행정기관과 공공기관이 민간 클라우드를 도입할 때 가장 먼저 마주하는 질문은 하나입니다. "우리 기관의 데이터는 어디에, 어떻게 저장되고, 계약이 끝나면 어떻게 되는가?" 이 질문에 대한 제도적 답이 바로 행정안전부의 「행정기관 및 공공기관의 클라우드컴퓨팅서비스 이용 기준 및 안전성 확보 등에 관한 고시」와 클라우드 보안인증제(CSAP)입니다. 이번 글에서는 고시가 요구하는 저장정보 관리 기준을 정리하고, KT Cloud가 공공 전용 클라우드(G-Cloud)에서 이를 어떻게 이행하고 있는지 살펴봅니다.
1. 고시의 개요와 법적 근거
「행정기관 및 공공기관의 클라우드컴퓨팅서비스 이용 기준 및 안전성 확보 등에 관한 고시」는 다음 두 법령에 근거한 행정안전부 고시입니다.
- 「전자정부법」 제54조의2 — 행정기관 등의 클라우드컴퓨팅서비스 이용 기준과 안전성 확보에 필요한 사항
- 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률 시행령」 제19조제6항 — 계약·사업 종료 사실의 통지 방법과 시기, 이용자 정보의 반환 및 파기 방법·시기에 대한 기준
2022년 3월 최초 제정(행정안전부고시 제2022-28호) 이후 수차례 개정되었으며, 현재는 2025년 12월 29일 개정된 행정안전부고시 제2025-79호가 시행 중입니다.
고시의 핵심 원칙은 다음과 같습니다.
- 클라우드 우선 검토(Cloud First) — 신규 정보시스템을 구축하거나 기존 시스템을 교체할 때 보안성·안정성·확장성·비용효율성을 종합 고려하여 클라우드컴퓨팅서비스 이용을 우선 검토해야 합니다.
- 보안인증(CSAP) 서비스 우선 이용 — 클라우드를 이용하는 경우 「클라우드컴퓨팅서비스 정보보호에 관한 기준」에 따라 인증된 서비스를 우선 고려해야 합니다.
- 시스템 중요도 등급 식별 — 국가정보원의 「국가 클라우드컴퓨팅 보안 가이드라인」에 따라 이용하려는 정보시스템의 시스템 중요도(상·중·하) 등급을 식별하고, 해당 등급에 맞는 보안인증을 받은 클라우드 서비스를 이용해야 합니다.
- 국가 정보보안 기본지침 준수 — 클라우드 이용 전 과정에서 국가정보원장이 수립한 「국가 정보보안 기본지침」을 준수해야 합니다.
2. 고시가 요구하는 저장정보 관리
지자체 실무 관점에서 가장 중요한 것은 데이터 생애주기 전체에 대한 통제입니다. 고시와 CSAP 인증 기준(14개 부문, 110여 개 통제항목)은 저장정보에 대해 다음을 요구합니다.
저장 단계
- 국내 저장 — 공공기관 데이터는 국내에 위치한 데이터센터에 저장되어야 하며, 데이터의 물리적 위치를 이용 기관이 확인할 수 있어야 합니다.
- 공공·민간 영역 분리 — 공공기관용 클라우드는 민간 서비스 영역과 물리적으로 분리(하위 등급은 논리적 분리 허용)되어야 합니다.
- 암호화 — 중요 정보 저장 시 국가정보원 검증필 암호모듈(KCMVP)을 적용한 암호화가 요구됩니다.
- 접근통제 — 저장정보에 대한 접근 권한 관리, 접근 이력 기록·보관, 관리자 권한 분리가 필요합니다.
계약 종료 단계
고시의 반환·파기 조항은 명확합니다.
클라우드컴퓨팅서비스 이용 계약이 해제·해지 또는 기간 만료 등으로 종료되는 경우, 이용 기관은 저장정보를 반환받은 후 서비스 제공자가 보유한 저장정보를 복구가 불가능한 방법으로 지체 없이 파기하도록 해야 하며, 반환이 불가능한 경우에도 복구가 불가능한 방법으로 지체 없이 파기해야 합니다.
즉, 클라우드 사업자는 "데이터를 지웠다"가 아니라 "복구 불가능하게 파기했다"는 것을 증빙할 수 있어야 합니다.
3. KT Cloud는 어떻게 이행하는가
KT Cloud는 공공기관 전용 클라우드 G-Cloud로 국내 최초 CSAP(IaaS) 인증을 획득한 사업자이며, 고시와 CSAP의 저장정보 요구사항을 다음과 같이 이행합니다.
국내 공공 전용 데이터센터
G-Cloud는 국내에 위치한 공공 전용 데이터센터에서 운영됩니다. 공공기관 데이터는 민간 상용존과 물리적으로 분리된 공공 전용존에 저장되어 데이터 주권과 위치 투명성 요건을 충족하며, 이용 기관은 데이터가 저장되는 리전과 센터를 계약 단계에서 명시적으로 확인할 수 있습니다.
KCMVP 기반 저장 데이터 암호화
저장 데이터(Data at Rest)에 대해 국가정보원 검증필 암호모듈(KCMVP) 기반 암호화를 제공합니다. 디스크·스토리지 단위 암호화와 함께 DB 암호화 솔루션 연계를 지원하여, 개인정보와 행정정보가 평문으로 저장되지 않도록 합니다. 암호키는 이용 기관 통제 하에 분리 관리됩니다.
접근통제와 기록 관리
- 공공존 운영 인력은 신원 검증을 거친 전담 인력으로 제한되며, 관리자 접근은 다중 인증과 승인 절차를 거칩니다.
- 저장정보에 대한 모든 접근은 로그로 기록·보관되어 감사 시 추적이 가능합니다.
- 24×365 보안관제로 비정상 접근을 상시 감시합니다.
계약 종료 시 반환·파기
클라우드법 시행령 제19조제6항 요건에 따라 KT Cloud는 계약 종료 시 다음 절차를 이행합니다.
- 사전 통지 — 계약·사업 종료 사실을 정해진 시기와 방법에 따라 이용 기관에 통지
- 저장정보 반환 — 이용 기관이 지정한 형식으로 데이터 반환 지원
- 복구 불가능한 파기 — 반환 완료 후 저장 매체의 데이터를 완전삭제(wiping)하고, 매체 폐기 시에는 디가우징·물리 파쇄를 적용
- 파기 확인서 발급 — 파기 완료를 증빙하는 확인서를 이용 기관에 제공
이 절차 전체가 CSAP 인증 심사와 국가정보원 보안적합성 검증의 점검 대상이므로, 이용 기관 입장에서는 별도 검증 부담 없이 제도적으로 담보된 파기 절차를 활용할 수 있습니다.
4. 지자체 실무 체크리스트
지자체가 클라우드 도입 시 저장정보 관점에서 확인할 사항을 정리하면 다음과 같습니다.
| 확인 항목 | 근거 | KT Cloud 대응 |
|---|---|---|
| 시스템 중요도 등급(상·중·하) 식별 | 국정원 보안 가이드라인 | 등급별 인증 서비스 제공 |
| 데이터 국내 저장 여부 | CSAP 인증 기준 | 국내 공공 전용 데이터센터 |
| 민간 영역과의 분리 | CSAP 인증 기준 | 물리적 분리된 공공존 |
| 저장 데이터 암호화(KCMVP) | 국가 정보보안 기본지침 | KCMVP 검증필 암호모듈 적용 |
| 계약 종료 시 반환·파기 절차 | 고시 및 클라우드법 시행령 §19⑥ | 반환 → 완전파기 → 확인서 발급 |
| 접근 기록 보관·감사 대응 | CSAP 인증 기준 | 전 접근 로그 기록, 24×365 관제 |
5. 참고: 제도 개편 동향
과학기술정보통신부와 KISA가 10년간 운영해 온 CSAP는 2027년 7월부터 국가정보원 중심의 단일 보안인증 체계로 개편될 예정입니다. 다만 개편 이후에도 국내 저장, 암호화, 반환·파기 등 저장정보 관리의 핵심 요구사항은 유지·강화되는 방향이므로, 현행 CSAP 기준에 맞춰 도입한 시스템은 연속성 있게 운영할 수 있습니다.
맺음말
클라우드 도입에서 저장정보 관리는 "사업자를 믿는" 문제가 아니라 고시와 인증으로 검증하는 문제입니다. 행정안전부 고시는 데이터의 저장 위치·암호화·반환·파기까지 생애주기 전체를 규정하고 있으며, KT Cloud G-Cloud는 이 요구사항을 CSAP 인증과 국정원 보안적합성 검증을 통해 제도적으로 담보하고 있습니다. 지자체 정보화 담당 부서에서는 위 체크리스트를 계약서와 과업지시서에 반영하는 것만으로도 저장정보 관리 요건의 대부분을 확보할 수 있습니다.