핵심 POINT
공공 클라우드 보안인증이 국정원 단일 검증체계로 전환되면 N2SF(국가망 보안체계)의 C·S·O 등급에 따라 허용되는 클라우드 형태, 분리 요건, 암호화 기준이 달라집니다. 시행 시기는 이르면 2027년 하반기로 검토 중이며 아직 확정되지 않았습니다.
개편안에 따르면 C등급은 기관 시설 내 민관협력형 클라우드(PPP)만 허용됩니다. S등급은 데이터 시스템에 전용 하드웨어를 적용해야 하고, O등급은 논리적 분리만으로 민간 클라우드를 이용할 수 있습니다.
SK쉴더스는 다양한 CSP(클라우드 서비스 제공자) 환경에서 컨설팅부터 구축, 운영, 관제까지 클라우드 보안 전 단계를 지원합니다. 기업의 향후 계획에 맞는 맞춤형 보안 전략도 제안합니다.
CSAP에서 N2SF로, 공공 클라우드 등급별 보안 요건 비교(C·S·O)
공공 클라우드 보안인증 체계가 전면 개편될 예정입니다. 과기정통부의 CSAP 인증과 국정원 보안검증으로 나뉘어 있던 구조가 국정원 단일 검증체계로 통합됩니다. 기존 상·중·하 등급제도 N2SF(국가망 보안체계)의 C·S·O 등급으로 바뀔 예정입니다.
2026년 9월 국정원은 사이버 서밋 코리아 2026(CSK 2026)에서 등급별로 허용되는 클라우드 형태와 보안 요건의 구체적인 윤곽을 공개했습니다. 시행 시기는 아직 확정되지 않았습니다. 국정원은 개정안 시행 후 약 1년의 유예기간을 두고, 이르면 2027년 하반기부터 새 제도를 적용하는 방안을 검토하고 있습니다.
가장 주의 깊게 살펴야 할 부분은 N2SF 등급별 보안 요건의 차이입니다. C·S·O 등급에 따라 이용할 수 있는 클라우드 형태, 물리적·논리적 분리 수준, 데이터 저장 위치, 암호화 기준, IT 장비 요건이 달라지기 때문입니다. 동일한 클라우드 서비스라도 다루는 데이터의 등급에 따라 충족해야 할 보안 요건이 달라집니다.
이 글에서는 개편의 기본 방향을 간단히 짚은 뒤, N2SF 등급별 클라우드 형태와 보안 요건의 차이를 비교하고, 기업이 지금 준비해야 할 실무 사항을 정리합니다.
■ 공공 클라우드 보안검증 개편 방향과 최근 구체화된 사항은?
출처: Magnific
2026년 4월 과기정통부와 국정원이 공동 발표한 개편안의 핵심은 크게 두 가지입니다. 이중 검증 구조의 국정원 단일화와 CSAP 공통 보안요건의 ISMS(정보보호 관리체계) 통합입니다. 등급 체계는 전면 재검토하고 N2SF와 정합성을 맞추기로 했습니다.
▶ CSAP 개편, 2027년부터 무엇이 달라질까? SaaS 기업과 CSP 대응 전략
검증 절차는 CSAP 인증과 국정원 보안검증을 별도로 거치던 이중 구조에서, 국정원 중심의 단일 검증체계로 일원화됩니다. CSAP의 관리적·물리적·기술적 보호조치(별표 1~3)는 ISMS에 클라우드 보안 모듈 형태로 통합되어 자율 인증으로 운영됩니다. 기존 CSAP 인증은 남은 유효기간까지 인정될 예정입니다.
2026년 9월 CSK 2026 행사에서 국정원은 이 방향의 세부 기준을 추가로 공개했습니다. 등급별 이용 가능 클라우드 형태와 분리 요건, 암호화 및 IT 장비 기준, 데이터 저장 위치 요건, 보안검증 예외 규정 등이 구체화되었습니다. 국정원은 개정안 시행 후 약 1년의 유예기간을 두는 방안을 검토 중이며, 산업계 의견을 듣고 있습니다. 또한 산·학·연 전문가로 구성된 ‘민관 검증심의위원회’를 운영해 검증 결과의 공정성을 확보할 계획입니다.
■ N2SF 등급별 클라우드 형태와 보안 요건 비교
N2SF 체계에서 공공기관의 업무·데이터는 기밀(C), 민감(S), 공개(O) 세 등급으로 분류됩니다. 등급에 따라 데이터의 저장·처리에 사용할 수 있는 클라우드 형태와 물리적·논리적 분리 수준이 달라집니다.
2026년 9월 국정원이 CSK 2026에서 발표한 공공 클라우드 보안 정책 개편 방향에 따르면, 각 등급에서 허용되는 클라우드 형태와 보안 요건은 다음과 같습니다.
| 구분 | C (기밀) | S (민감) | O (공개) |
|---|---|---|---|
| 정보 성격 | 안보·국방·외교·수사 등 기밀성이 높은 정보 | 공개 시 개인·국가 이익 침해 우려가 있는 정보 | 공개 가능 정보 또는 일반 공공데이터 |
| 허용 클라우드 형태 | 기관 물리적 통제 시설 내 민관협력형 클라우드(PPP) | 공공 전용 데이터 시스템을 갖춘 외부 민간 클라우드 | 민간 인프라와 논리적으로 분리된 외부 민간 클라우드 |
| 분리 요건 | 기관 물리적 통제 시설 내 구축 | 데이터 시스템에 전용 하드웨어 적용 (물리적 분리) | 논리적 분리 |
| 데이터 저장 위치 | 기관 시설 내 구축 | 국내 | 국내 |
| 운영관리 시스템·인력 | 세부 기준 미공개 | 보완 대책 마련 시 국외 허용 검토 중 | 보완 대책 마련 시 국외 허용 검토 중 |
| 암호화 기준 | 세부 기준 미공개 | KCMVP(국정원 암호모듈검증) 또는 AES(고급 암호화 표준) 등 국제 표준 암호 | KCMVP 또는 AES 등 국제 표준 암호 |
| IT 장비 기준 | 세부 기준 미공개 | CC(국제공통평가기준) 인증 등 안전성 확인 장비 허용 | CC인증 등 안전성 확인 장비 허용 |
* 위 내용은 2026년 9월 CSK 2026에서 국정원이 발표한 개편방향 기준이며, 세부 사항은 향후 확정될 수 있습니다.
■ 등급별 핵심 차이와 기업이 주목해야 할 포인트
출처: Magnific
1) C(기밀) 등급: 기관 시설 내 민관협력형 클라우드
C등급 정보는 안보·국방·외교·수사 등 기밀성이 가장 높은 데이터를 다룹니다. 이 등급에서는 기관의 물리적 통제 시설 안에 클라우드 사업자의 장비를 구축합니다. 민간 사업자가 운영하는 민관협력형 클라우드(PPP, Public-Private Partnership) 형태만 허용됩니다.
2) S(민감) 등급: 데이터 시스템의 물리적 분리
S등급은 공개될 경우 개인이나 국가의 이익을 침해할 우려가 있는 정보를 다룹니다. 외부 민간 클라우드의 이용이 가능하지만, 공공 데이터를 처리하는 데이터 시스템은 공공 전용으로 구성해야 합니다.
주목할 점은 분리 요건입니다. 전체 인프라를 물리적으로 분리하는 대신, 공공 데이터를 생성·처리·저장하는 ‘데이터 시스템’에 전용 하드웨어를 적용하는 방안입니다. 기존의 전면적 물리 분리 요건보다 완화되는 방향이지만, 데이터가 실제로 처리되고 저장되는 핵심 시스템은 여전히 물리적 수준의 격리를 요구합니다.
암호화 기준에서도 변화가 있습니다. 기존에는 국정원 암호모듈검증(KCMVP) 통과 제품만 사용할 수 있었으나, S등급에서는 AES 등 국제 표준 암호도 사용할 수 있도록 하는 방안입니다. IT 장비도 보안적합성 검증 제품 외에 국제공통평가기준(CC) 인증 등을 받은 장비까지 활용 범위가 넓어집니다.
데이터 시스템은 국내에 위치해야 하지만, 운영관리 시스템과 운영 인력은 보완 대책을 마련하는 조건으로 국외에 둘 수 있는 방안이 검토되고 있습니다.
3) O(공개) 등급: 논리적 분리로 민간 클라우드 이용
O등급은 공개 가능한 정보나 일반 공공데이터를 다룹니다. 외부 민간 클라우드의 이용이 가능하며, 민간 시스템과 논리적으로 분리하면 서비스를 수용할 수 있습니다. 물리적 분리 대신 논리적 분리만으로 충분합니다.
암호화 기준과 IT 장비 요건은 S등급과 동일하게 국제 표준 암호와 CC인증 장비가 허용됩니다. 데이터 저장은 국내가 원칙이며, 운영관리 시스템은 S등급과 같은 조건으로 국외 배치가 검토되고 있습니다.
■ 보안검증 예외 규정과 생성형 AI 관련 기준
국정원은 신기술 도입을 위한 예외 규정도 함께 발표했습니다. 공개 정보만 처리하는 국내외 상용 생성형 AI 서비스와 이에 기반한 서비스는 보안검증 대상에서 제외할 수 있습니다. 다만 민감 또는 기밀 정보를 처리하는 생성형 AI는 검증 대상에서 제외되지 않습니다. 정보 등급과 서비스 목적에 따라 예외 여부가 달라집니다.
의료용 로봇팔과 순찰용 로봇개처럼 특정 장비에 종속된 클라우드도 예외 대상입니다. 국제회의, 연구협력, 교육·연구기관의 실험처럼 외부 클라우드 이용이 불가피한 경우에도 예외를 허용합니다.
생성형 AI를 공공 서비스에 활용하는 기업이라면, 자사 서비스가 처리하는 데이터의 등급을 먼저 확인해야 합니다. 공개 등급 데이터만 처리하는 서비스라면 예외 적용을 검토할 수 있지만, 민감 이상의 데이터가 포함되는 경우에는 보안검증 대상에 해당합니다.
■ 기업이 지금 확인하고 준비해야 할 실무 사항
출처: Magnific
먼저 자사 서비스가 다루게 될 데이터의 등급을 파악하고, 그 등급의 클라우드 형태와 보안 요건에 맞는 아키텍처를 갖추고 있는지 점검해야 합니다. 글로벌 CSP의 인프라를 활용하는 경우에는 데이터 시스템이 국내에 위치하는지 확인해야 합니다.
S·O등급에서 국제 표준 암호(AES 등)와 CC인증 장비를 쓸 수 있게 되면, 기존에 KCMVP 검증 제품과 보안적합성 검증 제품만으로 구성하던 환경에도 변화가 생깁니다. 자사 서비스에 적용된 암호화 모듈과 IT 장비가 새 기준에 맞는지 미리 확인할 필요가 있습니다.
CSAP 공통 보안요건은 ISMS에 통합되어 자율 인증으로 운영되며, 국정원은 ISMS-P 등 유사 인증과 중복되는 검증 항목을 면제할 방침입니다. 공공시장 진출을 준비하는 기업은 ISMS 인증 보유 여부를 확인하고 준비 일정을 검토할 필요가 있습니다.
■ 클라우드 보안 인증 준비를 위한 SK쉴더스 지원
N2SF 등급별 보안 요건은 단순히 인증 항목이 바뀌는 것이 아닙니다. 서비스 아키텍처 설계부터 데이터 분류, 분리 구조, 암호화, 장비 선정, 운영 체계까지 클라우드 보안 체계 전반을 재점검해야 하는 변화입니다. 등급에 따라 요구되는 기술적 조건이 다르고 기업마다 보유한 인프라와 인증 현황도 다르므로, 획일적인 대응이 아닌 맞춤형 보안 전략이 필요합니다.
SK쉴더스는 다양한 CSP 환경에서 축적한 클라우드 보안 컨설팅 경험을 바탕으로 단계별 지원을 제공합니다. 기업의 인증 준비 현황 진단과 N2SF 등급별 보안 요건 분석, 갭(Gap) 진단에서 시작해 클라우드 보안 아키텍처 설계, 취약점 진단 및 개선, 보안 관제 체계 수립까지 지원합니다. SK쉴더스의 표준 클라우드 보안 프레임워크는 컨설팅부터 보안 솔루션 구축, 관제, 운영까지 전 단계를 포괄합니다.
맞춤형 클라우드 보안 전략이 필요하시다면, SK쉴더스의 클라우드 보안 서비스를 확인해 보시기 바랍니다.
■ 자주 묻는 질문 (FAQ)
Q1. N2SF의 C·S·O 등급은 기존 CSAP 상·중·하 등급과 무엇이 다른가요?
A. CSAP의 상·중·하 등급제는 폐지되고 N2SF의 C·S·O 등급 기준으로 개편될 예정입니다. 기존 CSAP에서는 상·중등급에 물리적 망분리를, 하등급에는 논리적 망분리를 허용했습니다. 개편안은 N2SF에 따라 C·S·O로 분류한 공공기관의 업무·데이터에 맞춰 사용할 수 있는 클라우드 형태와 물리적·논리적 분리 수준을 다르게 적용하는 것이 핵심입니다.
Q2. S등급과 O등급의 가장 큰 차이는 무엇인가요?
A. 가장 큰 차이는 분리 요건입니다. S등급은 공공 데이터를 처리·저장하는 데이터 시스템에 전용 하드웨어를 적용하는 물리적 분리가 필요합니다. O등급은 민간 인프라와 논리적으로 분리된 환경이면 됩니다. 허용되는 클라우드 형태도 다릅니다. S등급은 공공 전용 데이터 시스템을 갖춘 외부 민간 클라우드를, O등급은 민간 시스템과 논리적으로 분리된 외부 민간 클라우드까지 수용할 수 있습니다.
Q3. S·O등급에서 국제 표준 암호를 사용할 수 있다는 것은 무엇을 의미하나요?
A. 기존에는 공공 영역의 암호화에 국정원 암호모듈검증(KCMVP)을 통과한 제품만 사용할 수 있었습니다. 개편안에 따르면 S·O등급에서는 AES 등 국제 표준 암호의 사용도 허용됩니다. 다만 세부 적용 기준은 향후 공개될 검증 안내서와 보안기준 해설서를 통해 확인해야 합니다.
Q4. 생성형 AI 서비스는 보안검증을 받지 않아도 되나요?
A. 공개 정보만 처리하는 상용 생성형 AI 서비스는 보안검증 예외 대상으로 지정될 수 있습니다. 하지만 민감 또는 기밀 정보를 처리하는 생성형 AI는 여전히 검증 대상입니다. 자사 서비스가 처리하는 데이터의 등급과 서비스 목적에 따라 예외 여부가 달라지므로, 데이터 등급 분류를 먼저 확인해야 합니다.
Q5. 세부 검증 항목과 절차는 언제 확정되나요?
A. 등급별 이용 가능 클라우드 형태와 보안 요건의 큰 방향은 공개되었지만, 세부 검증 항목과 절차는 향후 검증 안내서와 보안기준 해설서를 통해 구체화될 예정입니다. 국정원은 한국지능정보사회진흥원(NIA)을 중심으로 산·학·연·관 전문가가 참여하는 태스크포스(TF)를 구성해 구축부터 서비스 개통까지의 세부 절차를 마련할 계획입니다. 한국정보보호산업협회(KISIA)와 함께 보안통제 항목별 기술 가이드도 준비하고 있습니다.
[콘텐츠 내용 출처]
• 공공클라우드 인증, 국정원으로 단일화...CSAP 10년만에 해체
• 공공 클라우드 보안, 국정원 ‘단일 검증체계’로…민간 인증은 ISMS 통합 - 이투데이
• 공공 클라우드 ‘보안 이중 규제’ 끝…내년부터 국정원으로 일원화
• [심층리포트] 공공 클라우드 보안 판 바뀐다…CSAP 해체·국정원 검증 일원화 및 N2SF 완벽 해설
• 공공 클라우드 보안인증(CSAP) 체계 개편과 SaaS 기업 대응 전략 > 정책/제도 | SaaS 전환지원센터
• CSAP에서 N2SF로? 공공 클라우드 보안 인증 개편 핵심 정리
