보안이라는 관문 - 망분리, CSAP, 보안성 검토 (04/08)

AI 시대의 공공 차세대 전환 가이드 · Ep.04

아키텍처를 그리기 전에
신호기부터 확인하라.

보안이라는 관문 - 망분리, CSAP, 보안성 검토 · HFC Consulting

---

공공 차세대의 기술 아키텍처는 백지에서 그려지지 않는다. 통과해야 하는 신호기들이 노선 위에 이미 서 있기 때문이다. 어느 신호기 앞에서 얼마나 기다릴지 모른 채 세운 일정은, 일정이 아니라 희망이다. 이번 편은 그 신호기들의 지도다.

세 개의 관문

공공 시스템이 클라우드와 외부 기술을 쓰려면 통상 세 개의 관문을 지난다.

① 망 정책 — 업무망과 인터넷망의 분리 원칙. 시스템이 어느 망에 살 수 있는지를 정한다.

② CSAP(클라우드 보안인증) — 공공에 서비스를 공급하려는 클라우드가 받아야 하는 인증. 14개 영역, 117개 통제항목을 평가하고 유효기간 3년에 매년 사후평가를 받는다. 발주자에게는 조달 가능한 클라우드의 목록을 정하는 관문이다.

③ 보안성 검토 — 도입 구조에 대한 보안 적합성 심사. 아키텍처 확정 전에 소요 기간을 일정에 넣어야 하는 절차다.

세 관문의 공통점은 하나다. 발주자가 통제할 수 없는 시계로 움직인다는 것. 그래서 관문은 기술 문제가 아니라 일정 문제이며, 일정 문제는 곧 사업관리 문제다.

세 관문의 소관이 제각각이라는 점도 실무의 변수다. 망 정책과 보안성 검토의 규범은 국가정보원 계열에서, CSAP는 과기정통부·KISA 계열에서 움직인다. 소관이 다르면 개정의 시점도 다르고, 한쪽의 완화가 다른 쪽의 요건과 어긋나는 전환기의 공백도 생긴다. 발주자가 세 관문을 하나의 표로 관리해야 하는 이유다.

망분리에서 MLS로 - 지형이 움직인다

더 어려운 문제는 이 지형 자체가 지금 움직이고 있다는 점이다. 국가정보원은 일률적 물리적 망분리를 데이터 중요도 기반의 다층보안체계(MLS)로 전환하는 로드맵을 공개했다. 데이터를 기밀(C)·민감(S)·공개(O) 등급으로 나누고, 등급마다 다른 보안 통제를 적용하는 구조다. 공개 등급은 망분리 의무 대상에서 제외되어 데이터 공유와 외부 기술 활용의 길이 열리고, 기밀 등급은 오히려 통제가 강화된다. 2026년이 본격 전환의 해로 예고되어 있다.

차세대를 발주하는 입장에서 이것은 축복이자 함정이다. 축복인 이유는 분명하다. 경계 중심 보안이 막아 왔던 클라우드 네이티브와 생성형 AI의 활용 공간이 열린다. 행정안전부가 민간 최신 AI를 행정망 안에서 쓰는 체계를 공식화한 것도 같은 흐름 위에 있다. 함정인 이유도 분명하다. 지금 설계하는 시스템은 구 체제에서 발주되어 신 체제에서 운영된다. 전환기의 시스템은 두 규범을 모두 견디는 구조여야 한다.

전환기의 발주 전략 - 등급 분류를 과업으로

MLS 체제의 성패는 데이터 등급 분류에 달려 있다. 어떤 데이터가 기밀이고 무엇이 공개인지 정하는 일은 보안 부서의 일로 보이지만, 실제로는 차세대 사업의 데이터 설계와 한 몸이다. 그래서 전환기의 발주 전략은 한 문장으로 요약된다. 데이터 등급 분류와 등급별 배치 설계를 차세대의 정식 과업으로 명문화하라. 과업범위에 없는 일은 아무도 하지 않고, 등급 없는 데이터는 가장 보수적인 통제에 묶여 AI 시대의 활용 공간을 잃는다.

예상되는 반론이 있다. "정책이 확정되지 않았는데 무엇을 기준으로 설계하는가." 대응은 이렇다. 확정을 기다리는 것이 가장 위험한 선택이다. 등급 분류 체계는 정책이 어느 쪽으로 확정되든 필요한 기초 작업이고, 클라우드 인프라의 계약 구조에 출구 조항과 전환 비용을 넣어 두는 원칙(클라우드·인프라 발주 가이드 4화)은 규범 변화에 대한 가장 확실한 보험이다. 거버넌스를 시스템보다 먼저 세워야 한다는 원칙은 AI 거버넌스 구축 가이드 1화에서 다룬 그대로다.

관문의 시간표를 사업의 시간표로

세 관문에는 선후행 관계가 있다. 데이터 등급이 정해져야 시스템의 망 위치가 정해지고, 망 위치가 정해져야 조달 가능한 클라우드의 범위(CSAP 인증 대상)가 좁혀지며, 도입 구조가 그려져야 보안성 검토를 신청할 수 있다. 이 사슬을 거꾸로 밟는 사업 — 솔루션부터 고르고 망 위치를 나중에 묻는 사업 — 은 관문마다 되돌아오는 비용을 치른다.

그래서 관문 관리의 실무는 두 장의 문서로 요약된다. 하나는 관문 지도다. 우리 사업이 지나야 하는 관문의 목록, 관문별 소관 기관과 신청 요건, 예상 소요 기간을 착수 전에 표로 만든다. 다른 하나는 관문 일정의 임계 경로 반영이다. 보안성 검토의 소요 기간은 발주자가 단축할 수 없는 구간이므로, 그 앞뒤의 과업을 조정해 전체 일정의 임계 경로에서 빼내는 것이 사업관리의 몫이다. 관문에서 잃는 석 달은 개발에서 벌충되지 않는다. 개통 강행의 유혹으로 돌아올 뿐이다.

관문 통과 체크포인트

아키텍처 확정 전 다섯 확인 — 대상 시스템의 망 위치와 근거 규정 / 후보 클라우드의 CSAP 인증 범위와 유효기간 / 보안성 검토 소요 기간의 일정 반영 / 데이터 등급 분류의 과업범위 포함 여부 / MLS 전환 시나리오별 아키텍처 영향

신호기는 열차를 멈추기 위해 있는 것이 아니다. 충돌 없이 지나가게 하기 위해 있다. 보안 관문을 장애물로 여기는 사업은 관문 앞에서 시간을 잃고, 관문을 설계의 입력값으로 삼는 사업은 관문에서 신뢰를 얻는다.

본 글은 일반적인 정보 제공을 목적으로 하며, 법률 자문이 아닙니다. 보안 규정의 적용은 소관 기관의 최신 지침을 확인하시기 바랍니다.

📎 더 읽을거리

데이터 중심 보안으로 전환하는 'MLS' (데이터넷) — C/S/O 등급 구조와 전환 일정 해설

클라우드 보안인증제 소개 (KISA) — CSAP 인증 절차·통제기준의 공식 원전

보안 관문이 일정을 위협하고 있습니까?

HFC컨설팅은 공공 클라우드 도입 전략, 보안 관문 일정 설계, 데이터 등급 분류 과업화를 지원합니다. 전환기의 두 규범을 모두 견디는 구조를 함께 만듭니다.

changks@hfcconsulting.co.kr

1영업일 이내 답변 · 주식회사 에이치에프씨 컨설팅 · 대표이사 장기석

---

📚 AI 시대의 공공 차세대 전환 가이드 (전 8화)

◀ 이전 편 (03/08) 조달의 문법 - 협상에 의한 계약과 참여제한

다음 편 ▶ (05/08) 데이터를 옮기고 잇는 법 - 행정 데이터 이관과 연계

연재 전체 보기 →