글 요약
N2SF 데이터 등급 어떻게 나눌까? 기밀·민감·공개 분류 기준과 사례 관련 확인 방법과 주의사항을 정리했습니다.
N2SF 데이터 등급은 문서 제목이나 파일 형식이 아니라 실제 내용, 업무기능, 법령상 비공개 사유, 다른 정보와 결합했을 때의 침해 영향을 기준으로 나눕니다. 2026년 8월 7일 기준으로 C는 기밀(Classified), S는 민감(Sensitive), O는 공개(Open) 업무정보를 뜻합니다.
 |
| N2SF 기밀, 민감, 공개 분류 기준 확인 |
목차
빠르게 판단하려면 먼저 비밀·대외비인지 확인하고, 「공공기관의 정보공개에 관한 법률」 제9조제1항의 비공개 사유를 검토하면 됩니다. 제1호부터 제4호까지에 해당하면 C, 제5호부터 제8호까지에 해당하면 S, 어느 항목에도 해당하지 않으면 O를 기본 후보로 검토합니다.
다만 개인정보라고 해서 무조건 S가 되는 것은 아니며, 공개자료라고 해서 언제나 O로 유지되는 것도 아닙니다. 적법한 마스킹 여부, 업무 진행 단계, 공개 시점, 데이터 결합 결과에 따라 등급이 달라질 수 있으므로 자동분류 결과는 후보로만 사용하고 담당 부서가 최종 판정해야 합니다.
핵심 요약
- N2SF 데이터 등급 어떻게 나눌까? 기밀·민감·공개 분류 기준과 사례의 적용 대상과 현재 기준을 먼저 확인합니다.
- N2SF 등급 비교 결론: C·S·O는 무엇이 다른가 항목에서 가장 중요한 조건을 확인합니다.
- C·S·O 공식 분류 기준을 법령 순서로 확인하는 방법 항목에서 신청 또는 이용 순서를 확인합니다.
- 같은 자료도 대상·시점·결합 방식에 따라 등급이 달라진다 항목에서 제외 조건과 주의사항을 확인합니다.
- C 등급은 비밀·대외비와 정보공개법 제9조제1항제1호부터 제4호까지의 비공개 대상정보를 중심으로 판단합니다.
- S 등급은 같은 항 제5호부터 제8호까지의 비공개 정보, 의회 요구자료 및 그 주요 내용을 포함한 문장·문구 등을 중심으로 판단합니다.
- O 등급은 C·S를 제외한 업무정보, 적법한 조치를 마친 공개 가능 정보, 이미 공표된 공공데이터 등을 포함합니다.
- 개별 정보가 O 또는 S여도 다른 정보와 결합해 중요도나 침해 영향이 커지면 등급을 상향할 수 있습니다.
- 자동분류 솔루션은 대량 자료의 후보 등급을 찾는 데 유용하지만, 법적·업무적 최종 판정을 대신하지는 않습니다.
N2SF 등급 비교 결론: C·S·O는 무엇이 다른가
N2SF는 공공데이터 활용과 보안성을 함께 확보하기 위해 업무정보의 중요도에 따라 서로 다른 보안대책을 적용하는 국가 망 보안체계입니다. 과거처럼 모든 업무를 동일한 망 분리 방식으로 다루는 것이 아니라, 정보 자체의 위험과 처리 목적을 식별해 필요한 수준의 통제를 적용하는 데 초점이 있습니다.
| 등급 | 핵심 판단 기준 | 적용 가능 사례 | 처리 시 핵심 확인 |
|---|---|---|---|
| C 기밀 |
비밀·대외비, 정보공개법 제9조제1항제1호~제4호 비공개 대상정보 | 비밀 지정 문서, 내부 보안전략, 정보통신망 구성도, 비상대비 문서, 수사·소송 관련 중요자료 | 비밀 지정 여부, 국가안보·국방·통일·외교, 국민 생명·안전, 재판·수사 관련 침해 가능성 |
| S 민감 |
정보공개법 제9조제1항제5호~제8호 비공개 대상정보, 의회 요구자료 및 관련 핵심 내용 | 감사계획, 확정 전 정책자료, 입찰 단가, 채용평가, 개인정보, 법인 영업상 비밀 | 의사결정·감사·계약의 공정성, 사생활 침해, 영업상 이익, 부동산 투기 등 특정인 이익 가능성 |
| O 공개 |
C·S가 아닌 업무정보, 적법한 공개 조치를 마친 정보, 공개된 공공데이터 | 홈페이지 공개자료, 보도자료, 공개 통계, 비공개 부분을 제거한 공개본 | 최신본에 비공개 내용이 다시 포함되지 않았는지, 데이터 결합으로 위험이 커지지 않는지 확인 |
일반 업무정보와 특별 보호정보의 차이
일반 업무정보는 공개 여부가 명확하고 다른 자료와 결합해도 침해 영향이 크지 않다면 O로 검토할 수 있습니다. 반면 비밀 지정 자료, 진행 중인 수사자료, 정보통신망의 상세 구성도처럼 유출 시 국가안보나 주요 기능에 직접 영향을 줄 수 있는 정보는 특별 보호가 필요한 C 후보입니다.
S는 C와 O 사이의 단순한 중간값이 아닙니다. 개인정보, 내부 의사결정, 감사·입찰·채용, 영업상 비밀 등 법률상 비공개 필요는 있지만 곧바로 국가기밀로 볼 수는 없는 정보가 중심입니다. 따라서 “중요해 보이면 C, 조금 덜 중요하면 S”와 같은 주관적 서열만으로 분류하면 안 됩니다.
처리 환경을 고르는 기본 원칙
업무정보는 원칙적으로 해당 정보의 등급과 같거나 더 높은 등급의 시스템 또는 도메인에서 처리합니다. 예를 들어 S 정보는 S 이상 환경에서 처리하는 방식이 기본입니다. 다만 국가 망 보안체계 보안가이드라인이 정한 통제항목을 충족한다면 예외적으로 더 낮은 등급 환경에서 처리할 수 있습니다.
이 예외는 담당자가 편의를 위해 임의로 적용하는 규칙이 아닙니다. 필요한 보안통제, 승인 절차, 접근권한, 전송·저장 보호, 로그 관리 등을 기관 기준에 따라 확인한 뒤 적용해야 합니다.
C·S·O 공식 분류 기준을 법령 순서로 확인하는 방법
C 등급: 기밀 업무정보 판단
C에는 「보안업무규정」에 따른 비밀, 관련 시행규칙상 대외비와 정보공개법 제9조제1항제1호부터 제4호까지의 비공개 대상정보가 포함됩니다. 실무에서는 다음과 같은 순서로 확인하는 것이 안전합니다.
- 해당 자료가 이미 비밀 또는 대외비로 지정됐는지 확인합니다.
- 다른 법률이나 법률에서 위임한 명령에 따라 비공개해야 하는 정보인지 확인합니다.
- 국가안전보장·국방·통일·외교관계와 관련해 공개 시 중대한 국익 침해 우려가 있는지 검토합니다.
- 공개 시 국민의 생명·신체·재산 보호에 현저한 지장을 줄 우려가 있는지 검토합니다.
- 진행 중인 재판·수사·공소 유지 등의 공정한 수행을 현저히 곤란하게 할 정보인지 확인합니다.
비공개 회의의 상세 내용, 비밀에 속하는 통계 원자료, 정부연습 문서, 주요 정보통신망 구성도, 내부 사이버보안 전략 등이 C에 해당할 수 있습니다. 그러나 사례 명칭만 보고 확정하지 말고 실제 포함 내용과 공개 시 예상되는 침해를 함께 판단해야 합니다.
S 등급: 민감 업무정보 판단
S에는 정보공개법 제9조제1항제5호부터 제8호까지의 비공개 대상정보가 주로 포함됩니다. 감사·감독·검사·시험·입찰계약·기술개발·인사관리·의사결정 과정, 개인정보, 법인 등의 영업상 비밀, 부동산 투기나 특정인에게 이익 또는 불이익을 줄 수 있는 정보가 대표적인 검토 대상입니다.
국회 또는 지방의회 소속 공무원이 직무상 요구해 작성하거나 취득한 자료도 S 기준에 포함될 수 있습니다. 비공개 정보 전체가 아니라 그 주요 내용을 담은 짧은 문장이나 문구도 분류 대상이므로, 보고서에서 일부 문단만 복사한 메신저 메시지나 이메일 본문 역시 별도로 살펴야 합니다.
O 등급: 공개 업무정보 판단
O는 단순히 “인터넷에 올려도 되는 파일”만 뜻하지 않습니다. C와 S를 제외한 모든 업무정보, 필요한 법적 조치를 거쳐 처리한 행정정보·민감정보, 기간 경과 등으로 비공개 필요성이 사라져 공개한 정보, 이미 공표된 공공데이터가 포함될 수 있습니다.
개인정보가 있던 원본이라도 적법한 기준에 따라 개인정보와 비공개 부분을 제거한 공개본은 O로 검토할 수 있습니다. 이때 원본까지 O로 바뀌는 것은 아닙니다. 원본과 공개본을 서로 다른 정보자산으로 관리하고 파일명, 저장 위치, 배포 권한을 구분하는 것이 좋습니다.
같은 자료도 대상·시점·결합 방식에 따라 등급이 달라진다
개인정보는 무조건 S가 아니다
주민등록번호, 계좌정보, 건강정보, 재산정보처럼 공개 시 사생활 침해 우려가 있는 개인정보는 일반적으로 S 후보입니다. 그러나 법령에 따라 공개해야 하는 항목이거나 적법한 비식별화·마스킹을 마쳐 개인을 식별하기 어려운 공개본이라면 O를 검토할 수 있습니다.
반대로 개인정보가 국가안보, 수사, 주요시설 위치 또는 보호대상자의 동선 정보와 결합돼 침해 영향이 커지면 C로 상향할 수 있습니다. 따라서 “개인정보 포함 여부” 하나만 선택하는 체크박스로 최종 등급을 확정해서는 안 됩니다.
진행 중 자료와 확정·공표 자료는 다르게 본다
확정 전 정책안, 예산 검토안, 인사 심사자료, 입찰 예정가격을 추정할 수 있는 단가는 공개 시 업무의 공정한 수행을 방해할 수 있어 S 후보가 됩니다. 이후 의사결정이 끝나고 법정 공개 절차에 따라 공표된 최종본은 O로 전환할 수 있습니다.
다만 시간이 지났다는 이유만으로 자동 전환하면 안 됩니다. 최종본에도 개인정보, 영업상 비밀 또는 보안구성 정보가 남아 있을 수 있으므로 비공개 사유가 실제로 소멸했는지 재검토해야 합니다.
정보 결합 시에는 더 높은 침해 영향을 본다
개별적으로 공개된 시설 목록과 공개된 지도 좌표가 각각 O라고 해도, 이를 결합해 주요시설의 취약 지점이나 경비 공백을 분석할 수 있다면 원래보다 높은 등급이 필요할 수 있습니다. 여러 S 자료를 모아 개인별 상세 프로필이나 기관의 미공개 정책 방향을 추론할 수 있는 경우도 같습니다.
결합 분류에서는 단순히 구성 자료 중 가장 높은 등급만 복사하지 않습니다. 결합 후 새롭게 드러나는 관계, 규모, 식별 가능성, 국가·기관 기능에 미치는 영향을 다시 평가합니다. 상위등급 정보와 결합되거나 동일 등급끼리 결합돼 중요도가 커진 경우 등급 상향을 검토해야 합니다.
N2SF 분류 실행 절차와 검토 기간·비용
업무를 소기능 단위까지 나누기
먼저 BRM 등 정부·지방·교육 기능분류체계, 공공기관 데이터베이스 표준화 지침 또는 기관 자체 기능분류체계를 이용해 업무를 식별합니다. “인사업무”, “계약업무”처럼 큰 범주로만 묶으면 서로 다른 등급의 자료가 섞이기 쉽습니다.
예를 들어 채용업무는 채용공고, 지원자 원서, 서류평가표, 면접위원 명단, 합격자 공지로 세분화할 수 있습니다. 채용공고와 공개된 합격자 공지는 O가 될 수 있지만 지원자 개인정보와 평가표는 S 후보이므로, 가능한 한 등급이 명확히 구별되는 소기능 단위까지 나누는 것이 핵심입니다.
실제 내용과 비공개 근거를 대조하기
- 업무 식별: 누가 어떤 목적으로 생성·수집·이용하는 자료인지 기록합니다.
- 내용 확인: 파일명, 확장자, 저장 폴더가 아니라 문서 본문·첨부·메타데이터·이미지 속 문구를 확인합니다.
- 법적 근거 확인: 비밀·대외비 여부와 정보공개법 제9조제1항의 해당 호를 검토합니다.
- 후보 등급 부여: 제1호~제4호는 C, 제5호~제8호는 S, 해당하지 않으면 O를 기본 후보로 둡니다.
- 결합 영향 평가: 다른 자료와 함께 저장·조회·분석할 때 침해 영향이 커지는지 살핍니다.
- 담당 부서 검토: 업무부서, 보안부서, 정보공개·개인정보 담당자 등 기관 절차에 따른 검토를 거칩니다.
- 판정 기록: 판단 근거, 담당자, 검토일, 승인 결과와 변경 이력을 남깁니다.
- 주기적 재검토: 공개 시점, 업무 종료, 법령 개정, 데이터 결합 또는 시스템 이전 때 다시 판정합니다.
비용과 기간은 일률적으로 정해져 있지 않다
N2SF 분류 자체에 전국 공통 신청비나 정액 수수료가 부과되는 구조로 보기는 어렵습니다. 실제 비용은 보유 데이터 규모, 문서·DB·이미지 비중, 기존 자산관리 수준, 자동분류 도구 도입 여부, 보안 컨설팅과 시스템 재설계 범위에 따라 달라집니다. 제공된 공식자료만으로 기관 공통 금액을 확정할 수 없으므로 별도 견적이나 예산 편성 시 최신 조달·기관 기준을 확인해야 합니다.
검토 기간도 일괄적으로 정해진 신청기간이 있는 것이 아닙니다. 소량의 표준 문서는 담당 부서 검토로 처리할 수 있지만, 다수 시스템과 비정형 문서가 연결된 기관은 자산 식별, 샘플 검증, 이의조정과 재분류에 더 많은 시간이 필요합니다. 분류 일정은 문서 수만 세지 말고 업무기능 수, 예외 유형, 결합 데이터와 검토 인력까지 반영해 정하는 편이 현실적입니다.
PC와 모바일에서 확인할 때의 차이
PC에서는 PDF 원문 조문, 기관별 세부기준과 첨부파일을 함께 열어 비교하기 쉽습니다. 분류대장을 작성할 때도 업무기능, 정보공개법 해당 호, 후보 등급, 결합 영향, 검토자를 열 단위로 나눠 기록하기 편합니다.
모바일에서는 공지 여부와 문서 발간일을 빠르게 확인할 수 있지만, 긴 PDF의 표·각주·개정 이력을 놓치기 쉽습니다. 모바일로 1차 확인했다면 최종 판정 전 PC에서 원문 전체, 첨부파일, 시행일과 개정 여부를 다시 확인하는 것이 좋습니다. 화면에 보이는 검색 결과 요약만으로 등급을 정하지 않아야 합니다.
문서와 업무별 N2SF 분류 사례
사례 1: 정보통신망 자료
기관 홈페이지에 공개된 서비스 이용 안내는 O로 볼 가능성이 높습니다. 반면 서버의 내부 IP, 방화벽 정책, 접근통제 구조와 취약 지점이 포함된 상세 네트워크 구성도는 유출 시 보안 침해 위험이 크므로 C 후보가 될 수 있습니다. 장비명만 삭제했더라도 연결관계로 주요 시스템을 추론할 수 있다면 충분한 공개 조치가 아닐 수 있습니다.
사례 2: 채용자료
공개된 채용공고는 O 후보지만 지원자의 연락처·학력·경력·건강 관련 정보가 들어 있는 원서는 S 후보입니다. 평가위원별 점수와 내부 심사의견 역시 채용의 공정성과 개인정보에 영향을 줄 수 있어 S로 검토할 수 있습니다. 합격자 발표본은 법적 근거와 공개 범위를 확인하고 불필요한 개인정보를 제거한 뒤 O 여부를 판단합니다.
사례 3: 계약·입찰자료
공고된 입찰 안내는 O가 될 수 있지만, 개찰 전에 예정가격이나 원가를 추정할 수 있는 세부 단가표는 S 후보입니다. 업체가 제출한 기존 기술, 신공법, 원가구조와 내부관리 자료도 영업상 비밀에 해당하는지 살펴야 합니다. 계약 체결 후 일부 항목이 공개되더라도 업체의 비공개 이익이 계속 인정되는 내용은 공개본에서 분리할 필요가 있습니다.
사례 4: 감사와 정책자료
진행 중인 감사계획과 조사 대상 선정 기준은 공개 시 감사 업무를 방해할 수 있어 S 후보입니다. 확정 전 정책대안, 예산 조정안, 내부 검토의견도 의사결정 과정의 공정성을 해칠 가능성을 기준으로 판단합니다. 감사 종료나 정책 확정 후에는 비공개 사유의 존속 여부를 다시 확인하고 공개 가능한 부분을 분리할 수 있습니다.
사례 5: 통계와 공공데이터
홈페이지나 공공데이터 포털을 통해 공표된 집계 통계는 O 후보입니다. 그러나 소수 인원 단위까지 세분된 원자료가 개인을 식별하게 하거나, 비밀 통계의 세부 원천자료에 해당한다면 S 또는 C 검토가 필요합니다. 여러 공개 통계를 결합해 보호대상 시설이나 개인의 행동을 구체적으로 추론할 수 있다면 결합 결과를 별도로 평가해야 합니다.
사례 6: 자동분류 도구를 사용한 경우
OCR 기반 도구는 스캔 이미지에 포함된 주민등록번호, 계좌번호, 보안 관련 문구를 탐지하고 C·S·O 후보 라벨을 표시하는 데 도움을 줄 수 있습니다. 암호화·격리·분류 같은 후처리 기능도 대량 자료 관리에 유용할 수 있습니다.
그러나 제품이 표시한 등급은 공식 확정 판정이 아닙니다. 자동분류 정확도, 공공기관 전체 적용 실적이나 공식 인증 여부는 제품 발표만으로 단정할 수 없으며, 오탐과 누락을 표본검사하고 기관의 법령·업무 분석 절차에 따라 최종 승인해야 합니다.
오분류를 줄이는 체크리스트와 주의사항
최종 판정 전 체크리스트
- 문서 제목이 아니라 본문, 첨부파일, 메타데이터와 이미지 속 글자까지 확인했는가?
- 비밀 또는 대외비 지정 여부와 근거 규정을 확인했는가?
- 정보공개법 제9조제1항 중 어느 호에 해당하는지 구체적으로 기록했는가?
- 업무를 등급이 구별될 수 있는 소기능 단위까지 세분화했는가?
- 원본과 마스킹·비식별 처리한 공개본을 별도 자산으로 관리하는가?
- 다른 데이터와 결합할 때 개인, 시설, 정책 또는 보안상 민감사항이 새로 드러나는가?
- 현재 비공개 사유가 업무 종료나 기간 경과 후에도 남아 있는가?
- 자동분류 결과를 담당자가 표본검사하고 오탐·누락을 확인했는가?
- 판단 근거, 검토자, 검토일, 승인 결과와 변경 이력을 기록했는가?
- 등급에 맞는 시스템·도메인, 접근권한, 전송·저장 통제를 적용했는가?
주의사항
행정안전부의 비공개 대상정보 세부기준은 구체적인 업무 사례를 이해하는 데 유용하지만, 모든 기관의 N2SF 등급을 자동 확정하는 공통 사례표는 아닙니다. 같은 문서명이라도 포함 내용, 작성 목적, 공개 시점, 업무 진행 상태와 결합정보에 따라 등급이 달라질 수 있습니다.
자주 발생하는 오분류와 해결 방법
“내부자료”라는 제목만 보고 S로 분류하는 오류가 흔합니다. 내부자료라도 공개 가능한 일반 안내문이면 O가 될 수 있고, 제목이 “현황자료”여도 국가안보나 수사 관련 핵심 내용이 들어 있다면 C가 될 수 있습니다. 해결 방법은 제목 기반 규칙과 내용 기반 검토를 분리하는 것입니다.
폴더 전체에 하나의 등급을 적용하는 오류도 주의해야 합니다. 하나의 사업 폴더 안에는 공개 공고문, 업체의 영업상 비밀, 내부 보안자료가 함께 있을 수 있습니다. 폴더 단위 등급은 임시 통제로 사용할 수 있지만, 실제 정보자산 목록에서는 문서 유형과 소기능별로 세분화해야 합니다.
O 자료는 재검토하지 않는 오류도 있습니다. 공개자료 여러 개를 결합해 새로운 민감정보가 생성되거나, 공개본에 원본 시트·숨김 열·작성자 메타데이터가 남을 수 있습니다. 외부 배포 전에는 숨김 데이터, 주석, 변경 이력과 첨부 개체까지 점검해야 합니다.
NIST 기준과 직접 치환하면 안 되는 이유
NIST SP 800-60은 미국 연방정부 정보유형을 식별한 뒤 기밀성·무결성·가용성에 대한 영향을 낮음·보통·높음으로 평가하는 체계입니다. N2SF의 C·S·O와 목적 및 판단 구조가 완전히 같지 않으므로 NIST High를 C, Moderate를 S, Low를 O로 자동 치환할 공식 근거는 확인되지 않았습니다.
NIST 체계는 위험 분석을 보완하는 참고자료로 활용할 수 있지만 N2SF 최종 분류는 국내 법령, 국가 사이버보안 기본지침, 기관 업무기능과 최신 보안가이드라인을 기준으로 해야 합니다.
공식자료 확인 경로와 작성 기준
최신 N2SF 보안가이드라인과 배포자료는 국가사이버안보센터에서 확인하고, 정보공개법 조문은 국가법령정보센터에서 확인하는 것이 좋습니다. 기관별 비공개 사례를 참고할 때는 행정안전부의 비공개 대상정보 세부기준을 함께 비교하되 소속 기관의 자체 기준과 승인 절차를 우선 적용해야 합니다.
2026년 말까지 별도의 사례 중심 데이터 분류 가이드라인이 마련될 수 있다는 보도가 있었지만, 2026년 8월 7일 현재 제공된 공식자료에서는 최종 발간 여부를 확정하기 어렵습니다. 실제 도입 시에는 국가사이버안보센터 공식 공지에서 최신 문서명, 버전, 게시일과 적용 조건을 다시 확인해야 합니다.
작성자: 고정정보 · Go to the Info
작성 기준일: 2026년 8월 7일
자료 확인: 국가정보원 국가 사이버보안 기본지침, 국가사이버안보센터 N2SF 보안가이드라인, 국가법령정보센터 정보공개법, 행정안전부 비공개 대상정보 세부기준, 한국인터넷진흥원 실증 사례집 및 공개 검색자료
오류 신고: gttinfo01@gmail.com
이 글은 2026년 8월 7일 확인 가능한 공식자료를 바탕으로 정리한 일반 정보이며, 특정 기관의 최종 보안등급 판정이나 법률·보안 자문을 대신하지 않습니다. 관련 지침과 기관별 기준은 개정될 수 있으므로 실제 분류와 시스템 적용 전 국가사이버안보센터 및 소속 기관 담당 부서에서 최신 기준을 확인하시기 바랍니다.
N2SF 데이터 등급 FAQ
분류 담당자: 문서명만 보고 C·S·O를 정해도 되나요?
안 됩니다. 문서명은 참고사항일 뿐이며 실제 본문, 첨부, 메타데이터, 업무기능과 비공개 사유를 확인해야 합니다. 같은 “회의자료”라도 공개 설명회 자료는 O가 될 수 있고 비공개 안보회의 자료는 C가 될 수 있습니다.
업무 담당자: 어느 비공개 조항에도 해당하지 않으면 바로 O인가요?
O를 기본 후보로 검토할 수 있지만 즉시 확정하는 것은 아닙니다. 다른 법률의 비공개 의무, 개인정보 처리 조건, 결합에 따른 침해 영향과 최신본에 추가된 내용을 확인한 뒤 담당 부서 검토를 거쳐야 합니다.
개인정보 담당자: 개인정보가 포함되면 모두 S인가요?
모두 S인 것은 아닙니다. 사생활 침해 우려가 있는 원본 개인정보는 통상 S 후보지만, 법정 공개 대상이거나 적법한 마스킹·비식별 조치를 마친 공개본은 O를 검토할 수 있습니다. 국가안보·수사정보와 결합해 영향이 커지면 C 상향 가능성도 있습니다.
정보공개 담당자: 비공개 기간이 끝나면 자동으로 O가 되나요?
자동 전환하지 않는 것이 안전합니다. 기존 비공개 사유가 실제로 소멸했는지, 다른 비공개 정보가 남아 있는지, 공개본에 숨김 데이터나 개인정보가 포함됐는지 재검토한 뒤 변경 이력을 남겨야 합니다.
시스템 운영자: S 정보는 반드시 S 환경에서만 처리해야 하나요?
원칙적으로는 S와 같거나 더 높은 등급 환경에서 처리합니다. 다만 공식 보안가이드라인의 통제항목을 충족한 경우 예외적으로 낮은 등급 환경에서 처리할 수 있으므로 기관 승인과 기술적·관리적 통제 요건을 확인해야 합니다.
데이터 분석가: 공개데이터끼리 결합했는데 등급이 올라갈 수 있나요?
올라갈 수 있습니다. 각각의 자료가 O여도 결합 결과로 개인, 주요시설, 취약점 또는 미공개 정책을 구체적으로 추론할 수 있다면 침해 영향을 다시 평가하고 S 또는 C 상향을 검토해야 합니다.
보안 담당자: 자동분류 솔루션이 지정한 등급을 그대로 사용해도 되나요?
후보 등급으로만 활용하는 것이 적절합니다. OCR과 패턴 탐지는 대량 점검에 유용하지만 문맥, 법적 공개 의무, 업무 진행 상태와 결합 영향을 완전하게 판단하기 어렵습니다. 표본검사와 담당 부서의 최종 승인이 필요합니다.
감사 담당자: 분류 결과와 함께 무엇을 기록해야 하나요?
판단 근거, 적용 법령과 조항, 담당자, 검토일, 승인 결과 및 변경 이력을 기록해야 합니다. 등급이 바뀌었다면 변경 사유와 이전 등급, 공개 또는 업무 종료 시점도 함께 남기는 것이 사후 점검에 도움이 됩니다.
기관 관리자: 행정안전부 사례표를 그대로 적용하면 되나요?
그대로 일괄 적용하면 안 됩니다. 행정안전부 세부기준은 정보공개법상 비공개 사례를 이해하는 참고자료이며 모든 기관에 동일하게 적용되는 N2SF 확정표가 아닙니다. 기관의 기능, 보유 데이터, 인프라와 자체 보안정책을 반영해 재설계해야 합니다.
👉 함께 읽으면 좋은 글