N²SF, 제로트러스트 아키텍처 품었다
Source: Byline Network
N²SF와 제로트러스트 아키텍처
[기획/N²SF 전환②] 연결 허용하는 대신 ‘조건부 접근’ 강화…두 개념, 겹치지만 같지는 않아
N²SF는 단절 위주의 망분리 체계에서 벗어나, 업무·데이터의 중요도와 위험도에 따라 통제를 설계·적용하는 공공 보안 프레임워크다. 국정원은 N²SF 가이드라인 1.0에서 “N²SF는 제로트러스트 아키텍처(ZTA)의 구현 원칙을 포용한다”고 명시했다. 제로트러스트는 내부망과 외부망을 구분해 모든 접속을 신뢰하지 않고, 접속 주체와 행위마다 조건을 확인해 최소한의 접근만 허용하는 보안 모델이다.
두 개념은 같은 것이 아니다. N²SF는 공공기관이 정보서비스를 설계·구축·운영하는 전 과정에서 무엇을 보호할지, 어떤 위험을 줄일지를 정리하도록 요구하는 상위 보안 체계다. 반면 제로트러스트는 그 체계 안에서 통제 정책을 현실로 만드는 구현 방법론에 가깝다.
N²SF 가이드라인 주 집필진으로 참여한 이철호 앤플러스랩 대표는 N²SF를 ‘보안 교과서’에 가깝다고 설명하며, 단일 솔루션이 아니라 기관이 위험을 정리하고 통제를 선택하는 절차를 제시하는 체계라고 강조했다. N²SF가 등급(C/S/O)과 위협 분석을 통해 **“이 업무 흐름에서 어떤 통제가 필요하다”**를 도출한다면, 제로트러스트는 그 결론을 바탕으로 **“사용자·기기·데이터·네트워크별로 어떤 조건을 만족해야 접근을 허용할지”**를 정책으로 만들고 집행한다.
N²SF와 제로트러스트가 함께 언급되는 이유는, N²SF가 **‘연결을 전제로 한 통제’**에 초점을 두기 때문이다. 망분리처럼 경계를 끊어 안전을 확보하는 방식은 통제 지점을 단순화할 수 있었지만, 클라우드 연동·기관 간 협업·원격 접속이 늘어나는 환경에서는 연결 자체를 전면 차단하기 어렵다. 이때 선택지는 **‘연결을 풀어주되, 신뢰를 기본값으로 두지 않는 통제’**다. 즉, 데이터가 이동할 수 있는 조건을 먼저 정하고, 그 조건을 인증·권한·단말 보안 상태·암호화·반출입 승인·로그 등으로 강제하는 구조가 된다.
관련 기사: ② N²SF, 제로트러스트 품다(이번호)
정보서비스 모델 대상 보안원칙 적용 예시 (자료 = N²SF 가이드라인 1.0)
N²SF 적용 예시
망분리 중심에서는 ‘통로’를 관리하는 비중이 컸다면, N²SF 체계에서는 업무·데이터 흐름을 더 촘촘하게 파악하고 통제를 조합해야 한다. 예컨대 같은 업무망 내부에서도 등급(C/S/O)과 위험에 따라 접근 조건이 달라지고, 예외 이동이 필요하면 승인 절차·암호화·기록 같은 조건을 붙여야 한다.
이 대표는 “사용자는 편해지지만, 담당자는 할 일이 더 많아진다”며 “연결이 늘수록 ‘어디까지 조건을 걸어야 하는지’를 지속적으로 판단하고 점검해야 하는 부담이 커진다”고 설명했다. 결과적으로 사용자는 접근성이 좋아질 수 있지만, 보안 담당자 입장에서는 정책이 실제로 지켜지는지 계속 확인해야 한다.
운영 및 지속 관리
두 개념의 유사점은 절차에서도 드러난다. N²SF가 요구하는 준비 → 위협식별 → 보안설계 → 구현 → 운영 단계는 제로트러스트가 강조하는 ‘보호 대상(보호 표면) 식별’, ‘위험 기반 정책 수립’, ‘지속 검증’과 맞닿아 있다. 특히 운영 단계에서 겹침이 크게 나타난다.
위협은 시간에 따라 변하고 업무 흐름도 변한다. 설계 시점에 세운 위협 가정과 통제가 시간이 지나도 그대로 유효하다고 보기 어렵다. 따라서 운영 단계에서는 위험을 주기적으로 재점검하고, 부족한 통제를 보완하는 지속적인 관리가 중요해진다. 접속과 행위를 계속 검증하는 제로트러스트 방식이 N²SF의 운영 요구와 만나는 지점이다.
구현 방법론 및 선택 자유
제로트러스트가 N²SF를 구현하는 유일한 방법론은 아니다. N²SF는 기관이 위험 평가 근거를 제시하고 통제를 선택·조합한다는 자율 설계 성격이 강하다. 그래서 어떤 기관은 접근통제·계정관리 강화에 무게를 둘 수 있고, 어떤 기관은 데이터 반출입 통제나 암호화·키 관리에 더 집중할 수 있다. 같은 목표를 세우더라도, 기관의 업무 구조·데이터 특성·운영 여건에 따라 구현 방식은 달라질 수 있다.
지난해 N²SF 실증 주관사로 참여한 SGA솔루션즈 관계자는 “N²SF는 제로트러스트 아키텍처를 포함할 수 있는 상위 거버넌스로, 기관별로 어떤 방식(ZTA든 DLP든 CASB든)을 택할지는 자율 설계의 몫”이라고 말했다.
글. 바이라인네트워크
god8889@byline.network