그동안 공공기관의 보안은 네트워크 경계를 구분하는 방식으로 작동해 왔습니다. 어느 망에 위치해 있는지, 어떤 경로로 접속 가능한지에 따라 보호 수준이 결정됐고, 망이 분리돼 있으면 안전하다는 전제가 오랫동안 보안 설계의 출발점이었습니다.

그러나 생성형 AI 활용 확대, 클라우드 기반 협업 환경, 원격·모바일 업무 확산으로 이 전제는 흔들리기 시작했습니다. 이제 데이터는 단일 망 내부에서만 처리되지 않습니다. 다양한 시스템과 연계 지점을 통해 생성되고, 저장되고, 이동하고, 활용됩니다. 하나의 정보서비스 안에서도 여러 등급의 정보가 함께 존재할 수 있고, 정보가 내외부 구간을 넘나들며 처리됩니다.

이러한 환경에서는 ‘망이 분리돼 있는가’만으로 정보 보호 상태를 충분히 설명하기 어렵습니다. N2SF가 전제하는 구조에서 보호 수준은 단순한 위치가 아니라, 등급이 부여된 정보에 어떤 통제가 적용되고 있는지에 따라 결정됩니다. 다만 이 통제가 실질적으로 작동하려면 데이터가 먼저 분류돼 있어야 합니다. 어떤 데이터가 어디에 있고 얼마나 중요한지를 파악하는 것, 즉 분류와 태깅이 선행되지 않으면 등급 기반 통제는 제대로 작동하지 못합니다. AI를 보안에 적용하는 경우도 마찬가지입니다. 프롬프트 입력 통제, 민감정보 검출 모두 데이터가 먼저 정의 및 분류돼 있을 때 작동합니다.

이것이 N2SF가 요구하는 변화의 본질입니다. 경계 중심으로 보호 수준을 설명하던 구조에서, 업무 데이터의 등급과 활용 맥락을 기준으로 통제를 설계하는 구조로의 전환입니다. 데이터가 어디에 있느냐가 아니라, 그 데이터가 얼마나 중요한지, 그리고 그 중요도에 맞는 통제가 실제로 적용되고 있는지가 보안의 핵심 질문이 됩니다.