- 정부가 2006년부터 유지해 온 획일적인 물리적 망분리 규제를 폐지하고, 데이터를 중요도에 따라 C, S, O 등급으로 분류하는 국가망 보안체계(N²SF)를 도입합니다.
- 이는 망이 단절된 상태에서는 국가와 기업의 생존이 걸린 AI와 클라우드 기술을 제대로 활용할 수 없다는 현실적 위기감에서 비롯된 불가피한 전환입니다.
- 규제 완화로 공공 전산망의 민간 클라우드 이전과 새로운 보안 시장이 열리는 한편, 정부의 침해사고 직권 조사 권한이 대폭 강화되어 기업의 자체 보안 역량은 더욱 중요해졌습니다.
여러분, 회사나 공공기관에서 일하실 때 업무용 PC와 인터넷용 PC, 이렇게 컴퓨터 두 대를 써보신 적 있으신가요? 정부가 2006년부터 무려 20년 가까이 유지해 온 이른바 '망분리' 정책이 마침내 전면 개편됩니다. 그동안 우리는 외부의 해킹 공격을 막기 위해 아예 인터넷으로 통하는 다리를 끊어버리는 가장 원초적이고 화끈한 방식을 써왔습니다.
그런데 왜 지금 와서 이 견고한 철책을 허물려는 걸까요? 결론부터 말씀드리자면, 망을 끊어놓은 상태에서는 클라우드와 AI라는 시대의 거대한 파도를 절대 탈 수 없기 때문입니다. 오늘 세상의 모든 지식 언더스탠딩에서는 국가 보안의 패러다임을 송두리째 바꾸고 있는 망분리 규제 완화의 배경과, 이것이 우리 산업에 미칠 진짜 파장을 깊이 있게 들여다보겠습니다.
왜 20년 된 철책을 지금 허물어야 할까요?
우리가 생각하는 것과는 다르게, 초창기 망분리는 굉장히 효과적인 보안 대책이었습니다. 2000년대 중반, 정부와 기업 시스템을 노린 해킹 공격이 빗발치자 국가정보원은 진입로 자체를 없애버리는 결단을 내립니다. 업무용 PC는 내부망에만 연결하고, 인터넷 검색은 별도의 PC로만 하게 만든 것이죠.
2006년부터 이어진 물리적 망분리 방식은 외부 해킹을 차단하는 데 효과적이었지만, 클라우드와 AI 시대를 맞아 변화의 기로에 섰습니다.
문제는 기술의 발전 속도였습니다. IT 환경이 클라우드 중심으로 재편되면서 문제가 곪기 시작했습니다. 클라우드는 본질적으로 인터넷과 연결되어 있어야 쓸 수 있는 기술입니다. 망이 끊어져 있으니 정부 기관도, 금융사도, 대기업도 클라우드를 제대로 도입할 수 없었고, 자연스레 국내 클라우드 산업은 성장의 동력을 잃었습니다.
여기에 결정타를 날린 것이 바로 '생성형 AI'의 등장입니다. AI 모델들은 방대한 클라우드 인프라 위에서 돌아갑니다. 어떤 분들은 "우리 준비가 아직 안 되어 있으니, 보안을 위해 한 5년, 10년 뒤에 망분리를 풀면 안 될까요?"라고 묻습니다. 하지만 지금 망분리 개선을 5년 뒤로 미룬다는 것은, 우리 정부와 금융, 국방 시스템이 5년 뒤에나 AI를 쓰겠다는 선언과 같습니다. 삼성이 자체 폐쇄형 AI 구축을 시도하다 결국 발전 속도를 따라잡지 못하고 외산 AI 활용을 허용한 사례가 이를 증명합니다. 기업과 국가의 생존이 걸린 문제 앞에서 더 이상 획일적인 망분리를 고집할 수는 없게 된 것입니다.
획일적 차단에서 '데이터 등급제(N²SF)'로의 전환
자, 그러면 인터넷 선을 그냥 다시 꽂기만 하면 될까요? 당연히 아닙니다. 여기서 핵심이 뭐냐면, 선진국들이 이미 도입해 온 '차별화된 망분리' 체계로의 전환입니다.
정부는 올해 5월 국가사이버보안 기본지침을 개정해 내부망과 인터넷망 분리 의무 조항을 삭제했습니다. 그리고 그 자리에 국가망 보안체계(N²SF)라는 새로운 패러다임을 세웠습니다. 이제 우리나라의 모든 공공 데이터는 세 가지 등급으로 나뉩니다.
정부의 공공 정보 클라우드 전환과 국정자원 관리원 화재 이후 변화된 보안 정책의 방향성을 보여줍니다.
- C (Classified): 국가 안보와 직결된 1급 기밀 정보
- S (Sensitive): 개인정보 등 민감 정보
- O (Open): 완전히 공개해도 되는 일반 정보
이게 무슨 의미일까요? 오직 C등급에 해당하는 핵심 국가 안보 데이터만 기존처럼 물리적으로 인터넷과 완전히 단절시킵니다. 나머지 S등급과 O등급 데이터는 적절한 보안 조치를 거친다면 인터넷과 연결된 상태, 즉 클라우드 환경에서도 업무를 볼 수 있게 허용하겠다는 뜻입니다. 무식하게 다 끊어버리던 과거에서 벗어나, 지킬 것만 확실히 지키고 나머지는 활용도를 극대화하는 합리적인 방향으로 선회한 것입니다.
망분리 완화의 숨은 전제, '데이터 분류' 시장의 탄생
그런데 여기서 중요한 건, 이 제도가 제대로 굴러가려면 반드시 선행되어야 할 작업이 있다는 겁니다. 바로 '데이터를 정확히 분류하는 일'입니다.
실무자들에게 데이터를 분류하라고 하면 십중팔구 "저희 데이터는 전부 다 중요해서 C등급입니다"라고 보고합니다. 책임지기 두려운 보수적인 보안 심리 때문입니다. 영국의 경우 과거 6단계의 복잡한 보안 등급을 3단계로 단순화하며 국가 안보용 데이터의 범위를 대폭 축소한 바 있습니다. 과도하게 국가 안보급으로 묶이는 데이터를 최소화해야만 제도의 실효성이 생깁니다.
영국은 데이터 등급을 단순화하여 국가 안보와 민간 활용 영역을 명확히 구분하는 체계로 전환했습니다.
더 나아가, 문서를 파일 단위(File-based) 통째로 분류하는 관행도 바뀌어야 합니다. 예를 들어 '진단서.hwp'라는 파일 안에 공개 가능한 '환자 성명'과 민감 정보인 '주민등록번호'가 섞여 있다면, 이를 자산 단위(Asset-based)로 쪼개어 등급을 매기는 세밀한 기술이 필요합니다.
이로 인해 국내에는 없었던 '데이터 분류(Data Classification)' 솔루션 및 클라우드 보안 시장이 새롭게 폭발적으로 성장할 기회를 맞이했습니다. AI가 문맥을 파악해 문서 내 단어별로 보안 등급을 자동으로 레이블링 해주는 기술, 그리고 등급이 다른 데이터 간의 안전한 이동을 돕는 '크로스 도메인(Cross Domain) 솔루션' 시장이 본격적으로 열리게 된 것입니다.
소버린 AI의 딜레마와 글로벌 경쟁력
망이 열리고 외산 클라우드와 AI가 들어오게 되면, 필연적으로 '보안 주권'에 대한 우려가 나옵니다. "우리 정보가 해외로 다 넘어가는 것 아니냐, 무조건 국산 소버린 AI(Sovereign AI)를 써야 한다"는 주장이 힘을 얻기도 하죠.
하지만 모든 영역에 국산 AI 사용을 강제하는 것은 심각한 무역 장벽이자 통상 마찰의 불씨가 됩니다. 과거 우리가 독자적인 암호 표준을 고집하다가 외산 소프트웨어의 진입을 막고 스스로 갈라파고스화되었던 '공인인증서 사태'를 떠올려 보십시오. 강제로 쓰게 만들면 기업은 기술 경쟁을 멈추고, 결국 그 피해와 불편함은 국민과 산업 전체가 떠안게 됩니다.
따라서 국가 안보(C등급) 영역에서는 국산 소버린 AI를 통해 철저히 기술을 축적하고 보호하되, 일반 산업 분야에서는 기업이 외산 AI든 국산 AI든 자유롭게 선택해 글로벌 경쟁력을 키울 수 있도록 시장에 맡기는 투트랙 전략이 절실합니다.
규제 완화의 이면: 가혹해진 책임과 직권 조사
망분리가 풀린다고 해서 기업들이 마냥 좋아할 일만은 아닙니다. 사실 우리가 철통 보안이라고 믿었던 망분리 환경은 이미 내부에서부터 조금씩 깨지고 있었습니다. 작년 대형 통신사 해킹 사건의 합동 조사 결과를 보면, 폐쇄망이라 자부했던 시스템조차 알 수 없는 경로로 인터넷망과 연결 접점이 생겨 있었고 이를 통해 해커가 내부를 유린했습니다.
망 분리 환경에서도 개발자의 필요에 의해 생성된 접점을 통해 해커가 내부망을 넘나들며 정보를 탈취할 수 있습니다.
이제 정부는 규제를 풀어주는 대신, 사고 발생 시의 책임을 무겁게 묻기 시작했습니다. 가장 강력한 변화는 정보통신망법 개정을 통해 신설된 '침해사고조사 심의위원회'입니다.
과거에는 해킹 사고가 나도 기업이 정부의 기술 지원을 거부하고 자체적으로 조용히 덮으려는 경우가 많았습니다. 하지만 이제는 다릅니다. 위원회가 해킹 정황을 인지하고 직권 조사를 의결하면, 민간합동 조사단이 기업에 강제로 진입해 자료 보전 명령을 내리고 시스템을 샅샅이 파헤칠 수 있는 막강한 권한을 갖게 되었습니다.
자유를 주되, 그에 따른 책임은 끝까지 묻겠다는 정부의 강력한 의지입니다. 자체적인 보안 역량을 갖추지 못한 채 섣불리 망을 열었다가 사고가 난다면, 기업은 전례 없는 강도 높은 조사와 제재를 직면하게 될 것입니다. 바야흐로 AI 혁신을 위한 규제 완화와, 스스로를 지켜내야 하는 무한 책임의 시대가 동시에 막을 올렸습니다.
FAQ
망분리 규제가 완화되면 기존의 업무용/인터넷용 PC 두 대를 무조건 하나로 합치게 되나요?
아닙니다. 데이터를 중요도에 따라 C(국가안보), S(민감정보), O(공개정보) 등급으로 나누어, 1급 기밀인 C등급 데이터를 다루는 시스템은 여전히 물리적 망분리(PC 2대 등)를 유지합니다. 다만 일반적인 업무나 민감 정보(S, O등급)의 경우 적절한 보안 조치 하에 인터넷과 연결된 환경에서 업무를 볼 수 있게 됩니다.
공공기관이나 금융권 시스템이 인터넷에 연결되면 해킹 위험이 훨씬 커지는 것 아닌가요?
물리적 단절이 사라지면 외부 공격 시도가 늘어나는 것은 사실입니다. 하지만 기존의 망분리 환경에서도 관리 부주의로 접점이 생겨 해킹당하는 사례가 이미 빈번했습니다. 정부는 규제를 완화하는 대신, 보안 역량이 검증된 기관부터 단계적으로 허용하고 있으며, 사고 발생 시 정부가 직접 개입해 조사할 수 있는 '직권 조사' 권한을 대폭 강화하여 기업의 철저한 자체 보안 관리를 유도하고 있습니다.
공공 시스템을 클라우드로 이전할 때 반드시 국산 클라우드나 국산 AI만 써야 하나요?
그렇지 않습니다. 국가 안보와 직결된 특수 영역에서는 국산 소버린 AI와 독자 망을 활용해 보안을 유지하지만, 그 외의 일반 공공 시스템이나 산업 분야에서는 정부가 요구하는 보안 기준만 충족한다면 외산 클라우드나 외산 AI도 자유롭게 도입할 수 있도록 독소조항을 걷어내는 추세입니다.
원본 영상 보기
