보안 인사이트
이철호
2025. 6. 25.
N²SF는 공공기관 정보화사업에 대한 자체 보안대책을 수립하는 표준절차이며 최소한의 요구사항
1편에서도 살펴봤듯이 N²SF는 공공기관이 정보화사업을 추진할 때 필요한 자체 보안대책을 기관 스스로 자율적으로 수립하는 절차를 표준화 한 것으로 볼 수 있다.
또한, N²SF 보안 가이드라인은 국가공공기관 공통적으로 적용 가능한 최소한의 요구사항을 담고있으므로 교육, 정보통신, 외교, 국방, 행정, 보건, 금융, 방산, 전력, 에너지 등 부처별/산업군별 특수성과 현실을 고려하여 각급기관이 적절하게 운용할 수 있음을 명시하고 있다.
caption - 국가 사이버안보 수행체계 현황 (출처: 2025 국가 정보보호 백서)
기밀성(Confidentiality)/무결성(Integrity)/가용성(Availability)을 고려한 세밀한 등급분류
산업제어시스템(ICS) 등 특수목적 정보시스템의 경우 기밀성 뿐만 아니라 무결성, 가용성을 함께 고려할 필요가 있다.
상수도 시설에서 소독용으로 사용하는 화학약품의 양과 농도를 측정하고 화학약품을 투여하는 A 정보시스템이 있다고 가정해 보자.
A 정보시스템이 다루는 업무정보는 화학약품의 양과 농도에 관한 데이터이고 작업자의 실수, 기계적 오류, 사이버공격 등에 의해서 이 업무정보가 영향을 받는다면 국민의 생명과 건강에 영향을 끼칠 수 있다. 따라서, 넓게 바라보면 A 정보시스템은 C(Classified) 등급으로 분류되는 것이 바람직하다. N²SF 보안가이드라인이 제시하는 C/S/O 등급분류 기준 또한 정보공개법, 공공데이터법에 근거하고 있으며 국민의 생명과 건강에 영향을 끼치는 경우 C 등급으로 분류토록 하고 있다.
이를 좀 더 세밀하게 업무정보와 정보시스템을 구분하여 각각 기밀성, 무결성, 가용성의 전통적인 보안목표 수준에서 바라보자.
먼저 업무정보에 관해서 살펴보자. A 정보시스템이 다루는 업무정보(즉, 화학약품의 양과 농도에 관한 데이터)는 무결성 및 가용성 관점에서는 C 등급으로 분류하는 것이 바람직하다. 왜냐하면 데이터가 손상되면 과도하게(또는 과소하게) 화학약품이 투여될 위험이 있고 데이터를 읽을 수 없다면(즉, 모니터링 할 수 없다면) 적절한 수준의 약품투여를 결정할 수 없어 오염된 수돗물이 공급될 위험이 있기 때문이다. 그러나, 업무정보의 기밀성 관점에서는 O(Open) 등급으로 분류하여 상수도 시설의 안전성을 국민에게 알리고 이를 공공데이터로 활용토록 하는 것이 사회적 이득이 더 크다고 판단할수도 있다.
이번에는 업무정보를 처리하는 정보시스템에 대해서 살펴보자. A 정보시스템은 그 위치와 기계적 특성 등에 관해 외부에 알려지는 경우 공격의 표적이 될 위험이 있으므로 기밀성 관점에서 C등급으로 보는 것이 좋겠다. 무결성과 가용성 관점은 위에서 살펴본것과 동일하다.
구분 | C/S/O 등급분류 | ||
|---|---|---|---|
기밀성 | 무결성 | 가용성 | |
업무정보 (화학약품의 양/농도) | O | C | C |
정보시스템 (화학약품 투여기) | C | C | C |
이와 같이, 업무정보에 대한 C/S/O 등급분류와 정보시스템에 대한 C/S/O 등급분류는 해당 업무정보와 정보시스템의 특성에 따라 서로 다른 기준을 가질 때 N²SF 적용효과를 극대화 할 수 있다.
N²SF 보안가이드라인에서 제시하는 업무정보 C/S/O 등급분류 기준에 더해 기관 자체적으로 더 세밀한 C/S/O 등급분류 기준을 적용할 수 있지 않을까? 물론, 이 경우 반드시 보안성검토를 주관하는 국가정보원과 사전 협의를 통해 이에 대한 판단을 받는 것이 좋겠다.
N²SF는 위험관리 프레임워크 인가?
그렇다면, 결국 우리는 이런 질문을 하게 된다.
“N²SF는 위험관리 프레임워크 인가?”
N²SF를 개발하는 동안에 공식적으로 발표된 자료와 보안 가이드라인에 따르면 N²SF는 위험관리 프레임워크인 NIST RMF를 참고해서 개발된 것으로 언급되고 있다.
한마디로 말하면, 우리나라의 거버넌스 환경에 맞게 개발된 “한국형 공공 위험관리 프레임워크”로 볼 수 있다. 여기서 거버넌스 환경이란 정보공개법 및 공공데이터법에 근거한 C/S/O 등급분류 체계, 국정원 보안성검토 연계 등이다.
N²SF의 대상과 범위를 각급기관의 정보화사업으로 명확히하고 있다는 점에서 보안통제 적용 이후 모니터링과 상시적 판단을 통한 순환고리를 갖는 범용 위험관리 프레임워크로 보기에는 무리가 있다. 오히려 보안성검토시 제출하는 자체보안대책 수립 과정을 표준화하기 위해 위험관리 프레임워크의 일부를 참고해서 개발된 방법론으로 보는 것이 맞겠다.
그러나, 향후 “국가 사이버안보 프레임워크”로 발전하는 것을 골자로 하는 관련 로드맵이 공표된 만큼, 점차 범용 위험관리 프레임워크로 발전할 것으로 기대된다.
미국이 NIST RMF를 2000년대 초반에 시작해서 이제껏 20년 넘게 발전시켜 오고 있다는 점에서 우리는 이제 막 첫발을 뗀 것이니, 과감한 첫 걸음마에 박수를 보내주면 어떨까?
엔키화이트햇은 북한 해킹조직보다 많은 실전 공격TTP와 다양한 산업분야의 실전 침투시험(모의해킹) 노하우를 기반으로, 공격자 관점에서 위협을 식별하고 이를 보안통제 항목으로 자동으로 연계하며 실전 모의해킹을 통해 그 적절성을 평가하는 N²SF 전용 컨설팅 방법론을 갖추고 있으며, N²SF 전반에 걸친 교육·훈련 서비스를 준비하고 있다.
※본 기고문은 2025년 1월 공개된 ‘국가 망 보안체계(N²SF) 보안가이드라인(Draft)’를 기준으로 하나, 자사의 주관적인 관점이 일부 포함되어 있음을 밝힙니다.
