공공기관의 성공적인 SaaS 도입 방안은?

전 세계적으로 SaaS가 활성화되는 가운데, 국내 공공기관에서도 SaaS 도입이 늘어나는 추세다. 다만, 공공기관에서 성공적으로 SaaS를 이용하기 위해서는 클라우드 관련 규제와 보안 및 관리에 대한 요구사항을 면밀하게 점검해야 한다. 

이번 글에서는 클라우드 관련 법률 현황, SaaS 도입 시 고려사항과 안랩의 차세대 MSP 서비스 ‘AhnLab Cloud’를 통한 솔루션을 소개한다.  

 

  

 

공공기관의 클라우드 관련 법률은 지난 2015년 3월 과학기술정보통신부(과기부)의 ‘클라우드 컴퓨팅 발전 및 이용자 보호에 관한 법률(클라우드 컴퓨팅법)’ 제정부터 본격적으로 시작되었다. 그리고, 올해 초 국정원이 발표한 ‘국가 클라우드 컴퓨팅 보안 가이드라인’에 이르기까지 수 차례에 걸쳐 다각적인 개선 작업이 진행되고 있다. 

 

‘클라우드 컴퓨팅법’에 대해 간단히 살펴보면, 공공기관과 민간기업의 클라우드 사용 확산을 목표로 하며, 클라우드 컴퓨팅 산업 활성화를 위해 특정 기관 별로 임무를 할당하고 시행하도록 규정하고 있다.

 

이에 따라, 과기부는 ‘클라우드 컴퓨팅 발전을 위한 기본계획’을 3년 단위로 작성하고, 클라우드 컴퓨팅 신뢰도 제고를 위해 ‘클라우드 컴퓨팅 서비스 정보 보호에 관한 기준’을 작성해오고 있다. 그 일환으로, 2015년 11월과 2016년 4월에 관련 계획과 기준을 제정 및 발표했다. 또한, 행정안전부(행안부)는 ‘공공기관 민간 클라우드 이용 가이드라인’을 만들어 배포하고 수 차례 개정을 거듭하다가, 지난 2022년 3월에 고시로 제정하여 규제 수준을 강화했다. 

 

정리하면, 각 기관들이 초기 계획들을 진행하면서, 클라우드 산업 활성화를 저해하는 일부 요소들을 수정 및 개선하는 과정을 거치고 있다. 이와 관련해, 공공기관이 클라우드를 실제로 이용함에 있어, 규제 관점에서 어떤 부분들을 확인하고 준비해야 하는지 알아보도록 하자.

 

공공기관의 클라우드 이용 관련 규제 

우선, 과기부의 ‘클라우드 컴퓨팅법’의 핵심 조항 3가지를 살펴본다.

 

제4조는 클라우드 컴퓨팅법이 다른 법률에 우선하여 적용되지만, 개인정보를 처리하는 시스템의 경우 ‘개인정보보호법’, ‘정보통신망법’을 우선해 적용해야 한다고 명시했다. 따라서 개인정보나 민감정보를 다루는 서비스는 해당 법률을 함께 참고하여 시스템을 구성해야 한다.

 

제21조는 다른 법령에서 전산 시설에 대한 구비 규정이 있는 경우, 클라우드 서비스도 해당 규제에 포함하도록 하고 있다. 만약 해당 법령에서 클라우드 이용을 명시적으로 금지하거나 물리적으로 분리해 구축할 것을 요구하는 경우, 클라우드 이용을 금지한다는 의미가 불분명할 수 있다. 이 때문에, 클라우드 이용이 가능한 방향으로 적극적인 해석이 필요하다. 예를 들어, 망분리 요건을 요구하고 있으나 논리적 분리 방식을 명시적으로 배제하지 않는 경우는 클라우드 서비스를 금지하는 것이 아니라고 해석할 수 있다.

 

제23조는 클라우드를 이용함에 있어 정보보호 수준을 향상 시켜 보안 관련 문제를 해소하기 위한 조항이다. 보안에 대한 우려는 클라우드 서비스 사용을 저해하는 큰 요인 중 하나다. 이에, 과기부는 ‘클라우드 컴퓨팅 서비스 정보보호에 관한 기준’을 고시하고, 한국인터넷진흥원(KISA)와 함께 ‘보안인증제도’를 시행하는 등 클라우드 서비스 신뢰도 제고를 위해 다양한 노력을 기울이고 있다.

 

행안부는 2016년 7월, 클라우드를 효율적으로 이용할 수 있는 기준을 제시하기 위해 ‘행정ㆍ공공기관 민간 클라우드 이용 가이드라인’을 제정하고, 2018년과 2019년에 개정한 바 있다. 이후, 2022년 3월 가이드라인을 폐지하고 대신 '행정기관 및 공공기관의 클라우드 컴퓨팅 서비스 이용 기준 및 안전성 확보에 관한 고시'를 제정했다. 

 

초기인 2016년에는 ‘정보시스템 등급제’를 통해 클라우드 이용 정보시스템을 3등급으로 분류하고 낮은 등급의 시스템만 클라우드를 이용하도록 허용했었다. 하지만, 현재는 사실상 전 영역에 대해 민간 클라우드를 이용할 수 있도록 규제 기준이 완화되었다. 다만, 보안이 인증된 클라우드를 우선적으로 적용해야 하고, 공공 클라우드 도입 절차에 국정원의 보안성 검토를 거치도록 하여 안전성을 확보하고 있다.

 

또한, 행안부는 공공기관이 클라우드 사업자를 선정하는 것에도 제약을 두고 있는데, 핵심은 ‘클라우드 컴퓨팅 서비스 정보 보호에 관한 기준’을 모두 준수하고 있는 사업자를 선정해야 한다는 것이다. 해당 기준은 KISA에서 클라우드 보안 인증 제도 시행에 활용하고 있으며, 기준을 모두 충족한 클라우드 서비스에 대해 CSAP 인증서를 발급하고 있다. 

 

이처럼 규제가 변화하면서, 발주와 계약 역시 변화하고 있다. 초기에는 ‘국가종합전자조달시스템(나라장터)’를 이용한 경쟁입찰 방식으로 발주와 계약이 진행되었다. 하지만, 신속성에 대한 문제가 대두되면서 ‘디지털서비스 전문계약제도’가 도입되었다. 

 

‘디지털서비스 전문계약제도’는 수의 계약이 가능한 ‘디지털 서비스 이용지원시스템’과 계약 조건을 유연하게 조정할 수 있도록 하는 카탈로그 계약 방식의 ‘디지털서비스 전용 쇼핑몰’이 있다. 최근 이러한 계약 방식을 채택하면서 시간을 절약하는 기관들이 늘어나는 추세다.

 

마지막으로, 클라우드를 이용하는데 있어 가장 중요하다고도 볼 수 있는 과기부의 ‘클라우드컴퓨팅서비스 정보보호에 관한 기준’이 있다. 이는 CSP나 MSP 뿐만 아니라 사용자도 클라우드 사용에 있어 따라야 하는 중요한 기준이며, CSAP 인증에도 활용되고 있다. 항목은 관리적, 물리적, 기술적 보호 조치와 공공기관용 추가 보호조치까지 총 14개 분야에 걸쳐 117개 항목으로 구성되어 있다.

 

  

[표] 클라우드컴퓨팅서비스 정보보호에 관한 기준

 

다음으로, 위 [표]에서 파란색으로 표기한 항목들을 중심으로 공공기관이 SaaS 도입 시 고려해야 할 사항들을 알아본다. 

 

공공기관의 SaaS 도입 시 고려사항

SaaS는 ‘Software-as-a-Service’의 약자로, 인터넷을 통해 사용자에게 제공되는 웹 기반 소프트웨어 애플리케이션이다. SaaS는 장치에 소프트웨어를 설치하고 관리하는 방식 대신 사용자가 전체 애플리케이션과 IT 인프라에 쉽게 접근할 수 있는 구독 기반 모델을 제공한다.

 

SaaS에서 공급자는 전체 애플리케이션을 구성하는 애플리케이션 서버, 데이터베이스 계층과 코드 베이스를 유지 및 관리한다. 애플리케이션 유지보수의 책임으로부터 자유로워진 사용자는 보안과 생산성 간 균형을 유지할 수 있다. SaaS는 ‘유연성’이라는 강점을 바탕으로 사용자들이 빠르게 확대되고 있으며, 현재는 전세계 기업들이 수 십개의 SaaS 애플리케이션을 사용하고 있다. 

 

SaaS와 전통적인 방식의 소프트웨어의 가장 큰 차이점은 비용 지불 방식과 설치 형태다. 웹 기반 소프트웨어 애플리케이션인 SaaS는 하드웨어를 특정해 설치할 필요가 없기 때문에, 다양한 장치에서 로그인을 통해 바로 사용할 수 있으며, 사용한 만큼만 비용을 지불하면 된다. 

 

반면, 전통적인 소프트웨어는 특정 하드웨어에 설치해야 하고, 라이선스 당 1대의 장치에서만 사용 가능하다. 따라서, 사용량과 관계 없이 소프트웨어 라이선스 전체에 대한 비용을 먼저 지불해야 한다. 일례로, 과거에 마이크로소프트 오피스를 각각의 PC에 설치해 사용했던 것과 오피스 365를 따로 설치하지 않고 구독하는 현재를 비교하면 쉽게 이해할 수 있다.

 

이처럼 다양한 강점을 가진 SaaS, 바로 도입해도 괜찮은걸까? 사용자들은 [그림 1]의 이유로 SaaS 도입을 망설이고 있다.

 

  

[그림 1] SaaS 도입을 망설이게 하는 요소

 

파이낸스 온라인(Finances Online)의 조사에 따르면, SaaS 도입을 망설이는 이유는 보안과 컴플라이언스가 각각 66%와 60%로 가장 높게 나타났으며, 프라이버시가 57%로 뒤를 이었다. SaaS는 설치형이 아닌 온라인 구독형 애플리케이션인 만큼 사용자들이 보안 이슈에 민감하게 반응하는 것으로 해석된다. 또한, 클라우드 인력 부족, 가용성 부족, 계획되지 않은 가동 중단 등 클라우드 관리에 대한 우려도 높은 것으로 나타났다. 

 

사용자 입장에서 위 우려사항들을 풀어보면, 근본적으로 SaaS를 도입해도 괜찮을지, 도입 후에도 사용하면서 컴플라이언스를 위반하거나 내부 중요 데이터가 유출되는 보안 사고가 발생하거나, 혹은 내부 시스템 가용성 부족으로 인해 업무 효율성이 떨어져 사용자가 이탈하고, 기업의 평판에 영향을 미치지는 않을지 고민하는 것이다.

 

이제, SaaS 보안 주요 요소 7가지와 보안을 고려한 SaaS 도입 절차 8단계를 통해 고민에 대한 해결 방안을 제시한다. 

 

먼저 SaaS 보안 주요 요소 7가지는 [그림 2]와 같다. 

 

  

[그림 2] SaaS 보안 주요 요소

 

#1. 접근 관리(Access Management): 효과적인 접근 관리를 위해서는 먼저 ‘접근 권한’을 이해해야 한다. 또한, 역할 기반 접근 제어, 시스템 접근 제어 및 워크플로우 관리에 대한 작업도 필요하다.

 

#2. 네트워크 제어(Network Control): 네트워크 제어를 위해서는 ‘네트워크 접근 제어 목록(Network Access Control List, NACL)에서 세분화된 네트워크 보안 세부 정보를 확인해야 하며, 방화벽 역할을 하는 VPN 계층을 만들어야 한다. 

 

#3. 경계 네트워크 제어(Perimeter Network Control): 데이터 센터의 위험한 트래픽을 필터링하는 방화벽 규칙의 우선 순위를 지정해야 한다. 또한, 침입탐지시스템(IDS) 및 침입방지 시스템(IPS) 사용이 필요하다. 

 

#4. VM 관리(VM Management): 인프라를 보호하려면 지속적인 VM(Virtual Machine) 업데이트가 필요하다. 보안 위협 및 패치 필요사항을 정확히 인지하고, SaaS 공급업체에 이를 구현하도록 요청해야 한다.

 

#5. 데이터 보호(Data Protection): 강력한 SaaS 보안을 위해서는 민감 데이터를 암호화해야 한다. 또한, 클라이언트와 서버 측 업무를 분리하여 정기적인 SaaS 보안 감사를 수행해야 한다.

 

#6. 거버넌스 및 인시던트 관리(Governance & Incident Management): 특정 인시던트를 캡처, 추적 및 모니터링하는 인시던트 관리 시스템을 통해 보안 위협 알림을 확인하고 대응할 수 있는 체계를 구축해야 한다. 

 

#7. 안정성 확보(Reliability): SaaS 애플리케이션에는 가동 중지 시간을 최소화하는 높은 수준의 CDN(Content Delivery Network)이 있어야 한다.  또한, 시스템은 자가 복구 기능을 갖춰야 하고, 사용자는 MTTR(평균 복구 시간)이 빨라지도록 구체적인 재해 복구 계획을 세워야 한다.

 

다음으로, 보안을 고려해 SaaS를 도입하는 절차를 알아본다. 

 

  

[그림 3] 보안을 고려한 SaaS 도입 절차

 

도입 절차는 총 8단계로 이루어진다. 먼저 응용 프로그램 아키텍처와 인프라 검사를 거쳐, 클라우드 이관을 위한 마이그레이션 전략을 수립한다. 다음으로, 마이그레이션 계획에 따라 클라우드 환경을 구성하고, 사용자 데이터를 클라우드로 이관한다.

 

데이터 마이그레이션이 완료되면, SaaS 애플리케이션을 클라우드 환경에서 구동 시키는데, 주어진 기간 동안 개념검증(PoC)을 진행하고 최적화 단계가 완료되면 트래픽 전환 작업을 실시한다. 마지막으로, 마이그레이션 유효성 검사를 통해 미세 조정 단계를 거쳐 SaaS 도입 절차를 마무리하게 된다.

 

이렇게 총 8 단계를 거쳐 안전한 SaaS 애플리케이션 도입 작업이 완료된다.

 

보안과 관리, 두 마리 토끼를 잡는 ‘AhnLab Cloud’

안랩의 보안 특화 클라우드 관리 서비스 ‘AhnLab Cloud’는 보안부터 클라우드 관리까지 공공기관 SaaS 도입에 대한 최적의 방안을 제시한다. 

 

기존 클라우드 MSP 서비스 생태계를 살펴보면, 클라우드 보안이 일원화되지 못하고 솔루션 공급업체, 보안관제 전문기업, 정보보호 전문 서비스 기업, 보안 컨설팅 기업 등으로부터 별도의 지원을 받아야 했다. 이 과정에서 시간이 지연되고 비용 부담은 가중되는 경우가 많았다. 

 

국내 최고 보안기업 안랩의 28년간의 노하우를 담은 보안 프레임워크와 클라우드 MSP 서비스가 만나 탄생한 AhnLab Cloud는 컨설팅부터 설계, 구축, 운영 그리고 클라우드 보안까지 안랩이라는 하나의 컨택 포인트를 통해 안전하고 편리한 클라우드 사용을 위한 ‘풀 서비스’를 제공하고 있다. 사용자 입장에서는 보다 효율적이고 빠르게 통합 클라우드 보안 체계를 갖출 수 있다는 장점이 있다.

 

이번 글에서 다룬 SaaS 도입에 관해서도, AhnLab Cloud는 최고의 보안 및 클라우드 전문가들이 제공하는 MSP 서비스를 통해 SaaS 도입을 망설이게 하는 보안과 컴플라이언스 이슈에 완벽하게 대응한다. 뿐만 아니라, 클라우드 전문 인력 부족, 가용성 부족, 계획되지 않은 가동 중단 등 클라우드 관리에 대한 우려 역시 효과적으로 해결한다. 

 

또한, 클라우드 이관 시에도 고객의 시스템 성격에 맞게 방법론을 커스터마이징해 적용함으로써, 일관성을 유지하는 동시에 최대한의 가시성을 확보할 수 있도록 한다. 이를 통해, 체계적으로 아키텍처를 설계하고 명확한 지침을 제공하며 확장성 및 시스템 간 상호운용성을 확보해 고객이 클라우드의 장점을 최대한 누릴 수 있도록 지원한다. 

 

이번 글이 성공적인 SaaS 도입에 보탬이 되었길 바라며, 클라우드라는 생소한 길의 안내자 역할을 하는 AhnLab Cloud에 대한 자세한 내용은 홈페이지를 통해 확인할 수 있다.

►AhnLab Cloud 홈페이지 바로가기