클라우드 보안인증은 클라우드 서비스가 정해진 보안 기준을 갖추었는지 제3의 기관이 심사해 확인해 주는 제도와 증명을 뜻한다. 클라우드 보안을 점검하려는 사람은 대개 인증이 있으면 믿어도 되는지, 어떤 인증이 내게 필요한지, 인증 말고 무엇을 봐야 하는지를 묻는다. 이 기사는 인증의 갈래와 한계, 도입 전 점검 순서, 클라우드 보안 엔지니어라는 직무와 공부 방향까지 차례로 짚는다.
인증이 보증하는 것과 보증하지 않는 것
국내에서 클라우드와 관련해 자주 거론되는 인증은 크게 두 갈래다. 하나는 공공기관이 민간 클라우드 서비스를 쓸 때 요구하는 클라우드 보안인증제(CSAP)이고, 한국인터넷진흥원이 평가와 인증 업무를 맡는 것으로 알려져 있다. 다른 하나는 기업이 정보와 개인정보를 어떻게 관리하는지를 심사하는 정보보호 및 개인정보보호 관리체계 인증(ISMS-P)이다. 앞의 것은 서비스 자체의 보안 수준을, 뒤의 것은 조직의 관리 체계를 본다는 점에서 심사 대상이 다르다. 세부 등급이나 평가 항목은 제도가 손질되므로 반드시 공식 안내에서 확인해야 한다.
국제적으로는 정보보호 관리체계에 관한 국제표준(ISO/IEC 27001 계열)이 널리 쓰이고, 클라우드 환경에 맞춘 보조 표준도 있다. 해외 거래처가 이 표준 인증서를 요구하는 경우가 많다. 해외 제도의 예로 미국은 연방기관이 클라우드를 쓸 때 자체 인증 절차(FedRAMP)를 거치게 한다. 다만 우리나라 공공 클라우드 인증과는 심사 주체와 구조가 다르므로 서로 대신할 수 있다고 단정해서는 안 된다.
흔한 오해는 인증이 있으면 내 데이터가 안전하다고 믿는 것이다. 인증은 심사 당시 정해진 범위에서 기준을 충족했다는 증명이지 앞으로의 안전을 약속하는 문서가 아니다. 인증 범위에 내가 쓰려는 서비스와 지역이 들어 있는지부터 따져야 한다. 또 클라우드는 제공자와 이용자가 보안 책임을 나눠 지는 구조여서, 제공자가 인증을 받았어도 이용자 쪽 설정은 이용자 몫으로 남는다.
도입 전 점검은 이 순서로 한다
판단은 쓰임새에서 출발한다. 먼저 어떤 자료를 올릴지 구분한다. 공개해도 되는 자료인지, 개인정보나 거래 기밀이 섞였는지에 따라 요구되는 수준이 달라진다. 그다음 공공 업무 여부, 거래처의 요구, 내부 규정을 확인해 필요한 인증을 정한다. 마지막으로 그 인증이 서비스 범위에 실제로 적용되는지 확인한다.
인증을 확인한 뒤에는 인증서에 나오지 않는 항목을 본다. 접속 권한을 사람과 업무별로 나눌 수 있는지, 접속과 변경 기록이 남고 보관 기간을 정할 수 있는지, 저장 데이터를 해독할 수 없도록 보호하는 기능이 있는지를 살핀다. 백업과 복구 방식, 데이터가 보관되는 지역, 계약이 끝났을 때 자료를 돌려받고 지우는 절차도 문서로 확인한다. 정부 기관이 내놓는 클라우드 보안 가이드라인과 가이드는 이런 점검표의 뼈대로 쓸 만하다.
실제로 어긋나는 지점은 인증이 아니라 설정에서 나오는 일이 많다. 저장 공간을 외부에 열어 둔 채 쓰거나, 편의를 위해 관리자 권한을 넓게 주거나, 쓰지 않는 계정을 정리하지 않는 경우가 대표적이다. 이런 약점을 줄이려면 최소 권한 원칙, 다중 인증, 주기적인 설정 점검, 소프트웨어 갱신 관리가 기본이 된다. 인증을 확인하는 일과 설정을 점검하는 일은 서로 대신할 수 없다.
클라우드 보안 엔지니어라는 직무와 공부 방향
클라우드 보안 엔지니어는 클라우드 환경의 권한 설계, 설정 점검, 로그 감시, 보안 자동화, 인증 심사 대응을 맡는 직무다. 현실은 화려한 대응보다 반복 점검과 조율에 가깝다는 평가가 많다. 개발팀과 보안 기준을 맞추고, 설정 오류를 찾아 고치고, 심사 때 쓸 증빙을 정리하는 시간이 길기 때문이다. 온라인 커뮤니티의 후기는 회사 규모와 팀 구조에 따라 크게 갈리므로 개인 경험으로 읽는 편이 맞다.
공부와 취업을 생각한다면 네트워크, 운영체제, 권한 관리 같은 기초를 먼저 다지고, 한 곳의 클라우드 환경을 직접 구성해 보며 설정 실수가 어떤 약점이 되는지 익히는 순서가 무난하다. 자격증은 실무 경험을 대신하지 못하지만 학습 범위를 잡는 길잡이로는 쓸 수 있다. 채용 공고에서 요구하는 인증 경험과 도구는 회사마다 다르니 관심 있는 공고를 읽어 공통 요건을 추리면 된다.
| 구분 | 먼저 볼 인증 | 함께 확인할 점 |
|---|---|---|
| 공공기관이 클라우드를 쓸 때 | 공공용 클라우드 보안인증 | 인증 범위에 쓰려는 서비스가 포함되는지 |
| 민간 기업이 도입할 때 | 관리체계 인증, 국제표준 인증서 | 거래처 요구와 자료의 성격, 책임 분담 범위 |
확인은 어디서 하면 되나
인증 여부와 범위는 서비스 제공자의 설명만 믿지 말고 인증 기관의 공식 안내와 인증서에서 직접 확인하면 된다. 이어서 계약서와 서비스 약관에서 책임 분담, 데이터 위치, 종료 시 반출 조건을 읽고, 정부 기관이 공개한 보안 가이드를 점검표로 삼아 빠진 항목을 채우면 된다. 판단이 어려운 부분은 사내 정보보호 담당자나 공식 상담 창구에 문의하는 것이 가장 정확하다.
· · · · · · · · · ·
스페셜타임스는 AI 기술의 도움을 받아 더 빠르고 다양한 뉴스를 독자에게 전달하기 위해 노력하고 있습니다.