지난해부터 시행된 국가망 보안체계(N2SF)에 따라 공공기관의 클라우드 이용 기준도 달라질 전망입니다. 지금까지는 CSAP 인증 여부가 중요한 기준이었다면, 앞으로는 기관이 다루는 자료의 등급에 따라 이용 가능한 클라우드 환경이 정해집니다.
N2SF는 공공기관의 업무 정보를 기밀·민감·공개 세 등급으로 나눠 보안 수준을 달리 적용하는 국가정보원의 보안 체계입니다. 정부는 2026년 들어 CSAP와 국정원 보안검증을 일원화하고 클라우드 이용 기준에도 N2SF 등급을 반영하는 개편을 추진하고 있습니다. 이번 글에서는 N2SF 등급별 클라우드 이용 조건과 CSAP 폐지 일정, 2027년 공공 클라우드 전환을 앞두고 준비할 사항을 정리합니다.
국가망 보안체계(N2SF)란? 기밀·민감·공개 등급으로 나누는 보안 기준
정부는 2025년 9월 N2SF 보안 가이드라인 1.0을 발표했고, 2026년 5월 국가 사이버보안 기본지침을 개정해 기존 망분리 의무 조항을 삭제하고 N2SF 관련 조항을 신설했습니다.
N2SF에서 구분하는 정보 등급은 다음과 같습니다.
- 기밀(C, Classified): 국가안보·국방 등 높은 수준의 보호가 필요한 정보
- 민감(S, Sensitive): 외부 유출 시 국가나 개인에게 피해가 발생할 수 있는 비공개 정보
- 공개(O, Open): 보도자료 등 외부에 공개할 수 있는 정보
N2SF와 기존 망분리의 차이
기존 공공기관에서는 업무망과 인터넷망을 분리하는 방식으로 보안을 관리해 왔습니다. 외부 침입과 정보 유출을 막기 위한 조치지만, 공개 가능한 자료를 다룰 때도 클라우드나 생성형 AI 같은 외부 서비스를 활용하는 데 제약이 있었습니다.
반면 N2SF는 ‘어느 망에서 처리하느냐’보다 ‘어떤 정보를 다루느냐’에 따라 보안 수준을 달리 적용합니다. 공개(O) 등급은 외부 서비스를 보다 유연하게 활용할 수 있지만, 기밀(C) 등급은 여전히 엄격한 분리와 보안 통제가 필요합니다.
따라서 공공기관이 클라우드를 도입할 때는 서비스의 보안 인증뿐 아니라 어떤 등급의 자료를 보관하고 처리할 것인지도 함께 확인해야 합니다. 등급에 따라 이용 가능한 클라우드 환경과 보안 요건이 달라지기 때문입니다.
CSAP 폐지와 국정원 검증 일원화, 기존 CSAP 인증은 어떻게 되나요?
CSAP 인증은 공공기관에 클라우드 서비스를 제공하려는 사업자의 정보보호 수준을 평가하는 제도입니다. 기존에는 CSAP와 국정원 보안검증 등 이원화된 절차가 적용됐지만, 정부는 이를 국정원 클라우드 보안검증으로 일원화하는 개편을 추진하고 있습니다.
2026년 9월 국정원이 발표한 개편 방향은 다음과 같습니다.
- 기존 인증: CSAP 인증의 남은 유효기간(최대 5년) 인정 방침
- 검증 기준: 기존 상·중·하 등급을 N2SF의 C·S·O 등급 기준으로 개편
- 시행 일정: 2027년 하반기 일원화 추진, 개정안 시행 후 약 1년의 유예기간 검토
따라서 CSAP가 폐지되더라도 기존 인증이 곧바로 무효가 되는 것은 아닙니다. 실제로 2026년 9월에도 신규 인증이 발급됐으며, KISA 인증서 발급현황에 따르면 10월 22일 기준 누적 298건 중 221건의 인증이 유지되고 있습니다.
N2SF 등급별로 쓸 수 있는 클라우드: C·S·O 이용 조건
2026년 9월 국정원이 발표한 개정안 초안에서는 C·S·O 등급별로 이용할 수 있는 클라우드 환경과 분리 조건을 제시했습니다.
| N2SF 등급 | 클라우드 이용 조건 |
|---|---|
| 기밀(C) | 기관이 물리적으로 통제하는 시설 내 민관협력형(PPP) 클라우드 |
| 민감(S) | 외부 민간 클라우드 이용 가능. 공공 전용 데이터 시스템에 전용 하드웨어 적용 |
| 공개(O) | 외부 민간 클라우드 이용 가능. 민간 시스템과 논리적 분리 |
또한 개정안은 데이터 시스템을 국내에 두되, 운영관리 시스템은 국외에 두는 것도 허용하는 방향입니다. 구체적인 이용 조건은 최종 검증 기준에서 확인해야 합니다.
2027 공공 클라우드 전환, N2SF 기준으로 준비할 4가지
행정안전부는 2030년까지 범정부 시스템을 클라우드로 전면 전환하고, 2027~2029년을 전환 확대 단계로 잡았습니다. 공공기관 담당자라면 앞으로 발표될 다음 일정을 확인해 두는 것이 좋습니다.
- 2026년: 국정원 데이터 등급분류 참조 가이드 배포 예정
- 2026년 12월: 행안부 범정부 클라우드 전환 로드맵 발표 예정
- 2027년 상반기: 국정원 검증 항목과 해설서 공개 예정
- 2027년 하반기: 국정원 단일 검증체계 시행 추진
이러한 변화에 대비해 기관에서는 다음 네 가지를 준비해 보세요.
1. 업무 자료와 정보시스템을 N2SF 등급으로 나누기
클라우드에 올릴 업무 자료와 해당 자료를 처리하는 정보시스템이 기밀·민감·공개 중 어디에 속하는지 확인하세요. 사고 책임 부담으로 시스템을 높은 등급으로 분류하던 관행이 지적되고 있지만, 필요 이상으로 높은 등급을 적용하면 이용 가능한 클라우드 환경도 제한될 수 있습니다.
2. 도입 가능 목록과 CSAP 인증 유효기간 확인하기
국가사이버안보센터의 「도입 가능 목록」을 확인하고, 후보 서비스의 CSAP 인증 유효기간과 인증 범위를 함께 살펴보세요. 실제 도입 가능 여부는 기관의 보안 요건과 적용되는 검증 절차에 따라 판단해야 합니다.
3. 예산 요구 단계에 클라우드 이용료와 보안대책 반영하기
국정원과 한국지능정보사회진흥원(NIA)은 대규모 정보화사업의 기획·예산 요구 단계부터 N2SF 보안대책을 반영하는 세부 절차를 마련하고 있습니다. 행안부도 예산 요구 단계에서 민간 클라우드 이용 검토를 의무화하는 방안을 검토 중입니다. 신규 도입이나 전환을 계획한다면 다음 예산 요구에 클라우드 이용료와 보안대책 비용을 함께 반영할 수 있도록 준비하세요.
4. 계약 기간과 전환 일정 맞추기
현재 이용 중인 서비스의 계약 만료일과 기관의 클라우드 전환 계획을 함께 점검하세요. 12월 범정부 로드맵이 발표되면 우리 기관의 시스템이 어떤 전환 유형에 해당하는지 확인하고, 신규 계약이나 갱신 시점에 반영할 필요가 있습니다.
CSAP 인증 공공기관용 클라우드 스토리지, 클라우다이크
공공기관에서 클라우드를 도입할 때는 보안 인증뿐 아니라 실제 업무에서 필요한 파일 관리와 협업 기능도 함께 고려해야 합니다.
클라우다이크 공공기관용은 CSAP 인증을 획득한 클라우드 스토리지로 인증 유효기간은 2029년 7월 2일까지입니다. 기존 CSAP 인증은 남은 유효기간 동안 인정될 예정이어서, 새 검증 체계가 시행될 때까지 도입을 미룰 필요가 없습니다
공공기관의 문서 관리와 협업에 필요한 기능도 제공합니다.
- 접근 권한 관리: 부서·사용자별 폴더 권한 설정으로 자료 열람 범위 제한
- 외부 공유 통제: 휴대전화 인증, 공유 링크 만료일 설정, 파일 열람·다운로드 이력 확인
또한 조달청 혁신제품으로 지정돼 관련 계약 요건을 충족하면 수의계약으로 도입할 수 있습니다. 15일 무료체험으로 기관 업무에 맞는지 직접 확인해 보세요.
자주 묻는 질문
Q1. N2SF는 무엇의 약자인가요?
N2SF는 National Network Security Framework의 약자로, 우리말로는 국가망 보안체계입니다.
Q2. 국정원 N2SF 보안 가이드라인은 어디서 확인할 수 있나요?
국가사이버안보센터 공식 홈페이지에서 N2SF 보안 가이드라인과 관련 자료를 확인할 수 있습니다. 가이드라인에는 정보 중요도 분류와 보안통제 적용에 관한 기준이 담겨 있습니다.
Q3. CSAP 인증을 받은 클라우드 서비스는 어디서 확인하나요?
한국인터넷진흥원(KISA)이 운영하는 ISMS-P 누리집의 클라우드 보안인증(CSAP) 발급현황에서 확인할 수 있습니다. 업체명과 서비스명, 인증 범위, 유효기간을 확인해 도입 검토에 활용할 수 있습니다.
