공공기관의 클라우드 도입, 왜 '유형'부터 이해해야 할까?

클라우드 컴퓨팅을 도입한다고 하면 흔히 AWS, Azure, 네이버클라우드, NHN Cloud와 같은 클라우드 사업자의 서비스를 사용하는 것을 먼저 떠올리기 쉽습니다.

하지만 국가·공공기관의 정보화사업에서는 단순히 "어느 클라우드 사업자를 사용할 것인가?"보다 먼저 결정해야 할 사항이 있습니다.

바로 어떤 방식으로 클라우드 환경을 구축하고 이용할 것인가입니다.

「국가 클라우드 컴퓨팅 보안 가이드라인(2023.01)」의 제3장 제1절에서는 국가·공공기관의 클라우드 컴퓨팅 도입 유형을 다음과 같이 구분합니다.

기관 구축·이용 클라우드
기관 구축·커뮤니티 이용 클라우드
기관 이용 외주 클라우드
하이브리드 클라우드
멀티 클라우드

가이드라인의 목차에서도 이 다섯 가지 유형을 별도로 설명하고 있습니다.

핵심은 "누가 클라우드 자원을 구축하고 관리하는가?", "누가 통제권을 가지고 있는가?", "다른 기관과 자원을 공유하는가?"입니다.

즉, 공공기관 클라우드 도입에서는 클라우드의 기술적인 형태뿐만 아니라 보안관리 책임과 통제 범위를 함께 살펴봐야 합니다.

다섯 가지 도입 유형을 한눈에 이해하기

유형	구축·운영 주체	자원 통제권	다른 기관과 공유	주요 특징
기관 구축·이용	기관	기관	없음	기관이 직접 구축·관리
기관 구축·커뮤니티 이용	대표기관/커뮤니티	기관·커뮤니티	커뮤니티 내부	유사 기관 공동 활용
기관 이용 외주	민간 사업자	기관의 직접 통제 제한	공용 영역에서 공유 가능	민간 클라우드 이용
하이브리드	기관 + 민간	공동/분할	다른 기관과 공유 없음	내부 시스템과 외부 클라우드 연계
멀티 클라우드	여러 민간 클라우드	기관의 직접 통제 제한	클라우드 서비스별 구성	여러 클라우드를 연계

가이드라인의 유형 정의에서도 기관 구축·이용은 기관의 자원 통제권을 전제로 하고, 커뮤니티형은 커뮤니티 기관 간 자원을 공유하며, 외주형은 민간 사업자가 운영하는 공용 영역을 이용하는 형태로 구분합니다. 하이브리드와 멀티 클라우드도 각각 내부 정보시스템 연계와 복수 외주 클라우드 연계를 핵심 특징으로 제시합니다.

유형① 기관 구축·이용 클라우드

On-site Private Cloud

1. 어떤 방식인가?

기관 구축·이용 클라우드는 말 그대로 기관이 클라우드 환경을 직접 구축하고 해당 기관만 사용하는 방식입니다.

전통적인 자체 전산환경과 비슷해 보이지만, 서버를 개별적으로 운영하는 대신 가상화 기술을 활용하여 클라우드 방식으로 IT 자원을 통합 운영한다는 차이가 있습니다.

가이드라인은 업무 특성상 독립적인 네트워크를 사용하거나 보안상 중요하여 다른 기관과 자원을 공유하기 어려운 기관을 이 유형의 주요 대상으로 설명합니다. 기관이 클라우드 환경을 직접 구축하고 해당 기관만 클라우드 자원을 사용하며, 기관이 자원에 대한 통제권을 보유하는 구조입니다.

2. 쉽게 이해하면

예를 들어 중앙행정기관 A가 다음과 같은 환경을 구축한다고 가정해 보겠습니다.

[기관 내부]
       │
       ▼
┌────────────────────┐
│ 기관 자체 클라우드 │
│                    │
│ 가상서버            │
│ 가상스토리지        │
│ 가상네트워크        │
│ 가상PC              │
└────────────────────┘
       │
       ▼
   기관 업무시스템

클라우드 인프라와 네트워크를 기관이 직접 통제하기 때문에 보안정책을 기관의 요구에 맞게 적용하기 쉽습니다.

3. 주요 보안 고려사항

가이드라인은 대표적으로 다음과 같은 보안대책을 제시합니다.

네트워크는 기관 내부에 위치
기관 시스템관리자가 직접 통제
기관 외부에서 접근할 경우 전용선 또는 암호화 통신(VPN 등) 활용
기관 내부망과 외부망 사이에 정보보호시스템 구축

즉, "통제권을 기관이 직접 갖는 대신 기관의 보안관리 책임도 커지는 구조"라고 이해하면 쉽습니다.

4. 이런 경우 고려할 수 있다

중요 업무를 처리하는 시스템
기관 독립망이 필요한 경우
다른 기관과 자원 공유가 어려운 경우
클라우드 인프라에 대한 직접적인 통제가 중요한 경우

유형② 기관 구축·커뮤니티 이용 클라우드

On-site Community Cloud

1. 어떤 방식인가?

기관 구축·커뮤니티 이용 클라우드는 여러 공공기관이 하나의 커뮤니티를 구성하여 클라우드 자원을 공동으로 사용하는 방식입니다.

예를 들어 업무 성격이 유사한 여러 기관이 있다고 생각해 보겠습니다.

             ┌──────────────┐
             │ 대표 기관    │
             │ 클라우드 구축│
             └──────┬───────┘
                    │
          ┌─────────┼─────────┐
          ▼         ▼         ▼
       기관 A     기관 B     기관 C
          │         │         │
          └──── 커뮤니티 ─────┘

가이드라인에서는 독자적으로 클라우드 환경을 구축·관리하기 어려우면서도 업무 특성이 유사하고 IT 자원 공유가 가능한 기관들이 이 유형을 선택할 수 있다고 설명합니다.

커뮤니티에 속한 기관끼리는 자원을 공유하지만 커뮤니티 외부 기관과 자원을 공유하지 않는 것이 핵심입니다.

2. 장점은?

기관별로 각각 클라우드 환경을 구축하는 것보다 인프라를 공동 활용할 수 있습니다.

따라서 다음과 같은 효과를 기대할 수 있습니다.

인프라 구축 비용 절감
운영인력 및 관리체계 공동 활용
기관별 유휴자원 감소
유사 기관 간 공통 업무환경 구축

3. 그러나 중요한 것은 '기관 간 분리'

여러 기관이 하나의 클라우드 환경을 공유한다고 해서 모든 자원을 자유롭게 접근할 수 있다는 의미는 아닙니다.

가이드라인은 기관 간 통신에 대해 외부와 분리된 네트워크 또는 전용선·암호화 통신을 활용하고, 커뮤니티 기관 자원 간 접근통제를 적용하며, 기관 내부망과 커뮤니티 클라우드망 사이에도 정보보호시스템을 구축하도록 제시합니다.

따라서 커뮤니티형 클라우드에서 중요한 키워드는 "공유하되 분리한다"입니다.

유형③ 기관 이용 외주 클라우드

Outsourced Cloud

1. 가장 쉽게 접하는 형태

기관 이용 외주 클라우드는 오늘날 흔히 이야기하는 민간 클라우드 사업자의 서비스를 공공기관이 이용하는 형태와 연결해서 이해할 수 있습니다.

가이드라인은 자체적으로 클라우드 환경을 구축하는 것이 비효율적이거나 관리가 어려운 기관이 고려할 수 있는 유형으로 설명합니다.

이 경우 IT 자원이 민간 사업자의 네트워크 내부에 위치하고 민간 사업자가 통제하기 때문에 기관의 직접적인 통제에는 한계가 있습니다.

2. 구조

[공공기관]
    │
    │ 전용선 / VPN 등
    ▼
┌───────────────────────┐
│ 민간 클라우드 사업자   │
│                       │
│ 공공 전용 영역         │
│ ┌─────┐ ┌─────┐       │
│ │기관A│ │기관B│ ...   │
│ └─────┘ └─────┘       │
└───────────────────────┘

3. 가장 중요한 보안 포인트

가이드라인은 공공영역과 민간영역을 분리한 공공 전용 민간 클라우드 형태를 제시하고 있으며, 기관 내부와 클라우드 간 통신에는 전용선 또는 암호화 통신을 적용하고 외부 인터넷 연결 구간에는 침입탐지시스템 등의 정보보호시스템을 마련하도록 제시합니다.

4. 현재의 민간 클라우드 도입에서 확인할 사항

공공기관 담당자는 민간 클라우드 서비스를 선택할 때 단순히 가격이나 성능만 비교해서는 안 됩니다.

현재 KISA가 운영하는 클라우드서비스 보안인증(CSAP)은 클라우드 서비스의 정보보호 기준 준수 여부를 평가·인증하는 제도이며, IaaS·PaaS·SaaS 등의 클라우드 서비스를 대상으로 합니다.

따라서 실제 사업에서는 다음과 같은 사항을 함께 확인하는 것이 중요합니다.

해당 서비스의 공공기관 이용 가능 여부
필요한 보안인증 및 도입요건 충족 여부
공공 영역과 일반 이용자 영역의 분리
데이터 저장·관리 위치
보안관제 및 사고조사 체계
로그 및 감사기록
백업 및 복구체계
관리자 접근통제
계약상 보안책임과 사고 대응책임

특히 현재 CSAP 제도는 2025년에도 안내서와 신청·평가 절차가 계속 개정·운영되고 있으므로, 실제 사업 추진 시에는 당시의 최신 제도와 국가정보원·KISA의 최신 공지사항을 반드시 확인해야 합니다.

유형④ 하이브리드 클라우드

Hybrid Cloud

1. 왜 하이브리드가 필요한가?

공공기관에서는 기존 정보시스템을 하루아침에 모두 클라우드로 이전하기 어려운 경우가 많습니다.

특히 보안 수준이 높은 데이터나 기존 업무시스템은 기관 내부에 유지하면서, 새로운 서비스나 상대적으로 외부 클라우드 활용이 가능한 영역만 클라우드로 이전하는 전략이 필요할 수 있습니다.

이때 활용할 수 있는 방식이 하이브리드 클라우드입니다.

가이드라인은 기존 정보시스템을 유지하면서 클라우드 컴퓨팅의 장점을 활용하기 위한 유형으로 설명하고 있습니다. 특히 보안 수준이 높은 데이터는 기관이 통제권을 유지하면서 클라우드 서비스를 활용하는 구조입니다.

2. 구조

                 ┌─────────────────┐
                 │ 기관 내부 시스템 │
                 │ 중요 데이터      │
                 └────────┬────────┘
                          │
                     보안 통제
                          │
                    전용선 / VPN
                          │
                          ▼
                 ┌─────────────────┐
                 │ 민간 클라우드    │
                 │ 서비스 영역      │
                 └─────────────────┘

3. 하이브리드의 핵심은 '연결 구간'

하이브리드 클라우드에서 가장 중요한 부분 중 하나는 기관 내부 시스템과 클라우드 사이의 접점입니다.

가이드라인은 기존 정보시스템과 클라우드 서비스 사이에 연동 접점이 있기 때문에 이 지점에 높은 수준의 보안통제가 필요하다고 설명합니다.

또한 기관 내부 사용자 및 기존 정보시스템과 클라우드 제공자 서비스 간 통신에는 전용선 또는 암호화 통신을 활용하고, 자료연계솔루션·침입탐지시스템 등의 정보보호시스템을 구축하도록 제시합니다. 내부 중요정보가 클라우드로 유출되는 것을 방지하기 위한 유출방지 대책도 중요합니다.

따라서 하이브리드 클라우드에서는

"클라우드 자체보다 클라우드와 기존 시스템을 연결하는 지점이 중요하다."

라고 이해할 수 있습니다.

유형⑤ 멀티 클라우드

Multi Cloud

1. 멀티 클라우드란?

멀티 클라우드는 두 개 이상의 클라우드 서비스를 연계하여 사용하는 방식입니다.

예를 들어 다음과 같은 구조입니다.

                 ┌───────────────┐
                 │ 공공기관      │
                 └───────┬───────┘
                         │
              ┌──────────┼──────────┐
              ▼          ▼          ▼
        클라우드 A   클라우드 B   클라우드 C
          IaaS         PaaS        SaaS
              └──────────┼──────────┘
                         │
                    통합 운영

가이드라인은 기관이 다수의 외주 클라우드를 연계하여 활용하는 유형으로 정의하며, 여러 클라우드 인프라(IaaS)를 연계하여 PaaS·SaaS 서비스를 유연하게 운용할 수 있다고 설명합니다. 클라우드 사업자들은 클라우드 간 연계를 위해 API 등의 상호운용성 기술을 제공할 수 있습니다.

2. 멀티 클라우드의 특징

멀티 클라우드는 하나의 클라우드 서비스에 의존하는 것보다 서비스 영역을 넓힐 수 있다는 특징이 있습니다.

예를 들어,

A 클라우드 → 컴퓨팅
B 클라우드 → 데이터 분석
C 클라우드 → SaaS
기관 내부 → 중요 데이터

처럼 역할을 나누는 구조를 생각할 수 있습니다.

다만 클라우드가 많아질수록 관리해야 할 보안영역과 연계구간도 증가합니다.

3. 멀티 클라우드에서 특히 중요한 보안사항

가이드라인은 멀티 클라우드의 경우 다음과 같은 보안대책을 제시합니다.

각 공공영역을 민간영역과 분리
기관 내부와 클라우드 간 전용선 또는 암호화 통신
인터넷 연결 구간에 정보보호시스템 구축
클라우드 서비스 간 통신에도 전용선 또는 암호화 통신 적용
외부 클라우드 연결 구간에 침입탐지시스템 등의 정보보호시스템 마련

즉, 클라우드 A와 클라우드 B가 안전하다고 해서 A와 B를 연결하는 구간까지 자동으로 안전해지는 것은 아닙니다.

멀티 클라우드에서는 오히려 클라우드 간 연결과 API, 인증, 데이터 이동 경로를 별도로 관리해야 합니다.

다섯 가지 유형의 가장 중요한 차이는 무엇인가?

공공기관 담당자가 복잡한 기술 용어를 모두 기억할 필요는 없습니다.

다음 네 가지 질문으로 대부분의 유형을 구분할 수 있습니다.

질문 ① 누가 구축하는가?

기관 → 기관 구축
민간사업자 → 기관 이용 외주

질문 ② 누가 통제하는가?

기관이 직접 통제 → 기관 구축형
민간사업자가 운영 → 외주형

질문 ③ 다른 기관과 공유하는가?

공유하지 않음 → 기관 구축·이용
같은 커뮤니티 기관과 공유 → 커뮤니티
민간 클라우드 공용 영역 활용 → 외주

질문 ④ 기존 시스템과 연결하는가?

기존 시스템 유지 + 외부 클라우드 → 하이브리드
여러 클라우드 연계 → 멀티 클라우드

공공기관 정보화 담당자를 위한 유형 선택 체크리스트

실제 정보화사업을 추진한다면 다음 순서로 검토하는 것이 실무적으로 유용합니다.

Step 1. 업무와 데이터의 중요도를 먼저 판단

먼저 "클라우드를 사용할 수 있는가?"가 아니라

"이 시스템과 데이터는 어느 정도의 보호가 필요한가?"

를 판단해야 합니다.

가이드라인은 이후 제3장 제2절에서 클라우드 영역을 분류하고, 제3절에서 시스템 중요도 분류 기준과 절차를 별도로 제시합니다. 즉, 도입 유형을 검토한 뒤 보안영역과 시스템 중요도를 함께 검토하는 구조입니다.

Step 2. 기관의 직접 통제가 필요한지 확인

다음 질문을 해보면 됩니다.

"장애나 보안사고가 발생했을 때 기관이 클라우드 자원을 직접 통제해야 하는가?"

그렇다면 기관 구축형을 우선 검토할 필요가 있습니다.

Step 3. 기관 간 공동 활용이 가능한지 확인

업무 특성이 유사한 여러 기관이 자원을 공동 이용할 수 있다면 커뮤니티 클라우드를 검토할 수 있습니다.

Step 4. 민간 클라우드 활용 가능성을 검토

자체 구축보다 민간 클라우드를 이용하는 것이 적합하다면 외주 클라우드를 검토합니다.

이때는 단순한 가격 비교가 아니라 보안요건과 서비스의 공공기관 이용 가능 여부를 확인해야 합니다.

Step 5. 기존 시스템을 유지해야 하는지 확인

기존 시스템을 그대로 운영해야 하고 일부 업무만 클라우드로 이전해야 한다면 하이브리드 방식을 검토합니다.

Step 6. 여러 클라우드가 필요한지 확인

서비스 특성이나 사업 구조상 여러 클라우드를 사용해야 한다면 멀티 클라우드 구조를 검토할 수 있습니다.

실무에서 가장 중요한 것은 '보안책임의 경계'다

공공기관 클라우드 사업에서 담당자가 반드시 확인해야 할 핵심은 Shared Responsibility, 즉 보안책임의 경계입니다.

클라우드에서는 모든 보안을 클라우드 사업자가 책임지는 것이 아닙니다.

예를 들어 기관 이용 외주 클라우드를 사용하는 경우,

기관의 책임
 ├─ 사용자 계정
 ├─ 접근권한
 ├─ 업무 데이터
 ├─ 애플리케이션 설정
 └─ 기관 내부 연계

        ↕ 계약·기술적 통제

클라우드 사업자의 책임
 ├─ 클라우드 인프라
 ├─ 물리적 설비
 ├─ 가상화 환경
 ├─ 클라우드 운영
 └─ 서비스 보안

와 같이 책임범위를 구체적으로 구분해야 합니다.

가이드라인에서도 클라우드 환경은 구축 및 서비스 유형에 따라 사용자의 IT 자원 통제 수준이 달라진다고 설명하며, 정책·사고대응·인증 및 권한·데이터 등에 대한 보안대책을 중요하게 다룹니다.

따라서 계약서와 사업제안서에는 최소한 다음 사항을 명확히 해야 합니다.

누가 계정을 관리하는가?
누가 관리자 권한을 갖는가?
로그는 누가 관리하는가?
사고가 발생하면 누가 조사하는가?
데이터 백업은 누가 담당하는가?
데이터 복구는 누가 수행하는가?
취약점 및 보안패치는 누가 담당하는가?
서비스 장애 발생 시 복구책임은 누구에게 있는가?
계약 종료 후 데이터를 어떻게 반환·삭제하는가?

CSAP와 클라우드 도입 유형은 같은 개념이 아니다

실무에서 자주 발생하는 혼동이 있습니다.

"CSAP 인증을 받은 클라우드 = 모든 공공기관에 아무 조건 없이 사용할 수 있는 클라우드"라고 이해해서는 안 됩니다.

CSAP는 클라우드 서비스의 정보보호 수준을 평가·인증하는 제도입니다. KISA는 현재 IaaS, PaaS, SaaS 등 클라우드 서비스를 대상으로 CSAP 인증제도를 운영하고 있습니다.

반면 「국가 클라우드 컴퓨팅 보안 가이드라인」의 도입 유형은

기관이 직접 구축하는지
커뮤니티 형태인지
민간 사업자에게 외주하는지
내부와 외부를 결합하는지
여러 클라우드를 연계하는지

를 설명하는 구축·운영 구조의 개념입니다.

따라서 실제 사업에서는

도입 유형 → 시스템 중요도 → 클라우드 영역 → 서비스 보안요건 → 제공사업자 및 서비스 검증 → 보안성 검토

등을 종합적으로 확인해야 합니다.

담당자가 기억해야 할 핵심 포인트 7가지

① 클라우드는 '사업자 선택'보다 '구조 선택'이 먼저다

어떤 사업자의 서비스를 사용할지 결정하기 전에 클라우드 도입 유형을 결정해야 합니다.

② 통제권이 중요하다

기관 구축형은 기관의 직접 통제가 크고, 외주형은 민간사업자의 운영·관리 영역이 커집니다.

③ 공유와 분리를 동시에 봐야 한다

커뮤니티 클라우드는 자원을 공유하지만 기관별 접근권한과 자원은 분리되어야 합니다.

④ 하이브리드는 연결구간을 집중적으로 보호해야 한다

내부 정보시스템과 민간 클라우드 사이의 접점은 주요 보안통제 지점입니다.

⑤ 멀티 클라우드는 클라우드 간 연계를 별도로 관리해야 한다

클라우드 사업자 각각의 보안뿐만 아니라 클라우드 간 통신과 데이터 이동도 관리해야 합니다.

⑥ 보안책임을 계약으로 명확히 해야 한다

"클라우드 사업자가 알아서 보안을 해준다"는 방식으로 접근하면 안 됩니다.

⑦ 최신 규정과 도입요건을 반드시 확인해야 한다

2023년 가이드라인을 사업의 기본 참고자료로 활용하되, 실제 사업 추진 시점에는 국가정보원, KISA 등 관계기관이 공개하는 최신 기준과 인증·도입요건을 함께 확인해야 합니다. KISA는 2025년에도 클라우드 서비스 보안인증제 안내서를 개정했고, 2026년에도 CSAP 관련 교육 및 인증 업무를 계속 운영하고 있습니다.

국가·공공기관의 클라우드 전환에서 중요한 것은 단순히 "클라우드를 사용할 것인가?"가 아닙니다.

어떤 업무를 어떤 클라우드 구조에 배치하고, 누가 자원을 통제하며, 기관과 클라우드 사업자 사이의 보안책임을 어떻게 나눌 것인가가 핵심입니다.

「국가 클라우드 컴퓨팅 보안 가이드라인(2023.01)」은 이러한 관점에서 기관 구축·이용, 기관 구축·커뮤니티 이용, 기관 이용 외주, 하이브리드, 멀티 클라우드라는 다섯 가지 도입 유형을 제시합니다.

정보화 담당자는 이 다섯 유형을 단순한 클라우드 기술 분류로 이해하기보다 통제권·자원공유·보안책임·연계구조의 차이로 이해하는 것이 중요합니다.

특히 실제 사업에서는 도입 유형을 결정한 뒤 시스템 중요도와 클라우드 영역을 함께 검토해야 합니다. 가이드라인도 제3장 제2절에서 공공 업무망 영역과 공공 인터넷망 영역 등을 별도로 분류하고 시스템 중요도에 따라 클라우드 영역을 선택하도록 구성하고 있습니다.

결국 공공 클라우드 도입의 핵심은 "가장 최신인 클라우드를 선택하는 것"이 아니라 "업무의 중요도와 보안요구에 맞는 클라우드 구조를 설계하는 것"이라고 정리할 수 있습니다.

※ 본 글은 「국가 클라우드 컴퓨팅 보안 가이드라인(2023.01)」의 관련 내용을 바탕으로 이해를 돕기 위해 재구성한 해설입니다. 실제 정보화사업에는 사업 추진 시점의 국가정보원·관계기관 최신 지침, 법령, 인증기준 및 기관별 보안정책을 별도로 확인해야 합니다.