"공공 클라우드 도입 새 먹거리인데"…늦어버린 국가망보안체계

망분리 완화에 필요한 프레임워크…"보안 설루션 대비 기준"
"최종안 재가할 국정원 3차장 없어 시행 지연"

(국가정보원 제공)

(서울=뉴스1) 윤주영 기자 = 공공이 망 분리를 완화하고 클라우드·인공지능(AI)을 도입하는 데 필요한 보안 프레임워크 '국가망보안체계'(N²SF)가 늦어지고 있다. 앞으로 공공 수요가 늘어날 데이터 분류 등 설루션의 개발 기준이 되기 때문에, 제도가 너무 늦어져선 안 된다는 지적이 나온다.

4일 보안업계에 따르면 국가정보원이 추진하는 N²SF는 올해 7월 발표·시행될 계획이었으나 기한을 지키지 못했다.

새 정부 출범 후 과학기술·사이버 안보를 관장하는 국정원 3차장 자리가 비어 있어서다. 국정원 내외부 전문가들이 N²SF 최종안을 거의 작성했지만, 재가해 줄 사람이 없어 제도가 추진되지 못하고 있다.

또 국정원과 주요 보안 정책을 협의하는 대통령실 사이버안보비서관도 공석인 상황이다.

N²SF는 기존 공공기관의 획일적인 망 분리에서 벗어나, 업무 중요도에 따라 보안 수준을 차등 적용하는 프레임워크다. 전산망을 기밀(C)·민감(S)·공개(O) 등급으로 분류한 뒤, 권한·인증·격리·통제 등 6개 통제 항목을 차등 적용하는 게 골자다.

공공이 민간 클라우드 설루션 도입 시 고려해야 한다는 점에선, 한국인터넷진흥원(KISA)의 '클라우드 서비스 보안 인증'(CSAP)과도 비교될 수 있다. 다만 CSAP가 민간 클라우드의 보안 수준을 인증하는 '품질마크' 개념이라면, N²SF는 설루션 도입 기관이 따라야 하는 프레임워크에 가깝다.

정부가 AI로 행정을 혁신한다는 기조기 때문에 클라우드·보안업계는 향후 공공 시장을 새 먹거리로 보고 있다. 특히 정보 민감도가 낮은 N²SF 공개(O) 등급 시장을 두고 경쟁이 치열할 거라는 분석이다.

보안업체들이 N²SF 최종안 지연에 우려를 드러내는 배경이다.

한 보안업계 관계자는 "N²SF가 제품 인증을 다루는 건 아니지만, 제도가 요구하는 기술 사양·인증 기준 등을 서비스 개발 시 반영해야 한다"고 설명했다.

예를 들어 N²SF O등급 영역은 공공기관이 자율적인 보안 대책을 적용해야 한다. 데이터 민감도 분류나 문서 보안을 제공하는 기업이라면, 선제적으로 N²SF에 기반한 설루션을 준비할 수 있다.

하지만 올해 초 공개된 N²SF 초안은 세부 기술 사양이나 인증 기준 등 실제 서비스에 필요한 정보들이 빠졌다. 핵심 자료인 부록2 '정보서비스 모델 해설서'도 제한적으로 배포되는 실정이다.

이 관계자는 "한국정보보호산업협회(KISIA) 등에서 활동하는 대기업 회원사라면 제도 작성에 관여해서 그나마 대략적인 내용은 알 거다. 하지만 협회 활동을 안 하는 영세 기업은 대비가 어려운 게 사실"이라고 덧붙였다.

legomaster@news1.kr