한눈에 보는 핵심 요약

국가·공공기관에서 클라우드를 도입할 때는 단순히 "어떤 클라우드 서비스를 사용할 것인가"만 결정하는 것이 아니라, 무엇을 위해 사용하는지(목적)​와 어떤 형태의 서비스를 사용하는지(서비스 유형)​를 먼저 구분하는 것이 중요합니다.

「국가 클라우드 컴퓨팅 보안 가이드라인(2023.01)」은 클라우드 컴퓨팅을 크게 다음과 같이 분류합니다.

목적별 분류

• 업무용 클라우드 컴퓨팅

• 공개용 클라우드 컴퓨팅

서비스별 분류

• IaaS(Infrastructure as a Service)

• PaaS(Platform as a Service)

• SaaS(Software as a Service)

• 복합서비스

가이드라인은 이와 같은 분류를 통해 클라우드의 사용 목적과 서비스 형태를 명확하게 이해하고, 그에 적합한 보안대책을 마련하도록 하는 데 의미가 있습니다.

왜 클라우드 컴퓨팅의 "분류"가 중요한가?

공공기관 정보화사업에서 클라우드를 검토할 때 흔히 다음과 같이 생각하기 쉽습니다.

"우리 시스템을 클라우드로 이전하면 되는 것 아닌가?"

하지만 실제로는 그렇지 않습니다.

예를 들어 기관이 운영하는 시스템이 다음과 같다고 가정해 보겠습니다.

• 내부 행정업무 시스템

• 직원용 업무용 PC 환경

• 기관 홈페이지

• 국민 대상 온라인 민원서비스

• 이메일

• 데이터 분석 시스템

• 기관에서 사용하는 SaaS

• 개발·테스트 환경

이 시스템들은 모두 클라우드를 이용할 수 있지만 업무 목적, 외부 연결 여부, 취급정보, 서비스 형태가 서로 다릅니다.

따라서 정보화 담당자는 최소한 다음 질문에 답할 수 있어야 합니다.

① 이 시스템은 업무용인가 공개용인가?
② IaaS인가 PaaS인가 SaaS인가?
③ 어떤 정보와 데이터를 처리하는가?
④ 누가 클라우드 환경을 관리하는가?
⑤ 기관이 직접 관리하는 영역과 사업자가 관리하는 영역은 어디인가?

특히 국가·공공기관의 경우 클라우드 환경의 전체 구성과 기관 및 사용자가 담당하는 관리 범위를 이해하는 것이 안전한 클라우드 이용계획을 수립하는 데 중요합니다. 가이드라인 역시 클라우드 구축 유형과 서비스 형태에 따라 구성요소별 관리주체가 달라질 수 있으므로 전체 구성과 관리범위를 파악해야 한다고 설명합니다.

목적에 따른 클라우드 컴퓨팅 분류

1. 업무용 클라우드 컴퓨팅

가이드라인에서 말하는 업무용 클라우드 컴퓨팅은 국가기관의 행정업무 등을 위해 사용하는 IT 자원을 클라우드 방식으로 구축한 형태입니다.

기존의 물리적 컴퓨팅 환경에서 사용하던

• 업무 서버

• 업무용 PC

• 업무용 소프트웨어

등을 클라우드 환경으로 전환하는 것을 생각하면 이해하기 쉽습니다.

쉽게 이해하면

기존에는 기관 내부 서버실에 업무 서버를 설치하고 직원들이 기관 내부 업무망을 통해 접속했다면,

기존 환경

업무 PC → 기관 내부망 → 물리 서버

에서

클라우드 환경

업무 PC → 기관 업무망 → 클라우드 가상자원 → 업무시스템

과 같은 형태로 전환할 수 있습니다.

2. 업무용 클라우드에서 중요한 점

업무용 클라우드는 단순한 IT 인프라 이전이 아닙니다.

기관의 중요한 업무자료가 저장될 수 있기 때문에 보안 측면에서 특별한 관리가 필요합니다.

가이드라인도 업무용 클라우드에는 중요한 업무자료가 있을 수 있으므로 보다 안전한 관리가 필요하다고 설명합니다.

따라서 정보화 담당자는 다음 사항을 검토하는 것이 좋습니다.

업무용 클라우드 검토 체크포인트

공개용 클라우드 컴퓨팅

1. 공개용 클라우드란?

공개용 클라우드 컴퓨팅은 기관이 사용하는 IT 자원 가운데 인터넷 연결이 필요한 자원을 클라우드 방식으로 구축하는 형태입니다.

가이드라인에서는 기존 컴퓨팅 환경의 DMZ 영역과 유사한 대민서비스 영역을 예로 들고 있습니다.

대표적으로 다음과 같은 시스템이 해당될 수 있습니다.

• 기관 홈페이지

• 대국민 웹서비스

• 메일 서버

• DNS 서버

• 인터넷 기반 공개 서비스

가이드라인은 공개용 클라우드에서 DDoS 공격이나 외부 해킹 등 다양한 공격이 발생할 수 있으므로 방화벽, IDS, IPS, DDoS 차단시스템 등 정보보호시스템을 이용한 보호가 필요하다고 설명합니다.

업무용과 공개용의 차이를 쉽게 이해하기

두 유형의 가장 큰 차이는 "누구를 대상으로 서비스를 제공하는가"와 "인터넷 연결이 필요한가"​입니다.

중요한 점은 업무용이라고 해서 보안이 중요하고 공개용은 덜 중요하다는 의미가 아니라는 것입니다.

두 환경은 공격 표면과 보호해야 할 대상이 다르기 때문에 각각의 특성에 맞는 보안대책을 적용해야 한다는 의미로 이해하는 것이 좋습니다.

서비스 형태에 따른 클라우드 분류

두 번째 분류 기준은 클라우드 사업자가 무엇을 서비스로 제공하는가입니다.

「국가 클라우드 컴퓨팅 보안 가이드라인(2023.01)」은 다음과 같이 구분합니다.

1. IaaS

2. PaaS

3. SaaS

4. 복합서비스

이를 가장 쉽게 표현하면 다음과 같습니다.

IaaS = 컴퓨팅 인프라를 빌려 쓰는 것
PaaS = 개발환경을 빌려 쓰는 것
SaaS = 완성된 소프트웨어를 사용하는 것

IaaS — Infrastructure as a Service

1. IaaS란?

IaaS는 Infrastructure as a Service, 즉 ​인프라 제공 서비스입니다.

가이드라인에서는 서버, 스토리지, 네트워크 등의 인프라 자원을 가상환경으로 만들어 필요한 만큼 사용할 수 있도록 제공하는 서비스로 설명합니다.

쉽게 말하면,

"서버실에 직접 서버를 사서 설치하지 않고 필요한 컴퓨팅 자원을 클라우드에서 빌려 사용하는 것"

입니다.

2. 공공기관에서 생각할 수 있는 IaaS 사례

예를 들어 기관에서 새로운 홈페이지 서버를 구축한다고 가정해 보겠습니다.

기존 방식이라면

1. 서버 구매

2. 서버실 설치

3. 네트워크 연결

4. 운영체제 설치

5. 보안 설정

6. 애플리케이션 설치

등의 과정이 필요합니다.

IaaS에서는 클라우드 환경에서 가상서버를 생성하고 필요한 CPU·메모리·스토리지·네트워크 환경을 구성하여 사용할 수 있습니다.

가이드라인 역시 IaaS를 통해 가상서버와 가상PC 등의 컴퓨팅 자원을 이용하고 필요한 네트워크 환경을 구성할 수 있다고 설명합니다.

IaaS에서 정보화 담당자가 주의할 점

IaaS는 인프라를 제공받지만 기관이 관리해야 하는 영역이 상당히 남아 있을 수 있습니다.

예를 들어 기관이 가상서버를 사용한다면 다음과 같은 영역은 별도의 관리가 필요합니다.

• 운영체제 보안

• 애플리케이션 보안

• 계정 및 권한

• 서버 설정

• 데이터 보호

• 로그 관리

• 취약점 관리

• 백업 및 복구

따라서

"클라우드를 사용하면 서버 보안은 모두 클라우드 사업자가 책임진다."

라고 생각하면 안 됩니다.

클라우드에서는 서비스 제공자와 이용기관 사이의 보안관리 범위를 명확하게 정의하는 것이 중요합니다.

PaaS — Platform as a Service

PaaS란?

PaaS는 Platform as a Service, 즉 ​플랫폼 제공 서비스입니다.

가이드라인에서는 별도의 개발 플랫폼을 구축하지 않아도 개발에 필요한 플랫폼 자원을 가상환경으로 제공하여 필요에 따라 사용할 수 있는 서비스로 설명합니다.

쉽게 말하면,

"개발자가 서버와 개발환경을 직접 구성하지 않고 바로 프로그램을 개발할 수 있도록 플랫폼을 제공받는 것"

입니다.

PaaS의 대표적인 활용 모습

예를 들어 공공기관이 새로운 민원처리 웹서비스를 개발한다고 생각해 보겠습니다.

직접 구축한다면

서버 → OS → 웹서버 → 개발환경 → 데이터베이스 → 개발도구

등을 준비해야 합니다.

PaaS를 사용하면 이러한 개발에 필요한 환경을 서비스 형태로 제공받아 개발에 집중할 수 있습니다.

가이드라인에서는 Java와 같은 웹 애플리케이션 개발환경이나 MySQL과 같은 DB 환경을 예로 들면서 별도의 인프라 및 개발 플랫폼을 구축하지 않고 개발 플랫폼을 활용할 수 있다고 설명합니다.

SaaS — Software as a Service

SaaS란?

SaaS는 Software as a Service, 즉 ​소프트웨어 제공 서비스입니다.

가이드라인에서는 응용 소프트웨어를 별도로 설치하지 않고 네트워크를 통해 사용하는 서비스로 설명합니다.

쉽게 표현하면,

"프로그램을 내 PC에 설치해서 사용하는 대신 클라우드에 접속해서 사용하는 것"

입니다.

SaaS의 대표적인 특징

SaaS 환경에서는 사용자가 소프트웨어 자체를 직접 설치하고 관리하는 부담이 줄어듭니다.

대표적으로 생각할 수 있는 서비스 형태는

• 웹오피스

• 화상회의

• 협업솔루션

• 업무용 애플리케이션

등입니다.

가이드라인에서도 웹오피스, 화상회의, 협업솔루션 등을 SaaS의 사례로 제시하고 있습니다.

공공기관에서 SaaS를 도입할 때 중요한 질문

SaaS는 사용이 편리하지만 기관 입장에서는 오히려 "내부에서 직접 관리하지 않는 부분이 많아진다"​는 점을 주의해야 합니다.

따라서 다음과 같은 질문을 확인해야 합니다.

SaaS 도입 전 체크리스트

① 데이터는 어디에 저장되는가?

② 누가 데이터를 관리하는가?

③ 관리자 권한은 어떻게 관리되는가?

④ 사용자 인증은 어떻게 이루어지는가?

⑤ 로그는 얼마나 보관되는가?

⑥ 장애가 발생하면 어떻게 복구되는가?

⑦ 데이터 백업은 어떻게 이루어지는가?

⑧ 계약 종료 시 데이터를 어떻게 회수할 수 있는가?

⑨ 외부 서비스와 연동되는가?

⑩ 기관의 보안관제 및 사고대응 체계와 연계할 수 있는가?

이러한 부분은 단순한 서비스 기능 비교보다 공공기관의 클라우드 도입에서 더욱 중요하게 검토할 사항입니다.

복합서비스

복합서비스란?

가이드라인은 IaaS, PaaS, SaaS 중 둘 이상의 서비스를 복합하여 제공하는 형태를 복합서비스로 분류합니다. 대표적인 예로 DaaS(Desktop as a Service)를 제시하고 있습니다.

예를 들어 DaaS에서는

가상 인프라 + 가상 PC + 소프트웨어

등을 결합하여 사용자에게 하나의 서비스 형태로 제공할 수 있습니다.

IaaS·PaaS·SaaS를 한 번에 이해하기

다음과 같이 생각하면 쉽습니다.

IaaS

"컴퓨터를 빌려주세요."

기관이 가상서버, 스토리지, 네트워크 등을 활용합니다.

PaaS

"프로그램 개발할 수 있는 환경을 만들어주세요."

기관 개발자가 제공되는 플랫폼을 이용해 애플리케이션을 개발합니다.

SaaS

"완성된 프로그램을 사용할 수 있게 해주세요."

기관 사용자가 웹 등을 통해 애플리케이션을 이용합니다.

복합서비스

"여러 서비스를 묶어서 하나의 형태로 제공해주세요."

DaaS와 같은 형태가 대표적인 예입니다.

서비스 유형에 따른 관리범위의 차이

공공기관 정보화 담당자가 특히 기억해야 할 부분입니다.

일반적으로 클라우드 서비스의 추상화 수준이 높아질수록 기관이 직접 관리하는 인프라 영역은 줄어들고 서비스 제공자에 대한 의존성이 커질 수 있습니다.

다만 실제 책임 범위는 서비스 계약과 구성에 따라 달라질 수 있으므로 "IaaS니까 무조건 이 책임, SaaS니까 무조건 저 책임"이라고 단정하기보다는 실제 서비스의 관리·운영 범위를 확인해야 합니다.

가이드라인도 클라우드 구축 유형과 서비스 형태에 따라 구성요소별 관리 주체가 달라질 수 있음을 설명하고 있습니다.

목적 분류와 서비스 분류는 서로 다른 기준이다

여기서 공공기관 담당자가 자주 혼동하는 부분이 있습니다.

업무용/공개용과 IaaS/PaaS/SaaS는 서로 경쟁하는 분류가 아닙니다.

서로 다른 관점에서 클라우드를 바라보는 분류입니다.

예를 들어 다음과 같이 조합할 수 있습니다.

따라서 정보화사업을 검토할 때는

"업무용인가 공개용인가?"

를 먼저 보고,

그다음

"IaaS인가 PaaS인가 SaaS인가?"

를 확인하는 방식으로 접근하면 이해하기 쉽습니다.

실제 공공기관 클라우드 도입 사례를 가정해 보기

사례 1. 내부 행정업무 시스템

기관 내부 직원만 사용하는 업무시스템이라면 우선 업무용 클라우드 관점에서 검토할 수 있습니다.

예를 들어

업무시스템 + DB + 파일저장

을 클라우드 환경으로 이전할 수 있습니다.

이 경우 중요한 것은

• 업무정보 보호

• 사용자 접근통제

• 관리자 권한 관리

• 내부망 연계

• 데이터 백업

• 장애복구

• 로그 및 보안관제

등입니다.

사례 2. 기관 홈페이지

기관 홈페이지처럼 인터넷을 통해 국민에게 서비스를 제공하는 시스템은 공개용 클라우드 관점에서 검토할 수 있습니다.

특히

• DDoS

• 웹 공격

• 비인가 접근

• 악성 트래픽

• 서비스 장애

등에 대한 대응이 중요합니다.

가이드라인 역시 공개용 클라우드에 대해 방화벽, IDS, IPS, DDoS 차단시스템 등의 정보보호시스템을 이용한 보호가 필요하다고 설명합니다.

사례 3. 기관의 개발환경

개발자가 별도의 서버와 개발 플랫폼을 구축하지 않고 클라우드에서 개발환경을 이용한다면 PaaS 형태를 고려할 수 있습니다.

이 경우 개발보안, 계정관리, 소스코드 보호, 개발·운영 환경 분리 등의 문제도 함께 검토해야 합니다.

사례 4. 직원용 업무 소프트웨어

기관 직원들이 웹을 통해 업무용 소프트웨어를 사용한다면 SaaS 형태가 될 수 있습니다.

이 경우에는 특히

• 사용자 계정

• 인증

• 권한

• 데이터 저장 위치

• 로그

• 백업

• 외부 연계

• 서비스 종료 시 데이터 회수

등을 확인하는 것이 중요합니다.

"클라우드 분류" 다음에는 무엇을 검토해야 할까?

클라우드 분류 자체가 최종 의사결정은 아닙니다.

국가·공공기관의 실제 클라우드 도입에서는 시스템의 중요도와 클라우드 영역을 함께 검토하는 과정이 중요합니다.

「국가 클라우드 컴퓨팅 보안 가이드라인」은 제3장에서 별도로 클라우드 영역 분류와 시스템 중요도 분류 기준 및 절차를 제시하고 있습니다.

특히 가이드라인에 따르면 국가·공공기관의 클라우드 영역은

• 공공 업무망 영역

• 공공 인터넷망 영역(물리적 영역 분리)

• 공공 인터넷망 영역(논리적 영역 분리)

등으로 구분되며, 시스템 중요도에 따라 클라우드 영역을 선택하도록 설명하고 있습니다.

또한 시스템 중요도는 상·중·하 등급으로 분류하며, 시스템의 특성, 목적, 취급정보의 중요도와 파급영향 등을 고려하도록 제시하고 있습니다.

실무에서는 "분류 → 중요도 → 영역 → 보안요건" 순서로 생각하자

공공기관 정보화 담당자에게 가장 실용적인 접근방법은 다음과 같습니다.

STEP 1. 시스템의 목적을 확인

내부 행정업무인가?

→ 업무용 클라우드

인터넷을 통한 대국민 서비스인가?

→ 공개용 클라우드

STEP 2. 서비스 형태를 확인

가상서버·스토리지·네트워크를 사용하는가?

→ IaaS

개발 플랫폼을 사용하는가?

→ PaaS

완성된 애플리케이션을 사용하는가?

→ SaaS

둘 이상을 결합했는가?

→ 복합서비스

STEP 3. 시스템 중요도를 판단

해당 시스템이 침해되었을 때

• 기밀성이 훼손되면 어떤 피해가 발생하는가?

• 무결성이 훼손되면 어떤 피해가 발생하는가?

• 가용성이 떨어지면 어떤 업무가 중단되는가?

를 검토합니다.

STEP 4. 적합한 클라우드 영역을 검토

시스템 중요도와 네트워크 특성을 고려하여 적합한 클라우드 영역을 검토합니다.

STEP 5. 보안요건을 확인

마지막으로 실제 클라우드 서비스 또는 구축환경에 필요한 보안요건을 확인합니다.

정보화 담당자가 사업계획 단계에서 확인해야 할 질문

클라우드 도입사업을 기획한다면 다음 질문을 체크리스트로 활용할 수 있습니다.

[클라우드 분류 체크리스트]

□ 이 시스템은 업무용인가 공개용인가?

□ 인터넷 연결이 필요한 시스템인가?

□ 기관 업무망과 연결되는가?

□ 대국민 서비스인가?

□ IaaS인가?

□ PaaS인가?

□ SaaS인가?

□ 복합서비스인가?

□ 처리하는 데이터의 중요도는 어느 정도인가?

□ 개인정보를 처리하는가?

□ 비공개 업무자료를 처리하는가?

□ 시스템 장애가 발생하면 기관 업무에 어느 정도 영향을 주는가?

□ 시스템 중요도 분류가 필요한가?

□ 적합한 클라우드 영역은 어디인가?

□ 기관과 클라우드 서비스 제공자의 관리범위는 어디까지인가?

□ 관리자 접근권한은 어떻게 관리되는가?

□ 데이터 저장 위치는 어디인가?

□ 백업 및 복구체계가 마련되어 있는가?

□ 보안관제 및 사고대응이 가능한가?

□ 계약 종료 시 데이터 회수와 삭제가 가능한가?

특히 주의해야 할 "클라우드니까 안전하다"는 생각

클라우드는 자원을 효율적으로 사용할 수 있고 신속한 자원 추가·회수가 가능하다는 장점이 있지만, 새로운 보안위협도 발생할 수 있습니다.

가이드라인은 클라우드 환경에서 데이터가 중앙에 집중될 수 있고, 장애 발생 시 클라우드를 이용하는 업무 전체에 영향을 줄 수 있으며, 가상환경의 취약점이나 다중 임차 환경에서의 위험 등이 발생할 수 있다고 설명합니다.

따라서 클라우드 도입의 핵심은

"클라우드를 사용할 것인가?"

만이 아니라

"어떤 데이터를 어떤 클라우드 영역에서 어떤 서비스 형태로 운영하고, 누가 무엇을 관리할 것인가?"

를 결정하는 것입니다.

국가·공공기관 담당자를 위한 핵심 정리

「국가 클라우드 컴퓨팅 보안 가이드라인(2023.01)」의 제2절을 실무 관점에서 정리하면 다음과 같습니다.

첫 번째 — 목적을 분류한다

업무용인가? 공개용인가?

두 번째 — 서비스 유형을 분류한다

IaaS인가? PaaS인가? SaaS인가? 복합서비스인가?

세 번째 — 데이터와 시스템 중요도를 확인한다

어떤 정보가 처리되고 침해 시 어떤 영향이 발생하는가?

네 번째 — 클라우드 영역을 결정한다

업무망·인터넷망 및 시스템 중요도 등을 고려해 적합한 영역을 검토한다.

다섯 번째 — 관리범위를 명확히 한다

기관이 관리할 부분과 클라우드 서비스 제공자가 관리할 부분을 구분한다.

여섯 번째 — 보안요건을 확인한다

접근통제, 암호화, 보안관제, 사고대응, 백업·복구 등 필요한 보안대책을 확인한다.

클라우드 컴퓨팅을 도입하는 국가·공공기관의 정보화 담당자에게 "클라우드의 종류를 아는 것"과 "클라우드를 안전하게 도입하는 것"은 서로 다른 문제​입니다.

「국가 클라우드 컴퓨팅 보안 가이드라인(2023.01)」의 제2절은 이를 이해하기 위한 출발점으로서 클라우드를 목적별 및 서비스별로 구분하고 있습니다.

가장 먼저 기억해야 할 구조는 다음과 같습니다.

목적별

업무용 클라우드
↕
공개용 클라우드

그리고 서비스 관점에서는

서비스별

IaaS
↓
PaaS
↓
SaaS
↓
복합서비스

로 이해할 수 있습니다.

하지만 실제 공공기관 사업에서는 여기에서 끝나지 않습니다.

클라우드 분류 → 시스템 중요도 분류 → 클라우드 영역 분류 → 도입요건 확인 → 보안성 검토 → 보안대책 적용

이라는 흐름으로 접근해야 보다 체계적인 클라우드 도입계획을 수립할 수 있습니다.

또한 「국가 클라우드 컴퓨팅 보안 가이드라인(2023.01)」은 국가·공공기관의 클라우드 보안 수준 향상을 위한 기준으로 작성된 자료이므로, 실제 사업을 추진할 때에는 당시 가이드라인뿐 아니라 현재 시행 중인 관련 법령·고시·국가정보보안 관련 지침과 최신 공공 클라우드 이용 안내서도 함께 확인해야 합니다.