국가 망 보안체계(N2SF) 완전정복 ②: 274개 보안통제, 무엇을 골라 어떻게 제출하나
2026.10.19목차
N2SF는 국가·공공기관의 업무정보와 정보시스템을 기밀(C)·민감(S)·공개(O) 세 등급으로 분류한 뒤 등급에 따라 보안통제를 달리 적용하는 보안 프레임워크입니다.「국가 망 보안체계 보안 가이드라인 1.0」(이하 가이드라인) 부록1 종합표 기준으로 보안통제는 6개 대항목, 27개 통제군(부록1의 중항목), 274개 ID로 구성됩니다.
본 글은 N2SF를 두 편으로 나눠 다루는 글의 2편입니다. 등장 배경과 C/S/O 등급분류, 위협 모델링을 다룬 1편에 이어, 274개 보안통제의 구성과 선택 기준, 국가정보원 보안성 검토에 제출하는 문서를 살펴봅니다.
1. 등급분류 다음 단계: 보안통제 274개 중 무엇을 고르나
적용 절차 4단계 '보안대책 수립': 요구사항 도출부터 구현계획까지
1편에서 살펴본 N2SF 적용 절차 5단계 가운데 보안통제 선택은 네 번째 단계인 '보안대책 수립'에서 이뤄집니다.
이 단계에서는 먼저 위협식별 단계에서 찾은 보안위협에 대해 차단·예방·탐지·완화·대응 효과를 얻기 위한 보안 요구사항을 도출합니다. 준비 단계에서 정한 정보서비스 보안목표도 여기에 포함합니다. 다음으로 요구사항을 만족하는 관리적·기술적 수단인 보안통제 항목을 선택합니다.
마지막으로 구현방법, 일정, 우선순위, 책임자와 자원 배정을 담은 구현계획을 세우고, 통제가 적용된 정보서비스 구성도를 작성합니다.
출처: 국가정보원 「국가 망 보안체계 보안 가이드라인 1.0」(2025.9.),
그림 2-13·표 2-11의 보안대책 수립 단계 활동을 바탕으로 재구성한 이미지입니다.
274개 전부가 아니라 골라서 적용하는 구조
274개를 모두 적용해야 하는 것은 아닙니다. N2SF는 등급과 위협에 맞는 통제를 기관이 골라 적용하는 구조입니다.
2. N2SF 보안통제 항목 274개: 6개 대항목·27개 통제군
부록1 종합표: 대항목별 통제군과 ID 수
가이드라인 부록1(보안통제 항목 해설서)은 보안통제를 6개 대항목, 27개 통제군으로 묶어 제시합니다.
출처: 국가정보원 「국가 망 보안체계 보안 가이드라인 1.0」(2025.9.)
부록1「보안통제 항목 해설서」, 보안통제 항목 종합표를 바탕으로 재구성한 이미지입니다.
대항목별 ID 수는 권한 37개, 인증 57개, 분리 및 격리 20개, 통제 88개, 데이터 26개, 정보자산 46개입니다. 합계인 274개는 기본 항목 194개에 세부 항목(예: N2SF-AC-1(1)) 25개와 'M'이 붙은 항목(예: N2SF-AU-M1) 55개를 더해 부록1 종합표를 직접 집계한 값이며, 문서가 밝힌 총계는 아닙니다.
💡 용어 알아보기: 통제군과 ID는 무엇인가?
· 통제군: 목적이 비슷한 보안통제를 묶은 단위입니다. 계정 관리(AC)에는 입사·퇴사·부서 이동에 따른 계정 처리 통제가 모여 있습니다.
· ID: 개별 통제 항목에 붙는 고유 번호로, 'N2SF-AC-1'처럼 표기합니다.
대항목별 역할: 권한·인증부터 정보자산까지
권한 대항목은 누구에게 어떤 접근을 허용할지를 다룹니다. 계정 생성·회수, 업무에 필요한 만큼만 권한을 주는 최소 권한이 여기에 속합니다. 인증 대항목은 접속하려는 사용자와 단말이 맞는지 확인하는 영역으로 다중요소 인증과 로그인 실패 횟수 제한 등이 포함됩니다. 분리 및 격리 대항목은 하드웨어·운영체제 기반 분리, 개발·운영 환경 분리처럼 망과 시스템을 나누는 통제입니다. 통제 대항목은 나뉜 영역 사이의 흐름을 관리합니다. 상위 등급에서 하위 등급으로의 부적절한 전송 차단, 허용 목록(화이트리스트) 기반 통신, 원격접속과 세션 관리가 여기에 속합니다.
💡 용어 알아보기: CDS란 무엇인가?
· CDS(Cross Domain Solution): 서로 다른 등급 영역 사이에서 정보를 검증된 방식으로 안전하게 전달하는 체계로, 부록1에서는 통제 대항목의 통제군입니다.
· 3가지 유형: 파일 다운로드를 최소화하고 화면으로 열람하게 하는 접근 CDS, 경계 지점에서 정보를 전달하는 전송 CDS(단방향 전송, 그리고 무결성·악성코드 검사를 거치는 양방향 전송), 사용자 등급에 따라 데이터 접근을 통제하는 다중등급보안 CDS가 있습니다.
데이터 대항목은 암호 키 관리와 데이터 전송·사용을 다루며, 국가정보원장이 안전성을 확인한 검증필 암호모듈을 쓰도록 하는 요건이 있습니다. 정보자산 대항목은 모바일 단말·하드웨어·시스템 구성요소를 관리하는 영역으로, 탈옥·루팅 탐지와 기술지원이 끝난 구성요소 교체 등이 포함됩니다.
3. N2SF 보안통제 선택 기준과 정보서비스 모델 예시
보안통제 선택 방법 2가지: 우선 검토사항(●)과 부록2
가이드라인이 제시하는 보안통제 선택 방법은 두 가지입니다. 부록1은 통제군마다 정의와 구현 예시를, 개별 항목마다 등급별 우선 검토사항을 제시합니다.
1) 보안통제 우선 검토사항 활용 : 업무정보나 정보시스템의 등급에 '●'가 표시된 항목을 선택하는 방법입니다. '●'는 등급별로 우선 검토를 권고하는 항목이고, '-'는 사용 제한을 권고하는 항목입니다. 표시가 없는 칸은 해당 등급의 우선 검토 대상이 아니라는 뜻으로, '-'처럼 사용 제한을 권고하는 표시는 아닙니다.
2) 정보서비스 모델 해설서(부록2) 참조 : 기관의 정보서비스가 부록2의 정보서비스 모델과 같거나 비슷하면 해당 모델의 위협과 보안 요구사항을 참조해 항목을 선정하는 방법입니다.
출처: 국가정보원 「국가 망 보안체계 보안 가이드라인 1.0」(2025.9.),
그림 2-14의 보안통제 항목 선택 방법을 바탕으로 재구성한 이미지입니다.
항목과 ● 표시는 부록1 보안통제 항목 종합표를 따랐습니다.
기관은 정보서비스 구성과 운용환경, 기관 특성을 고려해 '●' 항목을 제외하거나 세부사항을 조정할 수 있으며, 이렇게 제외·조정한 내용은 이후 적절성 평가에서 함께 점검됩니다. 부록1에 맞는 항목이 없으면 기관이 통제를 자체 정의해 추가할 수 있습니다.
생성형 AI 활용 모델의 보안통제 예시
부록2는 여러 기관이 공통으로 구축할 것으로 예상되는 정보서비스를 11개 모델로 정리한 해설서입니다. 모델마다 보안위협을 식별하고, 위협을 보안 요구사항으로 묶은 뒤 요구사항마다 부록1의 ID를 연결해 둡니다.
출처: 국가정보원 「국가 망 보안체계 보안 가이드라인 1.0」(2025.9.)
부록2 「정보서비스 모델 해설서」 11종의 모델명을 바탕으로 재구성한 이미지입니다.
예를 들어 모델2 '업무환경에서 생성형 AI 활용'은 이용자 단말이 AI 연계체계에 비인가 접근하는 위협(TH-M2-9)에 대해 '생성형 AI 서비스 이용자 및 단말 인증'이라는 요구사항을 세우고, 계정 관리(AC)·단말인증(DA)·로그인(LI) 통제군의 ID 12개를 연결합니다.
다만 부록2가 제시하는 통제는 절대적인 기준이 아닌 검토 사항입니다. 제시된 항목을 모두 구현해야 한다거나, 제시되지 않은 항목은 구현하지 않아도 된다는 뜻이 아닙니다.
참고: 제로트러스트 필러(Pillar)와 오버레이 대응
가이드라인이 소개하는 오버레이(Overlay)는 기준선을 유지하면서 기관의 운영환경·위협 수준·정책 요구사항에 맞춰 통제 집합을 재구성하는 방식이며, N2SF가 정한 절차와 통제 목표를 지키는 범위 안에서 활용해야 합니다.
가이드라인은 6개 대항목 분류가 제로트러스트의 핵심 구성요소인 필러(Pillar)와 대응된다고 밝힙니다.
4. N2SF 보안성 검토: 국가정보원 제출 문서 4종과 자체 보안대책
지침 제15조·제17조: 검토 대상과 제출 문서 4종
보안성 검토는 N2SF 적용 사업을 비롯한 정보화사업의 보안대책이 적절한지를 사업 계획 단계(사업 공고 전)에 확인하는 절차입니다. 「국가 사이버보안 기본지침」(이하 지침)에 따르면 N2SF 적용 사업은 국가정보원 보안성 검토 대상이며, 국가정보원장은 사업 규모·중요도를 고려해 검토를 상급기관의 장에게 위임할 수 있습니다(제15조). 검토를 의뢰할 때는 자체 보안대책에 가이드라인의 체크리스트와 산출물을 포함해야 합니다(제17조).
5단계를 마치면 사업계획서, 제안요청서, 정보통신망 구성도, 자체 보안대책 4종을 제출합니다. 사업계획서와 제안요청서에는 선택한 통제의 구현 방법(제품 도입·개발)을, 정보통신망 구성도에는 통제가 적용된 네트워크 구조를 담습니다.
자체 보안대책 서식 4개 항목과 부적합 시 재수행 범위
자체 보안대책은 5단계 수행 결과를 종합한 문서로, 서식은 보안목표, 등급분류 결과, 보안 요구사항과 보안통제 항목, 구현계획의 네 항목으로 이뤄집니다. 세 번째 항목에는 선택한 통제를 부록1 ID와 연결해 적고, 부록1에 없어 기관이 추가한 통제는 '자체-1'처럼 표기합니다.
출처: 국가정보원 「국가 망 보안체계 보안 가이드라인 1.0」(2025.9.),
표 3-2·최종 산출물 서식의 보안성 검토 제출 문서와 자체 보안대책 서식을 바탕으로 재구성한 이미지입니다.
제출 전 적절성 평가에서 부적합 항목이 나오면 해당 활동이 속한 단계는 다시 수행하고, 그 뒤 단계는 영향을 받는 활동만 다시 수행합니다.
최종 확인은 정보보안담당관이 맡으며, 조정이 필요한 사항이 없고 국가정보원 보안성 검토 의뢰에 필요한 제반사항이 모두 준비된 경우에만 가능합니다.
제출 뒤 보안성 검토는 서면검토가 원칙이며, 검토기관이 필요하다고 판단하면 현장확인을 함께 할 수 있습니다(제14조). 검토 결과를 통보받은 기관은 이를 반영해 보안대책을 보완해야 하고, 검토기관은 반영 여부를 확인하기 위해 현장점검을 할 수 있습니다(제18조).
5. 최근 동향과 지금 점검할 항목 2가지
기획·예산 단계부터 N2SF 반영 추진
국가정보원 관계자는 9월 17일 발표에서 대규모 정보화사업의 기획·예산 요구 단계부터 보안대책을 반영하는 세부 절차를 만들고 있다고 설명했습니다. 보안통제 지원 제품 목록은 올해 중 마련하고 '등급분류참조 가이드'는 올해 배포할 계획이라는 보도도 나왔습니다. (10월 14일 현재 공식 배포는 확인되지 않았습니다.) 지금 점검할 수 있는 항목은 두 가지입니다.
점검 1: 현행 보안대책을 부록1 ID와 대조했는가
자체 보안대책에는 통제를 부록1 ID와 연결해 적으므로, 운영 중인 보안대책을 ID와 미리 대조해 두면 이미 갖춘 통제와 새로 마련할 통제를 구분할 수 있습니다.
점검 2: 계정·인증 체계를 권한·인증 통제와 대조했는가
계정·인증은 대부분의 정보서비스가 공통으로 거치는 단계이며, 3장의 생성형 AI 모델 예시에서도 이용자·단말 인증이 보안 요구사항으로 제시됩니다. 권한·인증 두 대항목에 속한 ID도 274개 중 94개(약 34%)여서 미리 대조해 둘 범위가 넓습니다. 현행 계정 발급·회수와 인증 방식을 부록1 항목과 대조하면 빈 곳을 찾는 데 도움이 됩니다.
6. 드림시큐리티 솔루션: 권한·인증 통제 검토와 Magic ICAM
권한·인증 통제와 Magic ICAM의 연결
권한과 인증 통제를 검토하려면 누가 어떤 기기로 접속하고, 어떤 자원을 이용할 수 있는지 함께 살펴볼 필요가 있습니다. 신원·인증·권한을 통합 관리하는 ICAM은 이러한 접근 관리의 기반이 될 수 있습니다. 드림시큐리티의 Magic ICAM은 사용자·기기·자원의 신원, 자격증명, 접근 권한을 중앙에서 통합 관리하는 제로트러스트 기반 신원 인증 및 권한 관리 솔루션입니다.
제품 자료의 기능을 부록1과 대조하면 인사정보와 연계한 계정 자동 생성·회수는 계정 관리(AC), 역할·속성 기반 권한 관리는 최소 권한(LP), FIDO·OTP 다중 인증은 다중요소 인증(MA), 단말 무결성 검증과 비인가 단말 격리는 단말인증(DA) 통제군과 연결됩니다. SSO 연계는 인증보호(AU) 통제군과 관련됩니다. 다만 AU-2는 통합인증(SSO)을 적용할 때 불법적인 계정 로그인 시도에 대한 기술적 대책을 따로 요구하므로, 연계 기능만으로 대응 여부를 판단하지 말고 기관의 구성과 보안대책에서 함께 확인해야 합니다. 이는 제품의 기능 설명을 통제군과 대조한 것이며, 실제 충족 여부는 기관의 보안대책에 따라 판단해야 합니다.
7. FAQ: N2SF 보안통제에 대해 자주 묻는 질문
Q1. N2SF 보안통제 항목은 몇 개이고 어떻게 구성되나요?
A. 「국가 망 보안체계 보안 가이드라인 1.0」 부록1(보안통제 항목 해설서) 기준으로 6개 대항목, 27개 통제군, 274개 ID입니다. 274개는 부록1 종합표를 직접 집계한 값이며, 개정판이 게시되면 달라질 수 있습니다.
Q2. 274개 통제를 모두 적용해야 하나요?
A. 아닙니다. 부록1(보안통제 항목 해설서)의 각 항목에는 기밀(C)·민감(S)·공개(O) 등급별로 우선 검토 대상임을 뜻하는 ● 표시가 있어, 시스템 등급에 ●가 표시된 항목부터 검토해 필요한 통제를 고릅니다. 부록2(정보서비스 모델 해설서)에서 비슷한 모델을 찾아 참조하는 방법도 있습니다. 기관은 구성·운용환경을 고려해 항목을 제외하거나 조정할 수 있고, 부록1에 맞는 항목이 없으면 자체 통제를 추가할 수 있습니다.
Q3. 검증필 제품목록에 오른 보안 제품은 N2SF 이후에도 쓸 수 있나요?
A. N2SF는 보안적합성 검증 같은 제품 검증 절차가 아니며, 기존 검증 제도를 대체하기보다 보완하는 체계로 해설됩니다. 현행 「국가 사이버보안 기본지침」은 제도 변경으로 등재요건을 못 맞추게 된 제품에도 본래 등재기간을 인정합니다(제21조제3항). 다만 사유가 생기면 등재가 중지·삭제될 수 있고(제21조제4~6항) 등재 효력이 곧 계속 사용 가능을 뜻한다고 단정할 수는 없으므로, 도입·교체 전에는 제품별 등재 상태와 도입요건(제20조)을 확인하시는 것이 좋습니다. 검증필 암호모듈은 제22조가 따로 정합니다.
8. 결론: N2SF 보안통제를 고르는 기준을 아는 것이 대응의 출발점
N2SF 대응은 등급과 위협에 맞춰 보안통제를 고르고, 고른 통제를 자체 보안대책에 부록1 ID로 정리해 국가정보원 보안성 검토에 제출하는 과정입니다. 공공기관이라면 5장의 두 가지 점검부터 시작하고, 공공 사업에 참여하는 기업이라면 자사 제품이 어느 통제군에 대응하는지 정리해 두시는 것이 좋습니다. 개별 항목의 세부 요구사항과 구현 예시는 가이드라인 본문과 부록1 원문을 직접 확인하시는 것이 좋습니다.
※ 본 글은 「국가 사이버보안 기본지침」과 국가 망 보안체계(N2SF) 보안 가이드라인의 주요 내용을 이해하기 쉽게 정리한 참고 자료입니다. 실제 적용 여부와 대응 방안은 본 글만으로 판단하지 말고 최신 「국가 사이버보안 기본지침」과 가이드라인·부록의 원문, 국가정보원 안내를 확인한 뒤 구체적인 사안에 대해서는 법률·보안 전문가의 검토를 거쳐 판단하시기 바랍니다.
출처
· 국가정보원, 「국가 사이버보안 기본지침」(일부개정 2026.5.1.) — https://www.ncsc.go.kr/template/resources/file/nis_guide_lines_2023_1_31.pdf
· 국가정보원, 「국가 망 보안체계 보안 가이드라인 1.0」 본문(2025.9.) — 국가정보원 발간 자료, 원문 재게시본 — https://www.scribd.com/document/963169722/%EB%B3%B8%EB%AC%B8-%EA%B5%AD%EA%B0%80-%EB%A7%9D-%EB%B3%B4%EC%95%88%EC%B2%B4%EA%B3%84-%EB%B3%B4%EC%95%88-%EA%B0%80%EC%9D%B4%EB%93%9C%EB%9D%BC%EC%9D%B8-1-0
· 국가정보원, 「보안통제 항목 해설서(부록1)」 1.0(2025.9.) — https://mnusecu.mokpo.ac.kr/bbs/mnusecu/1544/250570/download.do
· 국가정보원, 「정보서비스 모델 해설서(부록2) 모델 2. 업무환경에서 생성형 AI 활용」 1.0(2025.9.) — https://mnuk2.mokpo.ac.kr/bbs/mnusecu/1544/278520/artclView.do
· 국가정보원, 「정보서비스 모델 해설서(부록2)」 모델 1~11, 1.0(2025.9.) — 국가사이버안보센터 게시 자료
· 보안뉴스, "국정원 보안적합성검증에서 N2SF로...달라진 패러다임 무엇?" (2025-11-07) — http://www.boannews.com/news/articleView.html?idxno=140209
· 보안뉴스, "'정부 사업 N2SF 반영 미흡해'...국정원, '기획부터 내재화' 추진" (2026-09-17) — https://www.boannews.com/news/articleView.html?idxno=145924
· 뉴스웍스, "국정원 '클라우드 검증 일원화'…AI 레드티밍·PQC 조기전환 추진" (2026-09-17) — https://www.newsworks.co.kr/news/articleView.html?idxno=854144
· 지디넷코리아, "대규모 국가·공공 정보화 사업에 N2SF 적용한다" (2026-09-20) — https://zdnet.co.kr/view/?no=20260920163051