보안인증이란?
아마존웹서비스(AWS)가 우리나라 공공기관이 민간 클라우드를 도입할 때 반드시 확인하는 보안 인증인 클라우드서비스 보안인증제(CSAP, Cloud Security Assurance Program)의 '하' 등급 인증을 통과했습니다. CSAP는 한국인터넷진흥원(KISA)이 정부를 대신해 클라우드 서비스의 보안 수준을 심사하고 인증해주는 제도입니다. 쉽게 말해 "이 클라우드 서비스는 우리 정부가 정한 보안 기준을 충족했으니, 공공기관에서 안심하고 써도 된다"는 일종의 정부 보증서라고 이해하시면 됩니다.
그동안 AWS, 마이크로소프트 같은 해외 클라우드는 국내 공공기관 업무에 바로 쓰기 어려웠습니다. CSAP 인증을 받지 못했기 때문입니다. 그런데 정부가 등급제(하·중·상)를 도입하면서, 비교적 민감도가 낮은 업무에 한해 해외 클라우드도 인증을 받을 수 있는 길이 열렸고, 이번에 AWS가 그 첫 단계인 '하' 등급 인증을 통과한 것입니다.
1. AWS가 공공기관에 제공할 수 있는 서비스
'하' 등급 인증을 받으면 공공기관은 아래와 같은 업무에 AWS 클라우드를 활용할 수 있게 됩니다. 모두 시·군청, 공공기관에서 실제로 자주 쓰는 업무 영역입니다.
- 대외 홈페이지·민원 안내 시스템 — 기관 소개, 민원 안내, 행사 홍보용 웹사이트 운영
- 업무 협업·자료 공유 도구 — 부서 간 문서 공유, 화상회의, 일정 관리 등 내부 협업 환경
- 데이터 분석·통계 시스템 — 정책 수립을 위한 통계 자료 분석, 대시보드 시각화
- 교육·홍보 콘텐츠 플랫폼 — 주민 대상 온라인 교육, 홍보 영상 스트리밍
- 재해복구(백업) 환경 — 기존 전산실 장애 시 빠르게 복구할 수 있는 별도 백업 공간
- 개발·테스트 환경 — 새 시스템을 실제 운영 전에 미리 점검해보는 시험 공간
즉, 주민에게 직접 영향을 주는 핵심 행정 시스템은 아니지만, 행정 효율을 높이고 비용을 줄여주는 업무 지원 영역부터 안전하게 클라우드로 옮길 수 있다는 뜻입니다.
2. '하' 등급이 커버하는 공공기관 업무 범위
CSAP는 정보시스템의 중요도에 따라 하·중·상 3단계로 나뉩니다. 등급이 높을수록 더 민감하고 중요한 정보를 다루는 시스템에 사용할 수 있습니다.
- 하 등급 — 개인정보나 기밀 정보를 다루지 않는 일반 업무 시스템 (홈페이지, 협업 도구, 통계·분석, 교육 콘텐츠 등)
- 중 등급 — 개인정보를 일부 처리하는 시스템 (민원 신청, 예약 서비스 등) — 향후 추가 인증 필요
- 상 등급 — 국가 안보·재정·핵심 행정 정보를 다루는 시스템 — 가장 엄격한 기준 적용
제천시청을 예로 들면, 시 홈페이지 운영, 내부 협업 시스템, 통계 분석 대시보드, 비대면 교육 콘텐츠, 재해복구 백업 같은 업무는 '하' 등급 범위 안에서 지금 바로 검토해볼 수 있는 영역입니다. 반면 주민등록·세무·복지 등 개인정보를 직접 다루는 핵심 행정 시스템은 아직 더 높은 등급의 인증이 필요한 영역으로 남아 있습니다.
핵심은 "전부 다 옮길 수 있다"가 아니라 "안전하게 옮길 수 있는 업무부터 단계적으로 검토할 수 있게 됐다"는 점입니다. 무리하게 전체 전환을 추진하기보다, 부담이 적고 효과가 큰 업무부터 시작하는 것이 바람직합니다.
3. 기대 효과 — 컴플라이언스와 실질적 이득
- 정부 기준 충족이 검증된 안전성 — CSAP는 국정원·KISA가 정한 엄격한 보안 기준(접근 통제, 암호화, 장애 대응, 침해 사고 대응 체계 등)을 모두 통과해야 받을 수 있는 인증입니다. 별도로 보안성을 검증할 필요 없이, 정부가 이미 검증한 서비스를 그대로 활용할 수 있습니다.
- 예산 절감 — 자체 전산실을 새로 짓거나 장비를 구매하지 않고도, 사용한 만큼만 비용을 내는 방식으로 운영 예산을 줄일 수 있습니다.
- 장애·재해 대응력 강화 — 정전, 화재, 시스템 장애가 발생해도 클라우드의 분산 백업 구조를 활용하면 업무 중단 시간을 크게 줄일 수 있습니다.
- 업무 처리 속도 향상 — 새로운 시스템을 도입하거나 늘어나는 사용자에 대응할 때, 기존 전산실 증설보다 훨씬 빠르게 확장할 수 있습니다.
- 전산 인력 부담 감소 — 서버 유지보수, 보안 패치 같은 반복적인 관리 업무는 클라우드 사업자가 상당 부분 책임지므로, 담당 직원은 본연의 정책·서비스 업무에 더 집중할 수 있습니다.
4. 기타 알아두면 좋은 사항
- 등급은 점차 확대될 가능성이 있습니다. 정부는 해외 클라우드 사업자의 등급제 참여를 단계적으로 넓혀가는 방향으로 정책을 운영하고 있습니다. '하' 등급은 시작 단계이며, 향후 중·상 등급 인증이 추가되면 활용 범위도 넓어질 수 있습니다.
- 개인정보가 포함된 업무는 별도 검토가 필요합니다. 개인정보보호법, 행정안전부 지침 등 관련 규정에 따라 시스템별로 적용 가능 여부를 사전에 확인해야 합니다.
- 전환은 단계적으로 추진하는 것이 안전합니다. 영향도가 낮은 업무(홈페이지, 협업도구 등)부터 시작해 운영 경험을 쌓은 뒤, 점차 범위를 넓혀가는 방식을 권장합니다.
- 도입 전 컨설팅을 받아보시길 권장합니다. 어떤 업무가 '하' 등급 범위에 해당하는지, 기존 시스템과 어떻게 연계할지는 기관별 환경에 따라 다릅니다. 저희 제이씨클라우드는 공공기관의 클라우드 전환 적합성 진단부터 마이그레이션, 보안 컴플라이언스 대응까지 함께 지원하고 있습니다.
이번 AWS의 CSAP '하' 등급 인증 통과는 공공기관이 한 번에 모든 시스템을 바꾸는 것이 아니라, 안전하게 검증된 영역부터 단계적으로 클라우드의 효율성과 안정성을 경험해볼 수 있는 좋은 출발점이 될 것입니다. 제천시청을 비롯한 공공기관 담당자분들께서 클라우드 도입을 검토하실 때 참고가 되시길 바랍니다.