국가정보원은 2025년 9월 국가망보안체계(N2SF)를 공표했다[1]. 2026년 5월 시행을 앞둔 N2SF는 20여 년간 공공부처 보안의 뼈대였던 국가정보통신망 망분리 지침을 대체한다. 핵심은 정보 자산의 중요도에 따라 Critical · Sensitive · Open 3등급으로 차등 보호하는 접근으로의 전환이다. 실무자가 가장 많이 다루고 가장 까다로운 영역이 S(Sensitive) 등급이다. C는 "반입 금지"로 단순하고 O는 "기본 검사"로 빠르다. S만 "원칙적 통제 + 조건부 허용"이라는 이중 요구를 동시에 만족해야 한다. 이 글은 S등급 정의·대상 정보·보안 요구사항·CDR 의무화 구조·공공부처 실사례·FedRAMP/UK/EU 비교·전환 로드맵을 1차 자료로 정리한다.
국정원 기본지침 적용[1]
정보 중요도 기준[2]
2025년 확대 개편[3]
시큐레터 공식 인증[4]
1 N2SF 탄생 배경 — 기존 망분리의 구조적 한계
대한민국 공공부처는 2006년 국가정보통신망 보안지침 이후 20년간 물리적·논리적 망분리를 기본 방어선으로 삼았다. 업무망과 인터넷망을 완전히 분리하고 그 사이에 망연계 시스템(CDS · Cross Domain Solution)을 두는 구조다. 이 접근은 2010년대까지는 유효했지만, 2020년대 들어 세 가지 한계가 드러났다.
한계 1 — 클라우드 전환과의 충돌
정부는 2020년 "디지털 뉴딜"과 함께 공공 클라우드 전환을 가속했다. CSAP(Cloud Security Assurance Program) 인증을 받은 클라우드 서비스가 공공에 보급됐다[5]. 그러나 물리적 망분리와 클라우드의 본질적 공유·연결 모델은 충돌한다. 망분리를 유지하면 클라우드의 이점을 살릴 수 없고, 클라우드를 도입하면 망분리 원칙이 희석된다.
한계 2 — 업무 실제와 괴리
공무원이 실제 업무에서 다루는 파일의 상당수는 외부와의 교환이 필수다. 민원 접수, 계약서 수령, 연구 자료 공유, 한미 공동 프로그램 문서 교환 등. 물리적 분리망 환경에서 이런 교환은 "USB 반입 키오스크"나 "이메일 망연계"를 통해 이뤄졌고, 이는 실제로 공격 경로가 됐다.
한계 3 — 모든 자산 동일 취급의 비효율
기존 망분리는 모든 업무 자산을 동일하게 엄격 보호한다. 공개 가능한 홍보물조차 망연계 절차를 거쳐야 했다. 반대로 진짜 민감한 정책 자료도 같은 절차이므로 보호 자원이 중요도에 비례 배분되지 못했다. N2SF는 이 문제를 정보 자산 등급화로 해결한다.
보안뉴스 2026년 4월 17일 보도[3]에 따르면 국정원은 N2SF를 "망분리 폐지가 아니라 망분리의 진화"로 규정했다. 물리적 분리의 이점은 유지하되, 논리적·콘텐츠 수준의 다층 방어로 확장한다는 의미다. C등급은 여전히 물리적 분리망을, S등급은 콘텐츠 무해화(CDR)를 의무화하는 차등 구조가 핵심이다.
2 C / S / O 3등급 체계 상세
N2SF 가이드라인[2]이 규정하는 3등급의 정의·대상 정보·보호 수준을 표로 정리한다.
| 등급 | 정의 | 대표 대상 정보 | 대표 보호 요구 |
|---|---|---|---|
| C (Critical) | 국가 기밀·준기밀급. 유출 시 국가안보·외교에 중대 영향 | 국가기밀 문서, 군사 작전 정보, 외교 협상 문서, 국가 핵심 인프라 설계서 | 물리적 분리망 유지 · 외부 반입 원칙 금지 · 별도 감사 |
| S (Sensitive) | 민감정보. 유출 시 업무·행정에 상당한 영향, 개인정보·재산권·정책 의사결정 관련 | 정책 초안, 민원 처리 기록, 계약·입찰 서류, 개인정보 집합, 내부 감사 자료 | 반입·반출 통제 · CDR 무해화 의무 · 감사 증적 축적 |
| O (Open) | 공개 가능 정보. 유출 시 업무 영향 제한적 | 보도자료, 공개 홍보물, 공시 정보, 일반 정책 안내 | 기본 보안 검사 · 시그니처 기반 악성코드 탐지 |
등급 분류의 책임 주체
N2SF는 기관별 자율 분류 + 국정원 가이드라인 부합성 검증의 2단 구조다[2]. 같은 문서라도 기관 업무 맥락에 따라 다른 등급이 될 수 있다. 예컨대 국방부의 "병력 배치 계획"은 C, 지자체의 "공원 조성 계획"은 O, 교육부의 "학사 개편안 초안"은 S로 분류되는 식이다. 기관 내 정보보호책임자(CISO)가 분류 기준을 문서화하고 N2SF 심사에서 이를 방어해야 한다.
3 S등급 정의와 대상 정보 — 실무 판정 기준
S등급은 3등급 중 가장 넓은 스펙트럼을 포괄한다. "완전 공개는 아니지만 국가기밀급도 아닌 모든 업무 자산"이 여기에 해당한다. 실무 판정 기준을 세분화하면 다음과 같다.
S등급에 해당하는 7대 범주
- 개인정보 집합 — 주민등록번호·건강정보·금융정보 등 개인정보보호법 적용 대상
- 정책 의사결정 초안 — 공개 전 단계의 정책 문서, 내부 검토 자료
- 민원 처리 기록 — 민원인 개인정보와 처리 경위 포함
- 계약·입찰 서류 — 공공조달·용역 계약의 내부 협상 자료
- 내부 감사 자료 — 감사원·자체감사 결과와 진행 중 자료
- 연구·기술 자료 — 국가R&D 중간 산출물, 한미 공동 프로그램 기술 문서
- 인사·조직 정보 — 공무원 인사기록, 조직개편 계획
S등급 판정의 그레이존
실무에서 가장 논란이 되는 것은 "준공개" 문서다. 예: 공청회 자료 초안, 보도 예정 정책 발표문, 입법예고 중인 법령안 등. 이들은 곧 공개되지만 발표 시점 이전에는 S등급으로 취급해야 한다. 이 "시간축 등급 변경"을 자동화하는 것이 N2SF 운영의 난제 중 하나다.
공공 클라우드 인증 체계인 CSAP도 "상·중·하" 3등급을 가지며, CSAP "중" 등급이 N2SF의 S등급과 대체로 매핑된다[5]. CSAP 중 등급 인증을 받은 SaaS는 S등급 정보 처리가 가능하도록 설계된다. 기관이 S등급 업무에 클라우드를 도입할 때는 CSAP 중 이상 인증 여부를 필수 확인해야 한다.
4 S등급 보안 요구사항 — 반입·반출 통제 8대 요소
N2SF 가이드라인과 NCSC 보안 지침[2]을 종합하면 S등급 영역에 요구되는 보안 통제는 크게 8가지다.
| # | 통제 영역 | 핵심 요구사항 | 주 책임 계층 |
|---|---|---|---|
| 1 | 반입 지점 식별 | 이메일·웹·매체·협업툴 등 모든 외부→S 도메인 경로 식별 및 목록화 | 정책 |
| 2 | 파일 유형 정책 | 허용 포맷 화이트리스트, 비정상 확장자 차단(.exe/.scr/.vbs 등) | CDS · 정책 엔진 |
| 3 | 콘텐츠 무해화 | 매크로·OLE·DDE·스크립트·하이퍼링크 구조적 제거 (CDR) | CDR 엔진 |
| 4 | 정적 분석 | 실행 전 어셈블리 수준 분석, 명시 위협 탐지 시 차단 | MARS류 엔진 |
| 5 | 권한 검증 | 수신자가 해당 S 정보 열람권을 가졌는지 IAM 연계 | IAM |
| 6 | 감사 증적 | 원본/재조립 해시·제거 객체·담당자·시각 자동 로깅 | SIEM · 감사 |
| 7 | 반출 통제 | S 도메인→외부 이동 시 라벨링·승인·DLP | DLP |
| 8 | 사용자 교육 | S등급 문서 취급 교육, 피싱 훈련 정기화 | 인사·보안교육 |
통제 #3 — 콘텐츠 무해화가 S등급의 중심
8가지 통제 중 N2SF가 새롭게 의무화한 핵심은 #3 콘텐츠 무해화(CDR)다. 기존 망분리 체계에서는 "분리"만 요구했지 콘텐츠 수준 처리는 기관 재량이었다. N2SF는 S등급 반입 파일에 대해 "실행 가능 콘텐츠 제거"를 통제항목으로 명시한다[3]. 이것이 CDR 카테고리가 N2SF 대응 솔루션의 필수 구성으로 자리잡은 이유다.
5 CDR이 S등급에서 의무화되는 구조적 근거
왜 S등급에서 CDR이 "있으면 좋은" 수준이 아니라 "구조적으로 필요한" 기술이 되는가. 세 가지 근거가 있다.
근거 1 — 송신자 신뢰도에 의존할 수 없다
S등급 파일은 민원인·계약 상대방·협력 연구자 등 외부의 다양한 주체로부터 온다. 송신자의 선의와 시스템 건강 상태를 매번 검증할 방법이 없다. 공급망 공격은 "신뢰된 송신자의 이메일이 해킹되어 정상 파일에 악성 코드가 삽입"되는 패턴이다. 송신자 평판 기반 방어가 구조적으로 무효화되는 시나리오다. CDR은 송신자와 무관하게 파일 내용을 구조적으로 안전화한다.
근거 2 — 사용자 판단력에 의존할 수 없다
아무리 훈련된 공무원도 "정책 자료 검토 요청" 같은 업무 맥락 미끼를 100% 거부할 수 없다. Kimsuky의 스피어피싱은 정확히 이 지점을 공략한다. 사용자 교육(통제 #8)은 확률을 낮출 뿐, 0으로 만들지 못한다. CDR은 사용자의 "열어볼까 말까" 판단 이전 단계에서 작동한다.
근거 3 — 제로데이와 EOL에 대응할 유일한 구조적 방어
2026년 2월 공개된 CVE-2025-29867은 Hancom Office 2018·2020·2022·2024 4개 제품군 동시 영향의 타입 혼동 취약점이다. 공공기관의 상당수가 EOL 버전(2014·NEO·2010)을 아직 운영하고 있어 패치 자체가 불가능한 경우가 많다. 시그니처 AV는 제로데이에 무력하고 샌드박스는 파일리스·DLL 사이드로딩을 우회당한다. CDR은 취약점 존재 여부와 무관하게 실행 가능 콘텐츠를 구조적으로 제거하므로 EOL 영구 제로데이에 대한 유일한 구조적 방어가 된다.
- Office 매크로 (VBA) — 정책 자료 사칭 XLSM·DOCM 1차 벡터
- OLE 객체 — HWP·DOCX 내부 임베드 실행파일, Operation Artemis 트리거
- JSE·LNK·VBS 스크립트 — 2026.2 Kimsuky HWPX+JSE NUKESPED 주력
- DDE·외부 참조 — 문서가 열릴 때 외부 서버 호출
- 하이퍼링크 자동 호출 — 열람 즉시 페이로드 다운로드
- PostScript·EPS 임베드 — 2013~2014년 ROKRAT 캠페인 벡터, 지금도 유효
6 공공부처 Kimsuky · APT37 실제 공격 사례
S등급 통제가 추상적 규제가 아니라 구체적 방어 요구라는 사실은 최근 5년간 공공부처를 겨냥한 실제 공격 사례들이 증명한다.
사례 1 — 2024.9 Kimsuky 강연의뢰서 HWP+MSC
ASEC 2024년 9월 19일 보고서[6]가 공개한 캠페인. 공공부처·학계 담당자에게 "강연의뢰서" HWP 파일을 MSC(관리콘솔) 파일과 복합 전달. Google Drive 파일 제목에 명령어 인코딩해 삽입. C2는 벨기에 호스팅 도메인 경유. 정상 업무 맥락이라 수신자가 의심하기 어려운 사회공학 설계였다.
사례 2 — 2025.12 Operation Artemis (APT37)
Genians 2025년 12월 공개[7]. 한국 방송작가 사칭 → 기자·학계·정치 전문가에게 인터뷰 요청 → HWP 내부 OLE 객체 악성 삽입 → 하이퍼링크 클릭 → 정상 실행파일 기동 → 악성 DLL 사이드로딩 → 스테가노그래피+XOR RokRAT 은닉 → Yandex Cloud C2. HWP + OLE + DLL 사이드로딩 결합이 처음 확인된 사례다.
사례 3 — 2026.2 Kimsuky HWPX + JSE NUKESPED
Medium 2026년 2월 공개 분석[8]. "위탁교육생·건강검진 안내서" 미끼. RAR 아카이브 → JSE(JScript Encoded) 로더 → Base64 이중 디코딩 → PE 추출 → PowerShell 은닉 실행 → NUKESPED(NFILO) DLL 백도어. 인프라는 AS54113 Fastly CDN 경유, 한국 정부 손상 웹사이트가 페이로드 배포 채널로 악용됐다.
사례 4 — 2026.1 FBI QR 피싱 공식 경고
미국 FBI IC3가 2026년 1월 Kimsuky의 악성 QR 코드 스피어피싱으로 미·한 싱크탱크 공격에 대한 공식 경고를 발령[9]. 한국 기원 APT가 미국 정부 공식 경고 수준에 오른 것은 위협의 국제적 심각성을 보여준다.
Kimsuky·APT37의 공공부처 공격 4건은 표면 기법이 매번 다르지만 구조는 같다 — "정상 업무 맥락 위장 → 실행 가능 콘텐츠 임베드 → 다단계 페이로드 → 장기 잠복". 시그니처 방어는 기법 변화마다 뒤처지고, 사용자 교육은 확률만 낮춘다. S등급 반입 게이트에서 실행 요소를 구조적으로 제거하는 CDR만이 이 공통 구조를 한 지점에서 차단할 수 있다.
38 North 2025년 10월 보고서는 이 현실을 국가 안보 맥락으로 격상시켰다[10]:
"HWP is not just software; it is an attack surface woven into the daily functioning of ROK ministries, contractors, and joint programs. The implications extend beyond domestic cybersecurity — HWP vulnerabilities risk undermining the US-ROK alliance's shared cyber posture."
7 S등급 파일 게이트웨이 아키텍처 — 5단계 표준
S등급 파일이 외부망에서 내부 업무망으로 반입되는 표준 흐름은 5단계다. 각 단계에 대응하는 시큐레터 제품을 함께 표기했다.
반입 경로별 제품 매핑
| 경로 | 적용 제품 | 운영 고려사항 |
|---|---|---|
| 이메일 첨부 | SLE (DISARM 통합) | 메일 게이트에서 실시간 무해화. 악성 메일 분석 평균 12.027초[4]. |
| 웹 업로드 (민원·제출) | SLCDR | WAF 후단에 배치. 업로드 즉시 무해화 후 내부 시스템 저장. |
| 매체 반입 (USB·CD) | SLF | 반입 키오스크에 탑재. 매체 삽입 시 자동 스캔 + 무해화. |
| 위협 인텔리전스 | ConTI | IoC·C2 피드 실시간 반영, Kimsuky·APT37 캠페인 추적. |
8 기존 망분리에서 N2SF로 전환 로드맵
2026년 5월 시행은 "그날부터 모든 기관이 N2SF 완전 전환"을 의미하지 않는다. 국정원과 행정안전부는 단계적 전환 로드맵을 제시한다[1][3]. 기관 규모·업무 성격에 따라 속도가 달라지지만 공통 단계는 다음과 같다.
Phase A · 자산 분류 (2025 Q4 ~ 2026 Q2)
- 기관 보유 정보 자산 전수 조사, C/S/O 판정 기준 수립
- CISO 주도 분류 워크숍, N2SF 심사 방어를 위한 분류 근거 정비
Phase B · 게이트웨이 설계 (2026 Q1 ~ Q3)
- S 도메인 진입·퇴출 경로 식별, 반입 게이트 CDR·CDS 배치 설계
- PoC·BMT 솔루션 선정, 감사 증적 SIEM 연동 아키텍처 확정
Phase C · 시범 운영 (2026 Q2 ~ Q4)
- 선정 솔루션 시범 적용, 업무 영향도 측정·정책 예외 식별
- 담당자 교육 및 SOP 수립, KPI 대시보드 구축
Phase D · 전면 확대 (2026 Q4 ~ 2027)
- 모든 S 반입 경로 CDR 확대, C 도메인 물리적 분리 유지
- O 도메인 경량화로 보호 자원 재배분, N2SF 정식 심사 수검
Phase E · 지속 운영 (2027 이후)
- 위협 인텔리전스 기반 정책 업데이트, 분기별 감사 증적 검토
- 신규 위협(AI 사회공학·QR 피싱 등) 반영, 인접 기관·한미 공동 프로그램 연계 확장
9 비용·일정 추정 — 공개 RFP 사례 기반
N2SF 시행에 맞춰 보안뉴스 2026년 4월 17일 보도[3]는 정보화 예산 대비 정보보호 예산 15% 의무화, 정보보호 인력 10% 의무화 제도화를 전한다. 이 15% 중 상당 비중이 S등급 반입·반출 통제에 배분된다.
도입 일정 공통 패턴
- 요구사항 정의 (6~8주) · 자산 분류 결과 기반 RFP 작성
- PoC·BMT (4~8주) · 복수 솔루션 실환경 검증 (시큐레터 표준 전환 용어)
- 계약·구축 (8~12주) · 게이트웨이 설치·정책 설정·초기 운영
- 시범 운영 (12주+) · 업무 영향도 측정, SOP 정착
인력 10% 의무화 부담을 완화하는 현실적 해법은 "운영 자동화가 가능한 솔루션 선택"이다. 정책 설정·감사 증적·로그 분석이 자동화되면 담당자 1명이 수만 건 처리를 커버할 수 있다. CDR은 악성 여부 판정을 요구하지 않으므로 자동화 친화적이며, 이 점이 인력 의무화 시대에 재평가되고 있다.
10 매트릭스 — C / S / O 등급별 요구사항 비교
| 요구사항 | C (Critical) | S (Sensitive) | O (Open) |
|---|---|---|---|
| 외부 반입 | 원칙 금지 | 조건부 허용 (CDR 의무) | 기본 허용 |
| 물리적 망분리 | 유지 | 선택 (논리적 분리 허용) | 불필요 |
| 콘텐츠 무해화 (CDR) | 반입 자체 금지 | 의무 | 권장 |
| 정적 분석 (MARS류) | 필수 + 별도 감사 | 필수 | 권장 |
| 권한 검증 (IAM) | 다단계 승인 | 업무 권한 기반 | 기본 인증 |
| 감사 증적 | 독립 감사팀 | 자동 로깅 + 정기 감사 | 기본 로그 |
| DLP (반출 통제) | 절대 반출 금지 | 라벨링 + 승인 | 기본 통제 |
| 클라우드 이용 | 사설·물리 분리 | CSAP 중 이상 | CSAP 하 이상 |
| 사용자 교육 | 특별 인가자 교육 | 연 2회 이상 | 연 1회 이상 |
11 해외 분류체계 비교 — FedRAMP · UK GSC · EU TLP
국가 단위 정보 분류 체계는 한국만의 것이 아니다. 미국·영국·EU는 각기 다른 프레임을 운영한다. N2SF S등급을 국제 맥락에서 이해하기 위한 비교표다.
| 체계 | 주관 | 등급 | S등급 대응 | CDR 관련 요구 |
|---|---|---|---|---|
| 한국 N2SF | 국정원[1] | C / S / O 3단계 | Sensitive | 반입 시 콘텐츠 무해화 의무 |
| US FedRAMP | GSA·NIST[11] | Low / Moderate / High | FedRAMP High | NIST SP 800-171 기반 콘텐츠 통제, CDS 가이드라인 |
| UK GSC | NCSC·Cabinet Office[12] | OFFICIAL / OFFICIAL-SENSITIVE / SECRET / TOP SECRET | OFFICIAL-SENSITIVE | NCSC 문서 처리 지침 (실행 콘텐츠 통제) |
| EU TLP | ENISA[13] | CLEAR / GREEN / AMBER / RED | TLP:AMBER·RED | CSIRT 공유 시 콘텐츠 보안 요구 |
| US NIST SP 800-171 | NIST[14] | CUI (Controlled Unclassified Information) | CUI 전반 | 110개 통제항목, 콘텐츠 보안 포함 |
국제 비교 인사이트
네 체계 모두 "기밀도 아니지만 공개도 아닌 중간 등급"을 핵심으로 다룬다는 공통점이 있다. 미국의 FedRAMP High·CUI, 영국의 OFFICIAL-SENSITIVE, EU의 TLP:AMBER가 한국 N2SF의 S등급과 기능적으로 대응한다. 그러나 구체적 통제는 국가별로 상이하며, 한국 N2SF는 "콘텐츠 무해화(CDR) 의무화를 명시"한 점에서 상대적으로 구체적이다. 이것은 한국 공공부처가 HWP·HWPX 포맷 공격에 장기간 노출된 경험이 반영된 결과로 해석된다.
FedRAMP High는 클라우드 서비스의 통제 수준을 규정하는 체계이고, N2SF S등급은 정보 자산의 분류 체계다. 둘은 층위가 다르지만 "연방 정부의 중요 정보를 보호하는 클라우드 서비스가 충족해야 할 기준"이라는 점에서 실무 목적은 겹친다. 한국 공공기관이 미국 클라우드 서비스를 활용할 때 FedRAMP High 인증은 S등급 호환성의 참고 지표가 된다.
12 4종 제품 적용 매핑 — SLF · SLE · SLCDR · ConTI
시큐레터 4종 제품은 N2SF S등급 통제 8대 요소에 다음과 같이 매핑된다. 기관별 구성은 업무 특성과 트래픽 구조에 따라 조정된다.
| 제품 | 주 역할 | S등급 통제 매핑 | 대표 적용 시나리오 |
|---|---|---|---|
| SLF (SecuLetter File) | 파일 보안 · 게이트웨이 | 통제 #1·#3·#4 (반입 지점·콘텐츠 무해화·정적 분석) | 망간 파일 반입, USB 키오스크, 협업툴 게이트 |
| SLE (SecuLetter Email) | 이메일 보안 · DISARM 통합 | 통제 #1·#3·#4·#6 (이메일 반입·무해화·분석·감사) | 공공기관 메일 게이트웨이, 민원 이메일 수신 |
| SLCDR (SecuLetter CDR) | 웹 콘텐츠 CDR | 통제 #2·#3·#6 (파일 유형·무해화·감사) | 민원 포털, 웹 업로드, 협업 SaaS 연계 |
| ConTI (Content Threat Intelligence) | 위협 인텔리전스 | 통제 #4·#6 (정적 분석 고도화·감사 인텔) | Kimsuky·APT37 IoC 실시간 반영, C2 도메인 차단 |
공통 기반 — MARS 엔진
4종 제품은 모두 MARS 엔진을 공통 분석 기반으로 공유한다. MARS는 자동화된 리버스엔지니어링 기반 악성코드 탐지·진단·분석·차단 엔진으로, 플랫폼 버전에 무관하게 탐지하는 구조를 갖는다. 공통 코어를 통해 로그 포맷 통일·정책 일관성·장애 대응 단순화의 이점이 확보된다.
13 실무 체크리스트 — S등급 전환 준비도
- 자산 분류 기준 문서화C/S/O 판정 기준을 기관 내규로 명문화
- S 도메인 경계 식별반입·반출 경로 전수 조사, 섀도우 경로 탐지
- 이메일 게이트 CDR 배치SLE + DISARM으로 첨부 실시간 무해화
- 웹 업로드 CDR 배치SLCDR을 민원 포털 WAF 후단에 설치
- 매체 반입 무해화USB 키오스크에 SLF 탑재, 매체 자동 스캔
- MARS 엔진 정적 분석 연동리버스엔지니어링 기반 탐지 + CDR 조합
- 감사 증적 자동 로깅원본 해시·재조립 해시·처리 시각·담당자 ID
- 정책 예외 최소화서명된 매크로·화이트리스트만 허용, 감사 방어 가능 수준
- ConTI 위협 피드 연계Kimsuky·APT37 IoC 실시간 반영
- SOP 수립 + 담당자 교육정책 관리·운영·감사 3역할 분담 명시
- KPI 대시보드 구축반입 건수·무해화 성공률·지연·제거 객체 통계·증적 완결성
- 사용자 피싱 훈련 정기화연 2회 이상 S등급 담당자 모의훈련
- N2SF 심사 대응 준비분류 근거·통제 이행 증적 정비
- 지속 운영 체계분기별 정책 업데이트, 신규 위협 반영
14 자주 묻는 질문 (FAQ)
✓ 결론 — S등급은 N2SF의 실무 무게중심
N2SF 3등급 체계에서 C는 "반입 금지"로 설계가 단순하고 O는 "기본 검사"로 빠르다. 문제는 S다. "원칙적 통제 + 업무 필요 시 조건부 허용"이라는 이중 요구를 동시에 만족해야 하는 S등급이 전체 설계의 무게중심이다. 기관이 일상적으로 가장 많이 처리하는 정책 초안·민원 기록·계약 서류·연구 자료가 모두 여기에 속하고, Kimsuky·APT37의 공공부처 공격 대부분도 이 영역을 노린다.
S등급 통제 8대 요소 중 N2SF가 새롭게 의무화한 핵심이 콘텐츠 무해화(CDR)다. 송신자 신뢰도에 의존할 수 없고, 사용자 판단력에 의존할 수 없으며, 제로데이·EOL 취약점에 대한 유일한 구조적 방어이기 때문이다. 2024.9 Kimsuky 강연의뢰서, 2025.12 Operation Artemis, 2026.2 HWPX+JSE NUKESPED, 2026.1 FBI QR 피싱 경고까지 — 기법은 매년 새롭지만 공통 구조는 "정상 업무 맥락 위장 → 실행 가능 콘텐츠 임베드 → 다단계 페이로드"다. CDR은 이 공통 구조를 한 지점에서 구조적으로 차단한다.
해외 비교에서도 한국 N2SF는 "콘텐츠 무해화를 명시 통제항목으로 요구"하는 상대적으로 구체적인 체계다. FedRAMP High·UK OFFICIAL-SENSITIVE·EU TLP:AMBER가 기능적으로 대응하지만, 한국은 HWP·HWPX 포맷 공격 경험이 반영돼 콘텐츠 층위를 더 명시적으로 다룬다. 2026년 5월 시행일은 D-day가 아니라 정식 이행의 시작점이며, 기관별 전환 로드맵(Phase A~E)을 따라 자산 분류→게이트웨이 설계→시범 운영→전면 확대→지속 운영의 흐름을 밟는 것이 현실적이다. SLF·SLE·SLCDR·ConTI 4종 제품은 S등급 8대 통제에 체계적으로 매핑되며, 공통 MARS 엔진을 통해 로그·정책·장애 대응의 일관성을 제공한다.
귀 기관 N2SF S등급 전환 준비도 진단
자산 분류 워크숍 · S 도메인 반입 경로 식별 · CDR 적용 지점 설계 · 감사 증적 자동화 · 2026.5 시행 준비도 평가까지 통합 지원. 공공기관 PoC·BMT는 별도 협의로 진행합니다.
S등급 전환 진단 신청 → 중앙·지자체·공공기관·한미 공동 프로그램 맞춤- 연합뉴스, 국정원, 망분리 폐지…N2SF 보안체계 5월 시행, 2026.04.17 — yna.co.kr.
- 국가사이버안보센터(NCSC), 국가 망 보안체계(N2SF) 보안 가이드라인, 2025 — ncsc.go.kr.
- 보안뉴스, N2SF 보안 정책 제도화 — 국가사이버보안 기본지침 5월 시행, 2026.04.17 — boannews.com. ZDNet: N2SF 176→260 통제항목 확대.
- SecuLetter Inc., Ensecure v2 · DISARM Solution Introduction KO, 2025 (34ms 무해화 · 12.027s 메일분석 · 309 formats · KISA 100% · Gartner 40 global vendors 근거).
- 한국인터넷진흥원(KISA), Cloud Security Assurance Program(CSAP) 등급제 안내, 2024 — isms.kisa.or.kr. KISA N2SF 실증 사례집(2026.04): kisa.or.kr.
- ASEC (AhnLab Security Emergency response Center), 강연의뢰서로 위장한 Kimsuky 그룹 악성코드 (MSC·HWP), 2024.9.19 — asec.ahnlab.com.
- Genians 시큐리티센터, Operation Artemis — APT37 HWP + OLE + DLL 사이드로딩, 2025.12 — genians.co.kr. 연합뉴스: yna.co.kr.
- Shubho57, Analysis of a JSE File — Kimsuky APT HWPX+JSE NUKESPED, Medium 2026.2 — medium.com.
- FBI Internet Crime Complaint Center, Kimsuky QR 코드 스피어피싱 공식 경고, 2026.1.8 — ic3.gov. The Hacker News: thehackernews.com.
- 38 North, HWP as an Attack Surface — What Hancom's Hangul Word Processor Means for South Korea's Cyber Posture as a US Ally, 2025.10 — 38north.org.
- FedRAMP Program Management Office, FedRAMP Security Controls Baseline — High, Moderate, Low, GSA/NIST — fedramp.gov.
- UK National Cyber Security Centre (NCSC), Government Security Classifications (GSC) Policy, Cabinet Office — gov.uk.
- European Union Agency for Cybersecurity (ENISA), Traffic Light Protocol (TLP) for Information Sharing — enisa.europa.eu. FIRST TLP v2.0: first.org/tlp.
- NIST, SP 800-171 Rev.3 — Protecting Controlled Unclassified Information in Nonfederal Systems, 2024 — csrc.nist.gov.
- 행정안전부, 디지털플랫폼정부 구현을 위한 공공부문 정보보호 추진계획, 2024 — mois.go.kr.
- 금융위원회, 금융분야 망분리 규제 합리화 방안, 2024 — fsc.go.kr.
- SecuLetter, MARS Platform · File Security Technology — seculetter.com.
- MITRE ATT&CK, G0094 Kimsuky · G0067 APT37 — attack.mitre.org/groups/G0094, G0067.
- Zscaler ThreatLabz, Unintentional Leak — APT37 Attack Vectors (HWP · CHM · HTA · XLL) — zscaler.com.
- CISA (Cybersecurity and Infrastructure Security Agency), Cross Domain Solution (CDS) Guidance — cisa.gov.
- Logpresso, 2025 North Korea Attack Analysis, 2026.1.14 — logpresso.com.
- NVD, CVE-2025-29867 Hancom Office Type Confusion, 2026.2.4 — nvd.nist.gov.
공공·N2SF 실무 검토가 필요하신가요?
시큐레터 보안연구팀이 현재 환경을 함께 검토합니다. 기밀 유지 보장, 비용 없음.