왜 공공기관의 클라우드 보안이 중요한가?

클라우드컴퓨팅은 서버·스토리지·네트워크·애플리케이션 등의 정보자원을 기관이 직접 모두 구축하지 않고 필요한 만큼 이용할 수 있다는 장점이 있습니다.

공공기관 입장에서는 다음과 같은 효과를 기대할 수 있습니다.

• 정보자원의 효율적인 활용

• 시스템 구축 기간 단축

• 인프라 운영비용 절감

• 서비스 확장성 확보

• 재해·장애 대응 능력 강화

• AI·빅데이터 등 신기술 도입 기반 마련

그러나 공공기관의 클라우드 도입은 일반 기업의 클라우드 도입과 동일하게 접근하기 어렵습니다.

공공기관은 행정정보, 전자문서, 전자기록물뿐 아니라 법령이나 업무상 관리해야 하는 다양한 정보를 처리하기 때문입니다.

특히 「국가사이버보안기본지침」은 2026년 개정을 통해 업무정보를 기밀등급(Classified), 민감등급(Sensitive), 공개등급(Open)​으로 구분하고 있으며, 민감등급 도메인의 정의에는 기관이 이용하는 외부 클라우드컴퓨팅 영역도 포함하고 있습니다.

따라서 공공기관의 클라우드 도입에서는 단순히 "어떤 클라우드가 성능과 가격이 좋은가?"만 검토해서는 안 됩니다.

핵심 질문은 다음과 같이 바뀌어야 합니다.

"우리 기관이 처리하려는 정보와 시스템의 중요도에 맞는 클라우드인가?"

그리고

"해당 클라우드 서비스를 국가 클라우드 보안기준에 따라 안전하게 이용할 수 있는가?"

입니다.

「국가사이버보안기본지침」에서 제41조는 어디에 위치하는가?

「국가사이버보안기본지침」은 정보화사업 보안, 정보통신망 및 정보시스템 보안, 사이버공격 대응 등 국가·공공기관의 사이버보안 업무를 폭넓게 다루고 있습니다.

제41조는 제3장 정보통신망 및 정보시스템 보안 → 제2절 정보통신망 보안에 위치합니다.

2026년 개정본에서는 제40조의 기존 '내부망·인터넷망 분리' 규정이 삭제되고, 제39조의2부터 제39조의5까지 국가 망 보안체계(N2SF)가 별도로 구성되었습니다. 이후 제41조에서 클라우드컴퓨팅 보안을 규정하고 있습니다.

즉, 2026년 개정 체계에서는 클라우드 보안을 단순히 "외부 클라우드 사용 여부"만의 문제로 보는 것이 아니라,

업무정보 등급 → 정보시스템 → 도메인 → 보안통제 → 클라우드

라는 전체적인 보안체계 안에서 이해할 필요가 있습니다.

제41조의 핵심은 무엇인가?

「국가사이버보안기본지침」 제41조를 실무적으로 이해하면 크게 세 가지로 정리할 수 있습니다.

첫째, 자체 구축 클라우드는 국가 클라우드 보안기준을 적용해야 합니다.

기관이 자체적으로 클라우드를 구축·운영하려는 경우에는 국가정보원장이 배포한 「국가 클라우드 컴퓨팅 보안 가이드라인」에 명시된 국가 클라우드 보안기준에 따라 보안대책을 수립·시행해야 합니다.

타 기관 등과 공동으로 구축·운영하는 경우도 포함됩니다.

둘째, 민간 클라우드 이용기관은 누출금지정보 유출 사고에 대응해야 합니다.

민간 클라우드컴퓨팅 서비스를 이용하는 기관은 클라우드 서비스 제공자에 의해 누출금지정보가 유출되는 경우 「국가사이버보안기본지침」 제30조에 따른 조치를 취해야 합니다.

셋째, 민간 클라우드 사업자는 이용기관 영역에 대해 정부기관에 준하는 보안관리 책임을 집니다.

제41조는 민간 클라우드컴퓨팅 서비스 제공자가 해당 기관이 이용하는 클라우드 영역에 대해 정부기관에 준하는 보안관리 책임을 지도록 규정하고 있습니다.

따라서 공공기관 클라우드 보안은 "기관이 알아서 보안을 하는 구조"도 아니고 "클라우드 사업자가 모든 보안을 책임지는 구조"도 아닙니다.

기관과 클라우드 사업자가 각각의 역할과 책임을 갖는 구조로 이해하는 것이 중요합니다.

제41조만 읽으면 부족한 이유

실무적으로 가장 중요한 부분입니다.

제41조는 클라우드 보안의 큰 원칙을 제시하지만, 실제 클라우드 서비스를 선정하고 계약하고 운영하기 위해서는 제24조의3과 제24조의4를 함께 확인해야 합니다.

「국가사이버보안기본지침」의 목차에서도 제24조의3은 클라우드컴퓨팅 도입 가능 목록, 제24조의4는 ​클라우드컴퓨팅 서비스의 도입·운영·이용으로 규정되어 있습니다.

따라서 실무에서는 다음과 같이 연결해서 보는 것이 좋습니다.

제24조의3 → 어떤 클라우드 서비스를 사용할 수 있는가?

제24조의4 → 민간 클라우드를 어떻게 도입·계약·운영해야 하는가?

제41조 → 클라우드 보안을 어떻게 관리해야 하는가?

이 세 가지 규정을 하나의 흐름으로 이해해야 합니다.

국가 클라우드컴퓨팅 보안기준이란?

「국가사이버보안기본지침」 제24조의3은 각급기관이 도입·운영 또는 이용할 수 있는 클라우드컴퓨팅 서비스가 충족해야 하는 보안기준을 국가 클라우드컴퓨팅 보안기준으로 규정하고 있습니다.

2026년 개정본에서 확인할 수 있는 핵심 기준은 다음과 같습니다.

① 국내 정보시스템에 데이터가 저장·관리되어야 한다

클라우드 서비스의 인증서버, 로그 및 백업서버 등을 포함한 정보시스템이 국내에 위치하고, 데이터가 저장·관리되어야 하며 국내에 위치한 인력이 관리하는 서비스여야 합니다.

공공기관 담당자가 클라우드 사업자를 검토할 때 단순히

"데이터센터가 국내에 있다."

정도만 확인해서는 부족합니다.

다음 사항을 함께 확인하는 것이 필요합니다.

• 데이터 저장 위치

• 인증 관련 시스템 위치

• 로그 시스템 위치

• 백업 시스템 위치

• 운영·관리 인력의 위치

• 장애 대응 인력의 위치

• 관리 권한의 범위

즉, "데이터가 어디에 있는가?"뿐 아니라 "누가 어디에서 어떻게 관리하는가?"​까지 확인해야 합니다.

일반 사용자 영역과 공공기관 영역을 분리해야 한다

국가 클라우드컴퓨팅 보안기준에서는 일반 이용자용 서비스와 공공기관이 이용하는 영역 사이에 데이터와 프로세스 등의 간섭이 발생하지 않도록 영역을 분리하도록 요구합니다.

그리고 이 영역분리는 시스템 중요도에 따라 물리적 또는 논리적 방식으로 구현할 수 있도록 하고 있습니다.

쉽게 설명하면 다음과 같습니다.

일반적인 클라우드 환경

                 클라우드
                     │
        ┌────────────┴────────────┐
        │                         │
   일반 사용자 영역           공공기관 영역
        │                         │
     일반 서비스              공공 서비스

공공기관이 사용하는 영역은 일반 이용자의 데이터·프로세스와 적절하게 분리되어야 합니다.

중요한 점은 단순히 서버가 물리적으로 떨어져 있느냐만 보는 것이 아니라 시스템 중요도에 따라 필요한 수준의 영역분리가 적용되어야 한다는 점입니다.

시스템 중요도 분류가 중요한 이유

클라우드 도입 업무에서 실무자가 특히 주의해야 하는 부분이 시스템 중요도입니다.

「국가사이버보안기본지침」 별표 4는 클라우드 서비스 이용 시 시스템 중요도를 상·중·하로 구분하고 영역분리 방식과 연결하고 있습니다.

상(上)

해당 정보시스템에 대한 침해가 운영기관, 자산 및 개인에게 치명적인 악영향을 미칠 수 있는 시스템입니다.

국가 중대 이익, 안보·국가안전·국방·통일·외교 등의 정보나 수사·재판 등 민감정보를 포함하거나 행정 내부업무 등을 운영하는 시스템 등이 해당 기준의 예로 제시되어 있습니다.

이 경우 영역분리는 물리적 분리입니다.

중(中)

침해가 운영기관, 자산 및 개인에게 심각한 영향을 미칠 수 있는 시스템입니다.

비공개 업무자료를 포함하거나 운영하는 시스템이 기준의 예입니다.

이 경우에도 영역분리는 물리적 분리입니다.

하(下)

침해가 운영기관, 자산 및 개인에게 제한적인 영향을 미칠 수 있는 시스템입니다.

개인정보를 포함하지 않고 공개된 공공데이터를 포함하거나 운영하는 시스템이 기준의 예로 제시되어 있습니다.

이 경우에는 물리적 또는 논리적 분리가 가능합니다.

또한 행정 내부업무의 경우 시스템 중요도를 고려하여 등급을 조정할 수 있으며, 민간 클라우드 도입 시 이용기관이 시스템 등급을 자체 분류하고 국가정보원은 보안성 검토 과정에서 분류의 적정성을 재검토하도록 하고 있습니다.

따라서 정보화 담당자는 클라우드 사업자를 선정하기 전에 먼저 자신이 도입하려는 시스템의 중요도를 분류하는 작업부터 해야 합니다.

클라우드 도입 전에 반드시 확인해야 할 질문

실무에서는 다음과 같은 질문을 체크리스트로 활용할 수 있습니다.

데이터 관련

• 어떤 업무정보를 클라우드에서 처리하는가?

• 해당 정보는 기밀·민감·공개 중 어느 등급인가?

• 개인정보가 포함되는가?

• 비공개 업무자료가 포함되는가?

• 백업 데이터도 동일한 보안기준을 적용해야 하는가?

시스템 관련

• 시스템 중요도는 상·중·하 중 어디에 해당하는가?

• 시스템 중요도 분류 근거가 있는가?

• 물리적 또는 논리적 영역분리 방식이 적절한가?

• 외부 인터넷과의 연결이 필요한가?

• 기관 내부 시스템과 연계되는가?

클라우드 사업자 관련

• 국내에 정보시스템이 위치하는가?

• 데이터·로그·백업 등이 어디에 저장되는가?

• 관리 인력의 위치와 관리체계는 어떠한가?

• 공공기관 영역이 일반 사용자 영역과 적절하게 분리되는가?

• 국가 클라우드 보안기준을 충족하는가?

• 도입 가능 목록에 등재된 서비스인가?

민간 클라우드 이용 시 가장 중요한 변화

2026년 개정 「국가사이버보안기본지침」에서는 민간 클라우드 도입 절차를 보다 명확하게 규정하고 있습니다.

제24조의3에 따르면 국가 클라우드 보안기준을 충족하는 민간 클라우드컴퓨팅 서비스는 국가정보원장이 클라우드컴퓨팅 서비스 도입 가능 목록에 등재하여 공지할 수 있습니다.

또한 등재 후에도 국가정보원장은 정기적으로 보안기준 준수 여부를 확인할 수 있습니다.

더 나아가 다음과 같은 경우에는 등재가 중지 또는 취소될 수 있습니다.

• 국가 클라우드 보안기준을 충족하지 못하는 경우

• 거짓이나 부정한 방법으로 보안검증을 받은 경우

• 보안취약점에 대한 개선 또는 제거 요구를 받고도 정해진 기간 내 조치하지 않는 경우

따라서 공공기관의 클라우드 선정 업무는 단순한 "제품 구매"가 아니라 보안 적합성이 지속적으로 관리되는 서비스 선정 업무로 이해해야 합니다.

민간 클라우드 계약에서 반드시 확인할 사항

제24조의4는 민간 클라우드컴퓨팅 서비스 사업자와 계약할 때 중요한 사항을 규정하고 있습니다.

기관은 해킹사고와 장애 대응, 재발 방지 등을 위해 클라우드 사업자가 다음 활동에 적극 협조하도록 계약사항에 명시해야 합니다.

• 국가정보원의 보안관제

• 이용기관의 보안관제

• 사고조사

• 사이버공격 예방 활동

• 사이버위협 대응 활동

이 규정은 실무적으로 매우 중요합니다.

클라우드 계약서를 작성할 때 단순히

"서비스를 안정적으로 제공한다."

정도의 내용만 넣는 것이 아니라,

사고가 발생했을 때 누가 무엇을 제공해야 하는지

를 계약 단계에서 명확하게 해야 하기 때문입니다.

예를 들어 다음과 같은 사항을 계약·협약 단계에서 구체화하는 것이 실무적으로 유용합니다.

• 보안사고 통보 절차

• 사고 발생 시 담당자 연락체계

• 로그 제공 및 보존

• 사고조사 협조

• 침해사고 분석 지원

• 장애 발생 시 복구 절차

• 취약점 발견 시 조치

• 재발방지 대책

• 증적자료 제공

• 기관 및 관계기관의 조사 협조

클라우드 사업자가 모든 보안을 책임지는 것은 아니다

공공기관 클라우드 도입에서 자주 발생하는 오해가 있습니다.

"국가 클라우드 보안기준을 통과한 클라우드니까 기관에서는 별도로 할 일이 없다."

이는 적절한 접근이 아닙니다.

제41조는 민간 클라우드 서비스 제공자에게 정부기관에 준하는 보안관리 책임을 부여하고 있지만, 동시에 이용기관은 자신의 정보와 시스템을 안전하게 관리해야 합니다.

특히 다음 영역은 기관의 책임 있는 관리가 필요합니다.

기관이 관리해야 할 대표 영역

정보 분류

어떤 정보를 클라우드에 저장할 것인가?

시스템 중요도

해당 시스템을 상·중·하 중 어떻게 분류할 것인가?

접근권한

누가 클라우드 시스템에 접근할 수 있는가?

계정 관리

관리자 계정과 사용자 계정을 어떻게 관리할 것인가?

연계 시스템

기관 내부 시스템과 클라우드 간 연결을 어떻게 통제할 것인가?

보안관제

클라우드 영역의 보안 이벤트를 어떻게 탐지할 것인가?

사고 대응

침해사고 발생 시 어떤 절차로 대응할 것인가?

N2SF와 클라우드를 함께 이해해야 한다

2026년 「국가사이버보안기본지침」에서는 국가 망 보안체계(N2SF)가 별도의 절로 구성되어 있습니다.

제39조의5는 도메인, 정보시스템, 업무정보의 등급별 보안통제를 국가 망 보안체계(N2SF)로 정의하고, 별도의 국가 망 보안체계 보안가이드라인에 따른 보안통제를 적용하도록 하고 있습니다.

또한 2026년 개정된 정의에서는 민감등급 도메인에 기관이 이용하는 외부 클라우드컴퓨팅 영역을 포함하고 있습니다.

따라서 앞으로 공공기관의 클라우드 설계에서는 다음 관계를 함께 고려할 필요가 있습니다.

업무정보
   ↓
정보등급 식별
   ↓
정보시스템 중요도 판단
   ↓
도메인 구성
   ↓
N2SF 보안통제
   ↓
클라우드 영역 설계
   ↓
접근통제·관제·로그·사고대응

즉, 클라우드를 먼저 선정하고 보안을 나중에 맞추는 방식보다 보안 요구사항을 먼저 정의한 후 클라우드를 선정하는 방식이 적절합니다.

자체 구축 클라우드와 민간 클라우드는 어떻게 다른가?

민간 클라우드를 선택한다고 해서 보안업무가 사라지는 것이 아니라 기관의 직접적인 인프라 관리 업무 일부가 클라우드 사업자와의 공동 책임 및 계약관리 형태로 변화한다고 이해하면 쉽습니다.

정보화사업 담당자가 클라우드 도입 시 진행하면 좋은 8단계

STEP 1. 업무와 정보 파악

먼저 클라우드에서 어떤 업무를 수행할지 정합니다.

예:

• 홈페이지

• 대국민 서비스

• 행정업무 시스템

• 연구정보 시스템

• 데이터 분석 시스템

• AI 서비스

• 내부 업무지원 시스템

STEP 2. 업무정보 등급 식별

처리하려는 정보가 기밀·민감·공개 중 어느 등급인지 확인합니다.

「국가사이버보안기본지침」에서는 기밀등급 업무정보와 민감등급 업무정보의 범위를 구체적으로 규정하고 있습니다.

STEP 3. 시스템 중요도 분류

별표 4의 기준을 활용하여 시스템 중요도를 상·중·하로 분류합니다.

이 단계가 이후의 클라우드 영역분리 수준과 연결됩니다.

STEP 4. 보안 요구사항 정의

다음 항목을 사전에 정의합니다.

• 데이터 저장 위치

• 백업

• 로그

• 인증

• 접근통제

• 암호화

• 영역분리

• 보안관제

• 취약점 관리

• 사고 대응

• 장애 대응

STEP 5. 도입 가능한 클라우드 서비스 확인

민간 클라우드를 사용할 경우 제24조의3에 따른 클라우드컴퓨팅 도입 가능 목록을 확인합니다.

단순히 유명한 클라우드 사업자인지를 기준으로 선정해서는 안 됩니다.

해당 기관의 업무와 정보에 사용할 수 있는 서비스인지를 확인해야 합니다.

STEP 6. 보안성 검토 및 관련 절차 진행

정보화사업의 성격에 따라 「국가사이버보안기본지침」에서 정하는 보안성 검토 등 관련 절차를 함께 확인해야 합니다.

클라우드 도입을 별개의 구매 업무로 보지 말고 정보화사업 전체의 보안 프로세스 안에서 관리하는 것이 중요합니다.

STEP 7. 계약서에 보안 요구사항 반영

클라우드 사업자 계약에는 사고조사, 보안관제, 사이버공격 및 위협 대응 등에 필요한 협조사항을 명시해야 합니다.

STEP 8. 운영 이후 지속적인 보안관리

클라우드는 구축이 완료되는 순간 보안업무가 끝나는 것이 아닙니다.

다음 사항을 지속적으로 관리해야 합니다.

• 계정

• 접근권한

• 로그

• 보안 이벤트

• 취약점

• 구성 변경

• 데이터 저장 위치

• 백업

• 장애

• 보안사고

• 클라우드 사업자의 보안기준 준수 여부

실제 업무에서 자주 발생하는 실수

실수 1. "국내 클라우드 사업자니까 괜찮다"

국내 기업이 제공하는 서비스라는 사실만으로 국가 클라우드 보안기준 충족 여부가 자동으로 결정되는 것은 아닙니다.

서비스 단위의 보안기준 충족 여부를 확인해야 합니다.

실수 2. "데이터센터가 국내에 있으면 된다"

국가 클라우드컴퓨팅 보안기준은 데이터 저장·관리 시스템과 관리 인력 등에 관한 사항까지 요구합니다.

따라서 데이터센터 위치만 확인해서는 부족합니다.

실수 3. 시스템 중요도 분류를 나중에 한다

시스템 중요도는 클라우드 영역분리와 연결됩니다.

따라서 클라우드 사업자를 선정하기 전에 시스템 중요도를 검토하는 것이 바람직합니다.

실수 4. 계약서에 장애 대응만 넣는다

보안사고가 발생하면 장애 복구뿐 아니라 조사와 증적 확보가 필요합니다.

따라서 사고조사와 보안관제, 사이버위협 대응에 대한 사업자의 협조사항도 계약 단계에서 검토해야 합니다.

실수 5. 도입 후 보안관리를 소홀히 한다

클라우드는 지속적으로 구성과 서비스가 변경될 수 있습니다.

따라서 도입 당시의 보안상태만 확인하는 것이 아니라 운영 과정에서 지속적으로 점검해야 합니다.

공공기관 클라우드 보안 체크리스트

다음 체크리스트를 클라우드 도입사업의 사전 검토표로 활용할 수 있습니다.

정보

• 처리 대상 업무정보를 식별했는가?

• 기밀·민감·공개 등급을 분류했는가?

• 개인정보 및 비공개 정보 포함 여부를 확인했는가?

시스템

• 시스템 중요도를 분류했는가?

• 중요도 분류 근거가 문서화되어 있는가?

• 필요한 영역분리 수준을 결정했는가?

클라우드

• 국내 정보시스템에 데이터가 저장·관리되는가?

• 인증·로그·백업 관련 시스템을 확인했는가?

• 관리 인력의 관리체계를 확인했는가?

• 일반 사용자 영역과 공공기관 영역이 분리되는가?

• 국가 클라우드 보안기준을 충족하는가?

• 도입 가능 목록 등재 여부를 확인했는가?

계약

• 보안관제 협조사항이 계약에 포함되어 있는가?

• 사고조사 협조사항이 포함되어 있는가?

• 사이버공격·위협 대응 협조사항이 포함되어 있는가?

• 장애 및 재발방지 관련 사항이 포함되어 있는가?

• 취약점 발견 시 조치절차가 마련되어 있는가?

운영

• 계정과 접근권한을 관리하는가?

• 로그를 적절하게 관리하는가?

• 보안 이벤트를 모니터링하는가?

• 취약점 점검체계를 운영하는가?

• 보안사고 대응체계를 정기적으로 점검하는가?

• 클라우드 환경 변경 시 보안영향을 검토하는가?

정보화 담당자를 위한 핵심 정리

「국가사이버보안기본지침」 제41조를 실무적으로 한 문장으로 정리하면 다음과 같습니다.

공공기관의 클라우드 도입은 단순한 IT 인프라 선택이 아니라 정보등급, 시스템 중요도, 국가 클라우드 보안기준, 영역분리, 보안관제, 사고대응 및 계약관리까지 함께 고려해야 하는 사이버보안 업무이다.

특히 2026년 개정된 「국가사이버보안기본지침」에서는 국가 망 보안체계(N2SF)가 새롭게 체계화되고, 민감등급 도메인에 외부 클라우드컴퓨팅 영역이 포함되는 등 클라우드와 정보등급 기반 보안통제를 연결해서 이해할 필요성이 더욱 커졌습니다.

따라서 정보화사업 담당자는 다음 순서로 접근하는 것이 이해하기 쉽습니다.

① 무엇을 클라우드에서 처리하는가?

↓

② 그 정보는 어떤 등급인가?

↓

③ 시스템 중요도는 어느 수준인가?

↓

④ 어떤 영역분리가 필요한가?

↓

⑤ 국가 클라우드 보안기준을 충족하는가?

↓

⑥ 이용 가능한 민간 클라우드 서비스인가?

↓

⑦ 계약서에 사고조사·보안관제·위협대응 사항이 반영되었는가?

↓

⑧ 운영 중에도 지속적으로 보안관리를 할 수 있는가?

이러한 흐름으로 검토하면 클라우드 도입을 단순한 "서버를 외부로 이전하는 사업"이 아니라 보안 요구사항을 기반으로 정보시스템을 설계하고 운영하는 사업으로 이해할 수 있습니다.

클라우드는 공공기관의 디지털 전환, AI, 빅데이터, 대국민 서비스 확대를 위한 중요한 기반이 되고 있습니다.

하지만 공공기관의 클라우드 이용에서는 비용과 성능만큼이나 정보의 중요도와 보안 요구사항에 적합한 환경을 선택하는 것이 중요합니다.

「국가사이버보안기본지침」 제41조는 이러한 관점에서 자체 구축 클라우드에 국가 클라우드 보안기준을 적용하도록 하고, 민간 클라우드 이용과 관련해서도 보안책임과 사고대응의 원칙을 명확하게 제시하고 있습니다.

또한 제24조의3과 제24조의4를 통해 민간 클라우드의 도입 가능 목록, 보안기준, 사고대응 협조 및 계약사항​까지 연계하여 관리하고 있습니다.

따라서 공공기관 정보화 담당자가 기억해야 할 가장 중요한 원칙은 다음과 같습니다.

"클라우드를 먼저 선택하고 보안을 맞추는 것이 아니라, 보안 요구사항을 먼저 정의하고 그 요구사항을 충족하는 클라우드를 선택한다."