공공기관 정보시스템에서 오브젝트 스토리지는 문서·이미지·백업·로그 등 비정형 데이터의 표준 저장소로 자리 잡았습니다. KT Cloud는 공공 전용 클라우드(G-Cloud)에서 CSAP 인증 범위에 포함된 Object Storage를 제공하고 있으며, 2024년 하반기에는 S3 API 기반의 신규 Object Storage를 출시하여 보안·잠금 기능을 강화했습니다. 이번 글에서는 KT Cloud Object Storage를 구조와 기능 중심으로 정리하고, 이 서비스가 CSAP의 어떤 보안정책(통제항목)을 따르는지 항목별로 연결해 봅니다.
1. KT Cloud Object Storage 개요
서비스 구성
KT Cloud Object Storage는 두 가지 계열로 제공됩니다.
- Object Storage Classic — OpenStack Swift API 기반의 기존 서비스. 그동안 Storage 1.0/2.0/3.0으로 나뉘어 있던 버전을 Classic이라는 단일 이름으로 통합했습니다.
- 신규 Object Storage — 2024년 하반기 공공 클라우드(G-Cloud)부터 출시된 S3 API 기반 서비스. AWS S3용으로 개발된 애플리케이션·SDK·CLI 도구를 큰 수정 없이 연동할 수 있으며, 버저닝(versioning)과 오브젝트 잠금(object lock) 등 보안 기능이 강화되었습니다.
아키텍처 특징
- 다중 복제 저장 — 데이터는 여러 스토리지 노드와 디스크에 복제되어 저장됩니다. RAID에 의존하는 블록·파일 스토리지와 달리 오브젝트 단위로 복제본 수를 유지하므로, 디스크 장애 시에도 데이터 유실 없이 자동 복구됩니다.
- 확장성 — 용량 한도를 사전에 정하지 않고 사용량만큼 확장되는 구조로, 대용량 비정형 데이터에 적합합니다.
- 과금 구조(신규 서비스) — 저장 용량(일 최고 사용량의 월 평균), 아웃바운드 전송량, API 호출 수(PUT/GET/DELETE 등)의 3개 요소로 과금됩니다. 이용량 설계 시 API 호출 패턴까지 고려해야 합니다.
주요 기능
- REST API / S3 호환 API — 웹·모바일 서비스, 백업 도구와의 연동이 용이합니다.
- 버킷 암호화(SSE) — 버킷 단위로 S3 관리형 키를 사용한 서버측 암호화를 적용할 수 있습니다. 공식 매뉴얼 기준 SSE-S3(서비스 관리 키)와 SSE-C(고객 제공 키) 방식을 지원합니다.
- 버저닝(Versioning) — 동일 오브젝트의 여러 버전을 같은 버킷에서 보존하여 실수로 인한 삭제·덮어쓰기로부터 복구할 수 있습니다. 버전별 용량도 저장 요금에 포함되는 점에 유의하세요.
- 오브젝트 잠금(Object Lock) — 지정 기간 동안 오브젝트의 삭제·변경을 차단하는 WORM(Write Once Read Many) 방식의 보호 기능으로, 랜섬웨어 대응과 기록물 보존 요건에 활용됩니다.
- 버킷·객체 태그 — 태그 기반으로 메타데이터를 분류·추적할 수 있습니다.
- 접근 제어 — 버킷(컨테이너) 단위 접근 권한 설정과 인증 키 기반 API 접근 통제를 제공합니다.
- HTTPS 전송 — API 접근은 TLS 암호화 채널로 이루어집니다.
- 저장 등급 — 3중 복제 기반 Standard(RF3)와 Erasure Coding 기반 Economy(EC) 두 가지 등급이 제공되어 데이터 중요도에 따라 비용을 최적화할 수 있습니다.
2. CSAP 보안인증이 요구하는 것
CSAP(클라우드서비스 보안인증제)는 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」 제23조의2에 근거하여, 과학기술정보통신부 고시 「클라우드컴퓨팅서비스 정보보호에 관한 기준」에 따라 KISA가 인증하는 제도입니다. IaaS 인증 기준은 14개 부문, 116개 통제항목으로 구성되며 관리적·물리적·기술적 보호조치와 공공기관용 추가 보호조치를 포함합니다.
공공기관이 KT Cloud G-Cloud의 Object Storage를 이용한다는 것은, 스토리지 서비스가 이 통제항목 전체의 심사를 통과한 인프라 위에서 운영된다는 의미입니다. 스토리지 관점에서 특히 중요한 부문은 다음과 같습니다.
3. Object Storage가 따르는 CSAP 보안정책
① 공공·민간 영역 분리 (공공기관용 추가 보호조치)
G-Cloud의 Object Storage는 민간 상용존과 물리적으로 분리된 공공 전용존에서 운영됩니다. 스토리지 노드, 네트워크, 운영 인력까지 분리되어 공공 데이터가 민간 워크로드와 자원을 공유하지 않습니다.
② 데이터 국내 저장 (공공기관용 추가 보호조치)
모든 오브젝트는 국내 데이터센터에 저장되며, 복제본 역시 국내에 유지됩니다. 행정안전부 고시가 요구하는 데이터 위치 투명성 요건을 충족합니다.
③ 접근통제 (기술적 보호조치)
CSAP 접근통제 부문은 계정 관리, 인증, 권한 최소화, 세션 관리를 요구합니다. Object Storage에서는 다음과 같이 적용됩니다.
- 버킷 단위 접근 권한과 인증 키(API Key/Secret) 기반 접근 통제
- 공개(public) 설정과 비공개(private) 설정의 명시적 구분 — 공공 데이터는 기본 비공개가 원칙
- 콘솔 관리자 접근에 대한 인증 절차와 권한 분리
④ 암호화 및 키 관리 (기술적 보호조치)
CSAP는 중요 정보의 전송·저장 시 암호화를 요구하며, 공공기관용 추가 보호조치는 국가정보원 검증필 암호모듈(KCMVP) 적용을 요구합니다.
- 전송 구간 — Object Storage API는 HTTPS(TLS)로 암호화됩니다.
- 저장 데이터(서버측 암호화) — 신규 Object Storage는 버킷 단위 서버측 암호화(SSE-S3, SSE-C)를 지원합니다. SSE-S3는 서비스가 키를 관리하고, SSE-C는 기관이 제공하는 키로 암호화하여 키 통제권을 기관이 갖습니다.
- 중요 정보 추가 암호화 — 개인정보·행정정보 등 중요 정보는 SSE에만 의존하지 말고, 저장 전 KCMVP 검증필 암호모듈 기반 애플리케이션 암호화를 병행하는 것이 공공기관용 추가 보호조치 관점에서 안전합니다. 이용 기관도 암호화 적용 책임을 나눠 갖는다는 점(공동책임모델)에 유의해야 합니다.
⑤ 데이터 보호 및 무결성 (기술적 보호조치)
- 다중 복제 — 스토리지 노드·디스크 장애 시에도 서비스와 데이터가 유지되도록 복제본을 유지합니다. CSAP의 서비스 연속성·가용성 요건과 연결됩니다.
- 버저닝·오브젝트 잠금 — 위·변조 및 삭제로부터 데이터를 보호하는 무결성 통제 수단입니다. 특히 오브젝트 잠금은 랜섬웨어에 의한 백업 파괴를 차단하는 실무적 대응책입니다.
⑥ 로그 관리 및 침해사고 대응 (관리적·기술적 보호조치)
스토리지 접근 이력은 기록·보관되어 감사 시 추적할 수 있어야 하며, KT Cloud 공공존은 24×365 보안관제로 비정상 접근을 상시 감시합니다. 이는 CSAP의 침해사고 예방·대응 부문 심사 대상입니다.
⑦ 저장정보 반환·파기 (계약 종료 시)
계약이 종료되면 오브젝트 데이터를 반환받은 뒤, 사업자가 보유한 데이터는 복구 불가능한 방법으로 파기되어야 합니다. 자세한 기준과 절차는 이전 글 CSAP 저장정보 관리를 참고하세요.
4. 요약 매핑 테이블
| Object Storage 기능 | 대응하는 CSAP 보안정책 |
|---|---|
| 공공 전용존 운영 | 공공·민간 물리적 분리 (공공기관용 추가 보호조치) |
| 국내 데이터센터 저장·복제 | 데이터 국내 저장 요건 |
| 버킷 권한·인증 키 관리 | 접근통제 (기술적 보호조치) |
| HTTPS(TLS) API | 전송 데이터 암호화 |
| 버킷 서버측 암호화(SSE-S3, SSE-C) | 저장 데이터 암호화·키 관리 |
| 다중 복제 저장 | 가용성·서비스 연속성 |
| 버저닝·오브젝트 잠금(WORM) | 데이터 무결성·랜섬웨어 대응 |
| 접근 로그 기록, 24×365 관제 | 로그 관리·침해사고 대응 |
| 계약 종료 시 반환·완전 파기 | 이용자 정보 반환·파기 기준 |
5. 도입 시 실무 유의사항
- Classic과 신규 서비스 선택 — 신규 시스템은 S3 API 기반 신규 Object Storage를 권장합니다. Swift 기반 Classic에서의 이전은 의무는 아니지만, 마이그레이션 지원이 별도 제공되지 않으므로 데이터 이전 계획을 기관이 직접 수립해야 합니다.
- 버킷 공개 설정 점검 — 오브젝트 스토리지 사고의 대부분은 버킷 공개 설정 실수에서 발생합니다. 공개가 필요한 정적 콘텐츠와 내부 데이터의 버킷을 반드시 분리하고, 정기적으로 권한을 점검하세요.
- 버킷 암호화 활성화 — 버킷 생성 시 SSE 암호화를 기본 활성화하고, 키 통제권이 필요한 데이터는 SSE-C를 검토하세요. 개인정보 등 중요 정보는 저장 전 암호화(KCMVP 검증필 모듈)를 기관 차원에서 병행하는 것이 안전합니다.
- API 호출 과금 고려 — 신규 서비스는 API 호출 수도 과금 요소이므로, 대량 호출이 발생하는 워크로드는 비용 시뮬레이션을 먼저 수행하세요.
- 백업 보호 — 백업 데이터를 Object Storage에 저장하는 경우 오브젝트 잠금을 활성화해 랜섬웨어로부터 백업 자체를 보호하는 구성을 권장합니다.
맺음말
KT Cloud Object Storage는 단순한 저장소가 아니라, CSAP 인증 심사를 통과한 공공 전용 인프라 위에서 접근통제·암호화·무결성·가용성 통제가 함께 제공되는 서비스입니다. 다만 버킷 권한 설정, 중요 정보의 저장 전 암호화, 백업 잠금 구성 등은 이용 기관의 책임 영역이므로, 공동책임모델 관점에서 기관 내부 보안 절차와 함께 설계해야 합니다. 오브젝트 스토리지 도입 설계나 CSAP 대응이 필요하시면 JC Cloud로 문의해 주세요.