C·S·O 등급에 따라
보안관제 AI 위치도 달라집니다
국가 망 보안체계(N2SF)는 모든 업무망을 인터넷과 똑같이 떼어 놓던 방식 대신, 업무정보와 시스템을 기밀(C), 민감(S), 공개(O)로 나누고 등급마다 다른 통제를 적용합니다.
관제 로그를 어느 등급으로 볼지, 분석 AI를 어느 도메인에 둘지가 먼저 정해져야 합니다.
무엇을 요구하나
국가정보원은 2025년 9월 말 N2SF 보안 가이드라인을 배포했습니다.
이어 2026년 5월 1일 개정된 「국가 사이버보안 기본지침」에 등급 정의와 처리 원칙이 들어갔고, 예전의 내부망·인터넷망 분리 조항은 삭제됐습니다.
| 등급 | 어떤 정보인가 (기본지침 정의 요약) |
|---|---|
| 기밀 (C, Classified) | 비밀과 대외비, 그리고 정보공개법상 비공개 대상 정보 가운데 지침이 정한 일부 |
| 민감 (S, Sensitive) | 그 밖의 비공개 대상 정보, 국회·지방의회 요구로 작성한 자료 등 |
| 공개 (O, Open) | C와 S를 뺀 나머지 업무정보. 공표된 공공데이터를 포함 |
- 기관은 업무기능을 분류하고, 기능별로 다루는 업무정보를 C·S·O로 나눠야 합니다.
- 공개나 민감 정보라도 상위 등급 정보와 합쳐지거나, 같은 등급끼리 모여 중요도가 높아지면 등급을 올릴 수 있습니다.
- 업무정보는 자기 등급과 같거나 높은 등급의 시스템·도메인에서 처리하는 것이 원칙입니다. 가이드라인의 보안통제를 지키면 낮은 등급에서 처리할 수 있습니다.
- 한 도메인 안에서는 되도록 한 등급의 시스템만 두고, 등급이 다른 도메인끼리는 통신을 차단하거나 분리할 수 있습니다.
- 민감 도메인에는 기관이 쓰는 외부 클라우드 영역도 포함되고, 공개 도메인은 보안통제 범위 안에서 인터넷과 통신할 수 있습니다.
- N2SF 적용 사업과 보안관제센터 구축은 국가정보원 보안성 검토 대상에 들어 있습니다.
등급별로 보안관제 AI를 두는 방법
관제 로그는 여러 시스템의 기록을 한곳에 모은 것이라, 모으는 순간 등급이 올라갈 수 있습니다.
그래서 저희는 등급마다 분석 인스턴스를 따로 두는 구성을 먼저 권합니다.
폐쇄망 단독 설치
Genox를 기밀 도메인 안에 단독으로 설치하고 외부 연결은 두지 않습니다. 탐지 규칙과 모델 업데이트는 승인된 매체로 반입하고, 분석 결과와 판정 기록도 같은 도메인 안에만 남습니다. 업데이트가 늦게 들어가는 만큼 새 공격 기법 반영이 느려지는 점은 감안하셔야 합니다.
기관 내 설치 또는 전용 클라우드
기관 망 안에 설치하는 것이 기본입니다. 지침상 민감 도메인에 외부 클라우드 영역이 포함되므로 국내 전용 클라우드 구성도 검토할 수 있지만, 가이드라인 보안통제 충족과 보안성 검토, 공공 클라우드 관련 인증 요건을 기관이 먼저 확인해야 합니다.
공개 자산 진단과 위협 정보
홈페이지나 공개 서비스처럼 인터넷에 닿는 자산의 외부 공격 표면 진단, 공개 위협 정보 수집은 공개 도메인에서 할 수 있습니다. 다만 여기서 모은 결과를 내부 로그와 합쳐 분석하는 순간 등급이 올라갈 수 있습니다.
요구 사항과 Genox 기능의 관계
Genox는 N2SF 적합 여부를 판정하거나 보안성 검토를 대신 받아 드릴 수 없습니다.
기관이 판단하고 신청하는 데 필요한 자료와 구성을 맞춰 드리는 쪽입니다.
| 요구 사항 | 관련 Genox 기능 / 서비스 | 고객이 직접 해야 하는 일 |
|---|---|---|
| 업무정보 등급 분류 | 보안 컨설팅에서 관제 로그와 분석 결과의 등급 검토를 함께 정리 | 업무기능 분류와 C·S·O 등급 결정, 상향 조정 판단 |
| 등급에 맞는 도메인에서 처리 | 등급별 별도 인스턴스 배치, 외부 송신을 막아 둔 분석 노드 | 도메인 구성과 등급 간 통신 차단·분리 설계 |
| 등급별 보안통제 적용 | Genox 구성 요소별 접근통제, 암호화, 감사 로그 설정 자료 제공 | 가이드라인 보안통제 항목 선정과 이행, 적절성 판단 |
| 보안관제와 침해 대응 | 구축형 AI 보안관제, Threat Correlator 사건 단위 판정과 근거 기록 | 관제 범위 결정, 사고 발생 시 지침에 따른 조치와 통보 |
| AI 시스템 보안대책 | AI/LLM 레드팀 진단으로 기관이 도입하는 생성형 AI의 인젝션·유출 위험 점검 | 보안대책 수립, 국가정보원 AI 보안 가이드북 등 반영 |
| 국가정보원 보안성 검토 | 구성도, 데이터 흐름, 외부 연결 여부를 정리한 기술 자료 | 검토 신청과 보완 대응 |
자주 묻는 질문
Genox 하나로 C·S·O 전체를 관제할 수 있나요?
기술적으로 한 인스턴스에 모을 수는 있지만 권하지 않습니다. 지침은 한 도메인에 되도록 한 등급만 두도록 하고, 등급이 다른 정보를 섞으면 전체를 높은 등급으로 다뤄야 할 수 있습니다. 등급마다 따로 설치하고, 필요하면 결과 요약만 정해진 절차로 상위 등급에 넘기는 구성이 관리하기 쉽습니다.
Genox 제품에 CC 인증이나 보안기능 확인서가 있나요?
현재 Genox가 보유한 CC 인증이나 보안기능 확인서는 없습니다. 공공 도입 사업마다 요구하는 인증 요건이 다르니, 사업 공고 단계에서 먼저 확인해 주셔야 합니다.
폐쇄망이면 AI 모델 업데이트는 어떻게 하나요?
업데이트 파일은 오프라인으로 전달하고, 기관이 정한 반입 절차와 무결성 확인을 거쳐 들여옵니다. 인터넷으로 자동 업데이트하는 구성은 기밀 도메인에서는 쓰지 않습니다.
공개 위협 정보는 어느 등급에서 써야 하나요?
수집한 원본은 공개 정보지만, 기관 내부 로그와 대조한 결과에는 기관 자산 정보가 들어갑니다. 대조 결과는 원래 로그의 등급을 따라가는 것으로 보고 설계하시는 편이 안전합니다.
참고 자료
- 국가 사이버보안 기본지침 (2026.5.1 개정본), 국가정보원 국가사이버안보센터
- 범부처 정보보호 종합대책 발표 브리핑, 대한민국 정책브리핑, 2025.10.22
- 국가사이버안보센터 (N2SF 보안 가이드라인 원문 게시처)
등급 분류 초안이 있다면 같이 보시죠
기관의 등급 분류 초안과 현재 관제 구성을 알려 주시면 등급별 배치안과 보안성 검토에 필요한 자료 목록을 정리해 드립니다.