55억 원, 656건, 그리고 남은 1년
2026년 3월 15일 연합뉴스 보도 기준, 올해 국가망보안체계(N2SF) 실증·확산 사업은 약 55억 원 규모다. 45억 원짜리 'N2SF 도입 지원 사업'과 9억9천만 원짜리 실증 용역으로 나뉘어 KISA가 공모를 돌렸다. N2SF는 공공의 데이터와 시스템을 기밀(C)·민감(S)·공개(O)로 나눠 등급별로 다르게 통제하는 체계다. 같은 기사에 정부의 동기가 그대로 적혀 있다. 물리적 망분리 환경에서는 업무망에서 생성형 AI를 쓸 수 없었고, 보안 통제를 끝낸 기관부터 AI 활용 폭이 넓어진다는 것. 국정원은 올해부터 N2SF 구축을 사이버보안 실태평가 가산점으로 신설했고, 이 평가는 공공기관 경영평가 100점 중 0.6점에 반영된다.
여기에 제도 전환이 겹친다. 2026년 4월 정부는 CSAP 이원 심사를 국정원 중심 단일 검증으로 바꾸는 방안을 발표했고 시행 목표는 2027년 7월이다. 업계 정리 자료에 따르면 2026년 상반기 공공 디지털서비스 계약은 656건으로 전년 동기의 약 2.6배였다.
숫자만 보면 "공공 시장이 열린다"는 결론으로 직행하고 싶어진다. 나는 그 결론을 쓰지 않겠다.
열린 것은 시장이 아니라 병목이다
같은 연합뉴스 기사에 업계 관계자의 말이 실려 있다. "문제는 각 기관이 가진 방대한 데이터를 어떻게 일일이 평가하고 분류할 것인가에 있다." 가이드라인은 대략적인 기준만 준다. 기준이 모호하고 담당 인력과 예산이 모자라 도입을 주저하는 기관이 적지 않다는 지적도 함께 붙어 있다.
이게 핵심이다. N2SF가 만들어낸 수요는 '더 안전한 제품'이 아니다. 어떤 업무가 어떤 데이터를 건드려 어디로 내보냈는지 설명할 수 있는 상태에 대한 수요다. 등급 분류, 흐름 식별, 위협 모델링, 보안성 검토 서류 — 전부 업무의 자취를 문서로 재구성하는 일이다. 그리고 지금 그 일은 거의 전부 사람 손으로 굴러간다.
ArchitectureAI의 제품 가설은 승인된 실제 업무에서 재사용 가능한 절차를 쌓고 출처 있는 맥락을 남긴다는 것이다(브랜드 컨텍스트, 2026-09-07 기준 — 구현 확인이 아니라 가설). 그 모양이 위 수요와 우연히 겹친다. 절차와 승인과 출처가 남는다는 말은, 감사 가능한 자취가 남는다는 말과 같은 구조이기 때문이다.
여기서 한 발 물러서 못을 박아 둔다. 데스크톱에서 돈다는 사실은 데이터가 밖으로 안 나간다는 뜻이 아니다. 모델 호출은 나간다. 저장소 규율이 정확히 그걸 금지한다 — 로컬 실행을 무과금이나 프라이버시로 포장하지 않는다. 우리는 보안 제품이 아니고, 그렇게 팔면 첫 실사에서 끝난다.
반대 의견
공공은 지금 우리가 갈 시장이 아니다. 조달 등록, 레퍼런스, 구축 인력, 국정원 보안성 검토. 기획·소스검토 단계 제품이 1년 안에 통과할 관문이 아니다. 게다가 감사 로그는 기능이지 카테고리가 아니다. Glean도 Notion도 붙일 수 있고, 붙일 것이다.
이 반론을 받아들인다. 그래서 결론은 "공공에 팔자"가 아니다.
노릴 자리는 기관이 아니라 기관에 납품하는 쪽
2027년 7월까지 N2SF 서류를 만들어 줘야 하는 사람들이 있다. 컨설팅사, SI, 보안업체, 공공 SaaS 진출 준비 기업. 이들은 (a) 움직일 수 없는 마감이 있고 (b) 기관마다 거의 같은 분류·문서화를 반복하고 (c) 산출물이 결국 문서다. '한 번 승인된 절차가 다음 건에서 재사용된다'는 우리 주장이 가장 짧은 주기로 참·거짓 판정을 받는 조건이다. 조달을 통과할 필요도 없다. 우리 고객은 기관이 아니라 업체니까.
이건 제안이고 가설이다. 관련 인터뷰는 아직 0건이다.
이번 주에 할 일
- N2SF 납품 측 3곳에 연락한다. KISA 실증 사업 참여 컨소시엄 공개 정보에서 시작해, 목표는 계약이 아니라 30분 인터뷰. 질문은 하나로 고정한다 — "지난 건에서 만든 산출물 중 이번 건에 그대로 다시 쓴 게 뭐였나."
- '재사용된 절차' 한 건을 우리 손으로 만들어 본다. 기관 하나를 가정하고 자산 목록에서 C/S/O 초안 분류표까지 가는 절차를 ArchitectureAI 위에서 돌린 뒤, 두 번째 가정 기관에서 얼마나 다시 쓰였는지를 숫자로 적는다. 순절감시간이 핵심 지표인 이유가 여기서 처음 실물로 나온다.
- 못 하는 것 목록에 한 줄을 추가한다. "N2SF 인증을 대신 받아 주지 않는다. 보안 등급 판단의 책임은 기관과 검토자에게 있다." 규제 시장에 발을 걸칠 때 가장 먼저 물어볼 질문이고, 먼저 써 두는 쪽이 신뢰를 얻는다.