근무(재택근무), 생성형 AI 등 신기술 도입과 확장에 많은 어려움이 있었습니다. 국가정보원은 이러한 문제를 해결하기 위해 N2SF를 만들었고, 다음과 같은 두 가지 예시의 상황으로 N2SF 적용을 통한 이점을 알 수 있습니다.

클라우드를 활용한 업무 속도 개선

담당자A는 내부망에서 중요한 행정 보고서 작업을 진행하기 때문에, 평소에 외부와의 데이터를 주고받을 때 인가된 USB를 통해 자료를 주고받았습니다. 외부 전문가의 자문이 필요하거나, 다른 부서와 자료를 공유할 때면 보고서를 USB에 담아 외부망 PC로 옮긴 뒤, 다시 메일로 보내야하는 번거로운 과정을 거쳐야 했습니다. 담당자 A는 이러한 비효율적인 업무 시스템이 답답했습니다. 어느 날 기관에 N2SF를 적용하고나서 내부망과 외부망이 허용된 범위 안에서 자유롭게 데이터를 주고받을 수 있는 환경이 되어, 클라우드를 통해 업무 자료를 주고받을 수 있게 되었습니다. 이 덕분에 담당자A는 망 간 업무 자료를 주고받을 때 불필요한 과정이 줄어 업무 속도가 빨라졌고, 더불어, 클라우드의 다양한 도구를 활용하여 업무의 편리함도 증가했습니다.

생성형AI를 활용한 업무 효율성 향상

연구원B는 내부망에서 보고서 초안 작성, 자료 요약, 아이디어 도출 등 시간이 많이 소요되는 업무를 하고 있었습니다. 특히 아이디어 도출 같은 경우, 큰 틀은 있는데 구체화를 어떻게 해야 할 지 고민을 하느라 시간이 많이 소비되었습니다. 시간이 흘러 기관에 N2SF가 적용된 후, 연구원 B는 지정된 생성형 AI를 활용하여 N2SF 보안 환경 내에서 자신의 업무를 수행할 수 있게 되었습니다. 생성형 AI의 도움으로 보고서 작성이나 자료 요약, 아이디어 도출 및 구체화 과정에서 다양한 정보를 얻어 연구를 할 수 있게 되면서 업무 생산성이 향상되었습니다.

N2SF 정책이 가져올 기대 효과

마지막으로, N2SF 정책을 통해 가져올 수 있는 기대효과는 크게 두 가지로 볼 수 있습니다.

첫째, 기존의 망 분리 환경과 같은 보안성을 유지 또는 향상시키면서도 공공정보를 제약 없이 주고받아, 공공정보의 활용성을 높여 새로운 서비스를 창출하는 등 정보의 가치를 높일 수 있습니다.

둘째, N2SF를 적용한 IT 인프라를 구축함으로써 클라우드 기반 협업 환경 조성을 통한 업무 효율성 증가, ChatGPT 등 AI 활용을 통한 업무 속도 개선 등 미래지향적인 신기술·서비스와의 손쉬운 통합 및 확장으로 업무의 유연성과 변화하는 환경에 신속하게 대응할 수 있는 경쟁력을 확보할 수 있습니다.

💌 후속 콘텐츠, 계속 받아보세요 ▶