2025. 6.

Ⅰ. 기관 일반현황

□ 연혁

○ 2005. 11. 정부통합전산센터 출범

○ 2007. 11. 광주 정부통합전산센터 출범 

○ 2016.  3. 책임운영기관 전환

○ 2017.  7. 기관명 변경(정부통합전산센터 → 국가정보자원관리원)

○ 2023.  5. 국가정보자원관리원 백업센터 준공

○ 2023.  6. 국가정보자원관리원 대구센터 출범

□ 조직 및 정원

(`25.5.19.기준)

□ 주요 기능

○ 국가정보자원관리원에 입주한 중앙행정기관, 지방자치단체 및 공공기관의 정보시스템과 국가정보통신망 등의 안정적인 운영, 효율적 통합·구축 관리 및 보호·보안

○ 행정기관간 상호연계 및 공동이용을 위한 국가정보통신망 구축‧운영 및 이용활성화

○ 정부 정보자원의 활용도 및 운영효율성 제고를 위한 정보자원 통합구축 및 범정부 클라우드컴퓨팅센터 전환

□ ’25년 예산: 5,806억원 

Ⅱ. 주요 업무

○ (목 적) 시스템 구축시 관리원 인프라 환경에 부합하도록 보안대책의 적절성 평가 및 정보보안체계 준수 여부 검토 

○ (대 상) ① 국정자원이 발주하는 정보화 사업 및 정보시스템 일체 ② 입주기관이 추진하는 사업 중 국정자원과 관련된 인프라 일체 ③ 사업진행 중 발생하는 보안 이슈

○ (절 차) 보안성 검토 요청(사업부서) → 보안성 검토 → 미준수 항목 기관담당자 공유·기관 협의 후 설계변경 반영 → 보안심사위원회 개최 → 사업추진

○ 인공지능 보안관제 구축을 통한 사이버공격 대응 자동화 기반 확보, 알려지지 않은 신·변종 공격 대응 및 외부 위협정보 등을 활용한 사전 예방

-  (위협이벤트 대응시간 단축) 사이버공격 분석·대응 방식 표준화 및 자동화를 통한 건당 대응시간 단축

-  (선제적인 사이버공격 예방‧대응) 알려진(패턴) 공격 및 알려지지 않은(신‧변종) 공격 이벤트 처리(공격 및 유해IP 차단) 역량 향상

○ 인공지능 자동화율 제고 및 대응 범위 확대로 인공지능 역할 강화 

-  (침해대응 자동화율 향상) 표준화된 침해 대응절차를 인공지능 보안체계에 적용하여 사이버공격 대응의 자동화율 향상

-  (자동대응 범위 확대) 인적 보안관제(nTEMS)의 보안규칙을 인공지능에 적용하여 보안관제 효율화 제고

○ 국정자원 정보보안지침, 개인정보 내부관리계획 및 관련 메뉴얼 개정

-  국정자원의 인적‧관리적‧물리적 정보보안 체계 강화를 위한 사항

-  개인정보 관리‧감독 및 파기 절차 등 분야별 책임자‧취급자 역할과 개인정보 안전성 확보를 위한 구체적인 사항

○ 주요정보통신기반 시설 점검 및 보호대책 수립

-  (시설현황) 1개 관리기관, 4개 기반시설

-  (보호대책) 기반시설에 대한 사이버위협 예방(교육‧지침정비‧취약점관리) 및 대응(침해사고 모의훈련 및 재난‧재해 복구훈련) 등 8개 과제 수립‧추진

○ ISMS, ISMS- P 인증심사 추진 및 인증 획득

-  (대상‧항목) 국정자원 전반(개인정보처리시스템 3개), 101개 항목

-  (주기) 3년 단위 갱신(최초 1년 최초‧갱신심사, D+1‧D+2 사후심사)

○ 개인정보 보호수준 진단 및 개선

-  (대상) 개인정보파일 총 12개(시스템 11, 종이‧파일 1개) 

-  (진단) 개인정보 수집‧이용, 접근권한 및 접속기록, 침해사고 예방 및 대응절차 수립, 고유식별정보 암호화 등 주기적인 점검‧개선

○ 가명정보 결합 수요조사 및 분석 과제 발굴

-  행정·공공기관 대상 가명정보 결합, 통계분석 등 수요조사

-  국가적 현안 해결에 유용한 분석과제 기획·발굴

-  개인정보위원회와 협력하여 각급기관 보유 개인정보 메타데이터 활용 기반 마련

○ 데이터결합센터 담당자 역량 강화

○ 데이터결합센터 홍보 및 설명회 개최

○ 가명정보 안정성 강화

-  가명정보 안전성 조치 기준 준수 여부 자체 점검(반기 1회)

-  개인정보 영향평가 수행

○ (예방관리) 정보시스템·홈페이지(웹) 취약점 점검, 웹쉘 점검 정례화 및 필요시, 입주기관 취약점 조치지원을 위한 현장방문 컨설팅

-  보안취약점 先 조치를 통한 사이버 침해사고 예방 및 대응체계 강화

○ (사고대응) 사이버 침해사고, CERT 발령 시 침해 대응 및 원인 분석

-  사고원인 분석 및 재발방지 방안(차단규칙 등) 마련 등 침해사고 대응

○ (장비·규칙) 침해대응시스템(DDoS·IPS·IDS) 장비 및 보안규칙 운영·관리

-  국통망‧대전본원 보안장비의 보안규칙 및 대전본원 보안장비 운영·관리

-  사이버위협을 탐지·차단하는 보안장비의 보안규칙을 최적화함으로써 사이버공격 적시 대응을 통한 사이버 안전성 확보 

-  외부 DDoS 공격도구^* 분석을 통한 보안규칙 사전 준비 등 대응 강화

* 깃허브, 구글 검색 등을 통해 공격도구 수집

○ (노후 보안장비 교체) EoL·EoS로 인한 방화벽, VPN, IPS 및 관리서버 등의 정보시스템 교체로 장애 발생시 신속한 지원 환경 마련하고,

-  노후화된 패킷분석시스템을 교체하여 사이버 위협에 효과적 대응

○ (보안 소프트웨어 보강) PC지키미, 백신(서버용, PC용), GVPN, PC보안관리, 원격접근, 비밀번호 관리 등의 라이센스 갱신

○ (클라우드 통합보안) 클라우드 엔드포인트 통합보안SW 라이선스 경과에 따른 갱신 및 신규 구축 추진

Ⅲ. 당면 현안과제

□ 추진 배경

○ 국가정보원은 2006년 이후 국가망의 핵심 정책으로써 운영해 왔던 업무망‧인터넷망의 2개 망 구조체계인 '망 분리 정책'을

-  시스템 중요도에 따라 차등적 보안대책을 적용하는 '국가 망 보안체계(N²SF)'로 정책 전환 추진^* 중

* '국가 망 보안정책 보안 가이드라인(Draft)' 배포(국가정보원, '25. 1. 23.)

※ N²SF(National Network Security Framework, 국가 망 보안체계)

○ 이에 따라, 국가 정보시스템의 인프라를 담당하고 있는 우리원은 '국가 망 보안체계'를 지원할 수 있는 기반 환경 마련 필요

□ 추진 내용

○ 국가 망 보안체계 환경에서의 방향 설정 및 기본 계획 수립

-  시범사업 등을 통한 AP(기관) ↔ 인프라(국정자원)간 역할정의 및 구현범위 명확화

-  국정원에서 발표한 '국가 망 보안정책 가이드라인' 추진과제별‧진행단계별 기본계획 수립 및 구현방향 구체화 

○ 국가 망 보안체계 서비스 인프라 환경 구축

-  N²SF의 효과적인 추진을 위한 국정자원 內 보안 · 네트워크 · 클라우드 · PPP 등 전(全) 분야 팀장급 주축의 전담조직(TF) 구성(필요시)

-  서비스의 효과적 제공, 부처별 중복투자 방지 등을 위해 시스템 등급별 공통기반 체계 통합구축·공동활용 추진

○ (제로트러스트) 보안체계 시범운영 환경 구축 및 기능 검증(‘24.6.~12.)

-  (설계) 국정자원 및 입주기관의 보안 책임에 맞는 제로트러스트 도입‧운영을 위해 ‘플랫폼 기반 서비스형 제로트러스트 보안모델’ 설계

-  (기능 검증) 국정원 보안성 검토 결과^*를 반영한 제로트러스트 시험환경 구성 및 단말기 신뢰도에 따른 동적 접근통제 기능 등 검증

* 가동중인 시스템과 무관한 테스트 베드 환경에서 시험

-  (효과성 분석) 전‧후 성숙도 수준^* 진단으로 효과 확인(기존 24% → 초기 50%) 完

* 기존(Traditional) → 초기(Initial) → 향상(Advanced) → 최적화(Optimal)

○ (SW 공급망 보안) 범국가 차원의 ICT 공급망 보안 추진 정책인 보안 가이드라인에 따라 국정자원의 ‘SW 공급망 보안 추진 방안’ 마련

-  SW 공급망 보안 점진적 제도화 추진 계획에 맞춰 국정자원의 3단계 전환

○ (취약점 관리) 취약점 항목을 결정하여 취약점 진단·관리시스템을 통해 보안취약점을 점검·관리하고 공개·상용 SW 관련 정보 적극 공유

-  (진단항목 결정) 클라우드 등 신제품 도입 시 취약점 진단 항목을 발굴하고 진단시스템에 적용하여 취약점관리에 누수 방지

-  (점검·관리) 보안취약점을 정기 점검(월1회)하고 부서별 양호율을 공개·이력관리 및 부서성과에 반영함으로써 취약점 조치 독려

-  (정보 공유) 수시로 발표(KISA, NIST 등)되는 보안취약점 및 입주기관 소관 응용SW 보안취약점을 전파하고, 점검·조치 가이드를 제시

* (’24년) Kr- CERT 11회, US- CERT 24회, CVE 8회, iframe 취약점점검 조치 안내

○ (점검방식 자동화)  일부 시스템에 웹 취약점 자동점검 SW를 도입하여 입주기관이 취약점을 직접 점검 후 조치 결과를 공유토록 함

-  ‘24년 16개 홈페이지(10개 기관)를 대상으로 시범운영을 진행^*

* 현재까지의 시범 운영 결과를 토대로 SW 기능 보완사항 발굴 및 개선 중