국가정보원(NIS)이 공공기관 정보화 사업에서 국가망 보안체계(N2SF, 정부 기관의 네트워크 보안 기준 체계)가 제대로 반영되지 않은 문제를 공식 확인하고, 사업 기획·예산 요구 단계부터 보안 대책을 의무적으로 포함시키는 절차를 마련 중이라고 밝혔습니다. 또한 PC에 설치되는 플러그인 소프트웨어가 취약점 패치 전까지 지속 노출되어 해킹 사고로 이어진다는 문제를 지적하며, 공공분야부터 설치형 소프트웨어를 최소화하고 브라우저 기반·클라우드 기반 공동인증서 방식으로 전환을 추진한다고 설명했습니다. 이 외에도 AI 보안, 소프트웨어 공급망 보안, 양자내성암호(기존 컴퓨터와 양자 컴퓨터 모두의 공격에 견디는 암호 기술) 전환 등 다양한 정책 방향이 함께 소개됐습니다.
공공기관이 정보화 사업을 추진할 때 N2SF(국가망 보안체계) 반영이 미흡한 사실이 국정원에 의해 공식 확인됐다. 2025년 9월 전면 시행된 정책임에도 사업 공모 단계에서 누락된 사례가 다수 발견됐다.
보안 대책이 사업 개발 완료 후에야 추가되면서 효율성과 안전성이 저하되고 있으며, 설치형 플러그인 소프트웨어의 취약점은 패치 전까지 해킹 경로로 계속 노출된다.
기획·예산 요구 단계에서 N2SF를 반영하도록 강제하는 세부 절차나 지침이 부재했으며, 플러그인 소프트웨어의 특성상 사용자가 삭제하지 않으면 취약 버전이 장기간 유지된다.
NIA를 중심으로 산·학·연·관 TF를 구성해 기획·예산 단계부터 보안 대책을 명시 반영하는 절차를 수립 중이다. 설치형 소프트웨어는 공공분야부터 최소화 정책을 시행하고, 10월 중 전 기관에 브라우저·클라우드 기반 공동인증서 방식 전환을 요청할 예정이다.
공공 IT 사업을 발주하거나 참여하는 기관은 기획·공모 단계 문서에 N2SF 준수 항목을 명시적으로 포함해야 한다. 공공 웹서비스 운영 기관은 플러그인 배포 최소화 방향으로 인증 체계 전환을 준비할 필요가 있다.
본문
가
가
기사의 본문 내용은 이 글자크기로 변경됩니다.
댓글
"각 기관의 정보화 사업에 국가망 보안체계(N2SF) 반영이 미흡했음이 확인됐습니다. 기획과 예산 요구 단계부터 반영될 수 있도록 세부 절차를 수립 중입니다."
국정원 관계자는 17일 서울 삼성동 코엑스에서 열린 '사이버 서밋 코리아 2026'(CSK 2026)의 '국가 사이버안보 정책을 소개합니다'라는 주제로 발표하며 이같이 밝혔다.
▲이종석 국정원장이 CSK 2026에서 개회사를 하고 있다. [출처: 보안뉴스]
NIA 중심으로 TF 구성… N2SF 반영 명시화
이 자리에서 국정원 관계자는 "2025년 9월 N2SF 정책을 전면 시행했음에도 불구하고 각 기관이 정보화 사업을 추진할 때 N2SF 반영이 미흡한 부분이 확인됐다"며 "한국지능정보사회진흥원(NIA)를 중심으로 산·학·연·관의 보안 전문가 TF를 구성해서 대규모 정보화 사업의 기획 예산 요구 단계부터 보안 대책을 명시적으로 반영하도록 세부절차를 수립 중"이라고 밝혔다.
일례로 <보안뉴스>는 4월 발표된 '공공 병원정보시스템(HIS) AI 클라우드 개발 검증 지원 사업' 공모에 N2SF 준수에 대한 내용이 반영돼 있지 않아 논란이 됐다고 보도한 바 있다. 당시 보안 업계 및 학계 전문가들은 "개발 후 N2SF가 별도로 추가되는 것보다 기획 단계부터 내재화돼야 효율과 안전성이 더 뛰어나다"며 의견을 전달했다.
국정원 관계자는 "정보서비스의 구축이나 취업 결국 공식 서비스 오픈하는 단계까지 보안대책을 추적 점검할 수 있는 관리할 수 있는 일종의 절차를 지금 만들고 있다"며 "이 절차가 만들어지면 정보화 사업 예산 관련 규정이나 지침에 반영할 예정"이라고 말했다.
이어 "예산, 세부 지침 관련 각각의 규정이나 지침에 N2SF 기반의 보안 대책을 반드시 반영할 수 있게끔 전체적으로 지침을 강화할 것"이라고 밝혔다.
"설치형 SW 대책 마련 중... 최소화 추진"
'설치형 소프트웨어' 최소화 추진 계획도 공유됐다.
국정원 관계자는 "PC에 플러그인으로 설치되는 소프트웨어들이 한 번 설치가 되면 사용자가 삭제하기 전까지는 그대로 유지가 되는데, 취약점이 나오면 신규 버전으로 교체되기 전까지는 계속 그 취약점이 노출돼 해킹 사고가 지속 발생한다"며 "그래서 과기정통부와 한국인터넷진흥원, 공동인증서 발급기관과 협업해 기술적 대책을 마련하고 있다"고 했다.
플러그인 방식 소프트웨어와 공동인증서 방식 대신 클라우드에 저장하는 방식, 브라우저 방식 인증서 등의 대책을 마련하고 있다는 설명이다.
국정원 관계자는 "우선 공공분야에 대해서는 공동인증서형 플러그인부터 최소화 정책을 시행할 예정"이라며 "올해 10월 공동인증서 인증체계 구축 절차 및 유의사항 안내를 하고, 공공부문 웹 서비스에 설치형 소프트웨어 배포 최소화를 요청하는 공문을 전 기관에 배포해 브라우저 공동 인증서 방식이나 클라우드 기반 공동 인증서 방식을 채택하게끔 협조를 구할 방침"이라고 말했다.
국정원 관계자는 이 외에도 △AI보안 정책 △국가 클라우드 보안정책 개편 방향 △소프트웨어 공급망 보안 △주요 정보통신기반시설 보호 △양자내성암호 전환 촉진 △사이버보안 실태평가 강화 등의 정책들을 소개했다.
그는 "보이지 않는 보안이 보이는 신뢰를 만든다"며 "국정원은 지속적으로 자주 보안 정책을 개선할 예정"이라고 강조했다.
국가정보원과 국가보안기술연구소가 공동 주최한 CSK 2026은 '글로벌 사이버안보를 위한 한발 앞선 노력 : 연결된 세상, 함께하는 보안'을 주제로 전 세계가 사이버 위협에 공동으로 대응하여 안전한 사이버 공간을 만들어가기 위해 마련됐다.
이종석 국가정보원장은 개회사에서 "초국가적으로 연결된 사이버 세상은 혁신과 성장의 기반인 동시에 위협의 통로가 되고 있고, 특히 최근 고성능 AI 출현으로 위협 수준이 높아졌다"고 말했다.
이어 "위협에 맞선 사이버보안은 전 세계가 연결된 공통언어로서 모두가 함께 지켜야 올바르게 작동할 수 있다"며 "사이버 세상의 연결을 어떻게 안전하게 만들 수 있을지 해답을 함께 찾아가는 자리가 되기를 바란다"고 말했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
