특정 기술 하나로 공공부문 사이버 공격을 모두 차단하기는 사실상 불가능하다. 공공기관도 인공지능(AI)과 클라우드 등 신기술을 활용해야 해 일률적 차단 중심 보안에는 한계가 있다. 지켜야 할 자산과 데이터를 식별하고, 중요도에 따라 보안 수준을 차등 적용하는 체계로 신속한 전환이 필요한 이유다.
◇N2SF 전환 공식화…기관들은 '무엇부터'
정부가 공공부문 보안체계 전환을 위해 제시한 정책 틀은 국가 망 보안체계(N2SF)다. 특정 보안제품이나 단일 기술이 아니라 업무정보를 기밀(C), 민감(S), 공개(O)로 분류하고 중요도에 따라 정보시스템 위치와 보안통제를 달리 적용하는 체계다.
공개·활용 가능한 정보는 AI·클라우드와 연계하고 기밀·민감 정보에는 촘촘한 접근통제와 유출방지 조치를 적용한다. 기존 망분리를 일괄 폐기하는 게 아니라 정보 중요도에 맞춰 보호 수준을 재설계하는 방식이다. 지켜야 할 데이터는 강하게 보호하면서 신기술 활용 범위는 넓힌다. 제로트러스트, 공급망 보안, 탐지·대응 솔루션 등도 기관별 환경에 맞춰 적용한다.
정부는 2025년 N2SF 가이드라인을 내놓고 2026년 5월 1일 국가 사이버보안 기본지침에 관련 내용을 반영했다. 공공부문의 중장기 전환 방향을 공식화한 것이다.
다만 모든 기관이 언제까지 전환해야 하는지 명시된 완료 기한은 없다. 기관마다 보유 장비의 내구연한과 업무환경, 서비스 계약, 예산 여건이 달라 일률적인 전환 시점을 정하기 어렵기 때문이다.
현장에서는 N2SF를 실제 업무환경에 어떻게 적용할지 판단하기 어렵다는 목소리가 나온다. 데이터 분류와 보안통제의 적용 범위를 정하고 사업계획을 세우는 것도 쉽지 않다. 이후에는 예산 확보라는 문턱이 남는다.
윤오준 율촌 고문(전 국정원 3차장)은 “지난해와 올해 대형 보안사고가 이어졌지만 실질적으로 움직이는 기관은 많지 않다”며 “실증과 지원사업을 확대하려면 정부의 예산 투입도 함께 늘어야 한다”고 말했다.
◇속도 못 내는 N2SF…실증·평가체계 손질해야
올해 N2SF 실증사업 예산은 약 55억원에 그쳤다. 전문가들은 잇따르는 공공부문 사이버 사고와 전환 수요를 고려하면 종합 성공 모델을 만들기에는 예산이 적다고 평가한다.
특정 기능이나 구간만 검증해서는 기관들이 N2SF 적용 방향을 직관적으로 파악하기 어렵다. 정보보호 중요도가 높은 기관을 선정해 데이터 분류부터 계정·단말·네트워크·서버·클라우드·AI, 탐지·대응·복구까지 전 과정을 적용하는 대규모 프로젝트가 필요하다. 다른 기관이 사업 범위와 도입 기술, 필요 예산을 참고할 대표 모델이 시급하다는 분석이다.
공공기관 경영평가 손질 필요성도 제기된다. AI 활용 등이 포함된 혁신가점은 최대 5점인 반면 사이버보안 배점은 0.5점 수준이다. 기관이 사업과 예산의 우선순위를 정할 때 사이버보안이 뒤로 밀릴 수 밖에 없는 구조다. 보안 비중을 높여 N2SF 전환과 예산 확보를 주요 과제로 다루도록 해야 한다.
김창훈 국가AI전략위원회 보안특위 위원(대구대 교수)은 “현재 실증 예산으로는 공공기관이 참고할 종합적인 N2SF 모델을 만들기 어렵다”며 “핵심 시스템 보유 기관을 대상으로 대규모 프로젝트를 추진하고, 경영평가에서도 사이버보안 비중을 높여 기관들이 사업과 예산 확보에 나서도록 해야 한다”고 말했다.
박진형 기자 jin@etnews.com
