클라우드 보안 책임 강화와 인증 의무화

쉬운 요약

• 대형 클라우드 사업자의 보안 책임을 더 분명하게 만들기 위한 법률 개정안이에요.
• 외부 협력사와 원격 접속자까지 포함해 계정별 인증과 접근 권한을 더 촘촘하게 관리하려고 해요.
• 매출액이나 이용자 수가 일정 기준을 넘는 클라우드 사업자는 보안인증을 의무적으로 받게 하려는 내용이에요.
• 클라우드 보안을 책임지는 정보보호 최고책임자를 지정하고, 정기적인 보안 감사와 개선 자료 보관도 요구하려고 해요.
• 기업의 자율 관리에 맡겨져 있던 민간 클라우드 보안을 공공 분야에 가까운 수준으로 끌어올리려는 제안이에요.

주요 내용

보안인증기준 강화: 원격 접속자와 수탁 사업자를 포함한 계정별 식별·인증, 차등적 접근통제, 정보 유출 방지와 서비스 안정성 확보를 위한 보호조치를 보안인증기준에 명시하려고 해요.

대형 사업자 인증 의무화: 매출액과 이용자 수 등이 대통령령으로 정하는 기준에 해당하는 클라우드컴퓨팅서비스 제공자는 보안인증을 의무적으로 받도록 하려 해요.

정보보호 최고책임자 지정: 클라우드컴퓨팅서비스 제공자가 정보보호 최고책임자를 지정하고 과학기술정보통신부장관에게 신고하도록 하려는 내용이에요.

정기 보안감사와 자료 보관: 사업자가 정기적으로 보안 상태를 감사하고, 감사 결과와 개선 관련 자료를 일정 기간 보관하도록 하려 해요.

공급망 보안 관리: 클라우드 사업자 내부뿐 아니라 외부 협력사와 수탁 사업자의 취약점, 계정 권한 설정 오류까지 관리 범위에 포함하려고 해요.

왜 나왔나

발의 당시 설명에 따르면 클라우드 이용이 빠르게 늘었지만, 클라우드컴퓨팅서비스 제공자와 이용 기업 사이의 보안 책임이 명확하지 않아 사각지대가 생기고 있었어요. 외부 협력사의 보안 취약점이나 클라우드 접근 권한 설정 오류가 대규모 정보 유출로 이어질 수 있는데도 관련 관리가 충분하지 않다는 문제의식이 제시됐어요. 현재 시행 조문은 보안인증기준을 정하고 사업자에게 이를 지키도록 권고할 수 있게 하며, 보안인증도 받을 수 있도록 하는 구조예요. 법안은 일정 규모 이상 사업자에게 인증을 의무화하고 내부 책임자와 감사 체계를 두어 사고 예방과 원인 규명을 강화하려고 해요.

무엇이 달라지나

1) 계정별 인증과 접근통제 기준 강화

현재 시행 중인 제23조는 클라우드컴퓨팅서비스의 정보보호 기준을 관리적·물리적·기술적 보호조치를 포함해 고시할 수 있도록 하고, 사업자에게 그 기준을 지키도록 권고할 수 있다고 규정해요. 발의 당시 제안안은 여기에 원격 접속자와 수탁 사업자를 포함한 계정별 식별·인증과 차등적 접근통제 등을 보안인증기준에 구체적으로 담으려는 내용이에요.

• 모든 계정이 같은 권한을 갖지 않도록 업무에 필요한 범위만 접근하게 하는 관리가 중요해져요.
• 외부 협력사나 위탁업체가 클라우드 시스템에 접속하는 경우에도 누가, 언제, 어떤 권한으로 접근했는지 확인할 수 있어야 해요.
• 접근 권한이 잘못 설정돼 정보가 외부에 노출되는 사고를 줄이려는 목적이지만, 실제 기준의 세부 항목은 이후 정해질 내용을 확인해야 해요.

2) 이용자 정보와 서비스 안정성 보호

제안안은 보안인증기준에 이용자 정보 유출 방지와 클라우드 서비스 안정성 확보를 위한 기술적·물리적 보호조치 항목을 명시하려고 해요. 현재 시행 중인 제23조도 정보보호 기준을 고시할 수 있도록 하지만, 제안안은 공급망과 접근 권한 관리까지 포함한 보호 요구를 보다 구체화하려는 방향이에요.

• 정보가 저장·처리되는 환경뿐 아니라 서버와 설비에 대한 물리적 보호도 관리 대상이 될 수 있어요.
• 서비스 장애나 공격으로 클라우드 이용이 중단되지 않도록 안정성 확보 조치도 중요하게 다뤄질 수 있어요.
• 보안사고가 발생했을 때 정보 유출과 서비스 중단을 함께 점검할 수 있는 기준이 마련될 가능성이 있어요.

3) 일정 규모 사업자의 보안인증 의무화

현재 시행 중인 제23조의2는 보안인증기준에 적합한 클라우드컴퓨팅서비스에 대해 인증할 수 있도록 하고, 인증받은 서비스가 인증 표시를 사용할 수 있게 해요. 발의 당시 제안안은 매출액과 이용자 수 등이 대통령령으로 정하는 기준에 해당하는 제공자에게 보안인증을 의무화해, 현재의 선택 가능한 인증 구조를 일정 규모 사업자에게는 의무 체계로 넓히려는 내용이에요.

• 모든 클라우드 사업자에게 같은 의무를 부과하기보다 규모가 큰 사업자를 우선 대상으로 삼으려는 방식이에요.
• 이용자가 많은 서비스일수록 사고가 발생했을 때 피해 범위가 커질 수 있다는 점을 고려한 것으로 볼 수 있어요.
• 매출액과 이용자 수의 기준, 대상 서비스의 범위, 인증을 받는 시점과 절차는 대통령령에서 어떻게 정하는지가 핵심이에요.

4) 정보보호 최고책임자 신고

발의 당시 제안안은 클라우드컴퓨팅서비스 제공자가 정보보호 최고책임자를 지정하고 과학기술정보통신부장관에게 신고하도록 하는 제23조의5를 신설하려고 해요. 제공된 현재 시행 조문 자료에는 제23조의5가 확인되지 않아, 실제 책임자의 자격과 권한, 신고 내용은 최종 법률과 하위 규정을 통해 확인해야 해요.

• 보안 문제가 생겼을 때 책임 부서와 의사결정권자를 분명하게 두려는 취지예요.
• 정보보호 최고책임자는 접근 권한 관리, 외부 협력사 점검, 사고 대응과 개선 조치를 조정하는 역할을 맡게 될 수 있어요.
• 이름만 지정하는 데 그치지 않도록 경영진에 보고할 권한과 보안 업무를 수행할 독립성이 함께 보장되는지가 중요해요.

5) 정기 감사와 개선 자료 보관

제안안은 클라우드컴퓨팅서비스 제공자가 정기적인 보안 감사와 개선을 실시하고 관련 자료를 의무적으로 보관하도록 하려는 내용도 담고 있어요. 현재 시행 조문 자료에는 제23조의5가 확인되지 않으므로 감사 주기, 보관 기간, 제출 또는 점검 방식은 아직 구체적으로 확인된 내용으로 볼 수 없어요.

• 사고가 발생한 뒤에 원인을 찾는 데서 그치지 않고 평소 보안 상태를 반복적으로 점검하려는 구조예요.
• 감사 결과와 개선 조치가 기록으로 남으면 취약점이 발견된 뒤 실제로 고쳐졌는지 확인하기 쉬워져요.
• 자료 보관 의무가 사업자 규모와 서비스 특성에 맞게 설계되지 않으면 중소 사업자의 관리 부담이 커질 수 있어요.

누구에게 영향이 있나

• 대형 클라우드컴퓨팅서비스 제공자: 일정 기준을 넘으면 보안인증, 책임자 지정, 정기 감사와 자료 보관 의무를 부담할 수 있어요.
• 중소 클라우드 사업자: 의무 인증 대상에 포함되지 않더라도 보안인증기준과 거래처의 보안 요구 수준에 영향을 받을 수 있어요.
• 외부 협력사와 수탁 사업자: 원격 접속과 계정 권한 관리가 강화돼 보안 점검과 접근 기록 관리가 필요해질 수 있어요.
• 클라우드 이용 기업: 이용 중인 서비스의 인증 여부와 보안관리 수준을 더 쉽게 비교할 수 있는 기준이 마련될 수 있어요.
• 정보보호 최고책임자와 보안 담당자: 사업자의 보안 체계를 운영하고 감사·개선 결과를 관리하는 책임이 커질 수 있어요.
• 과학기술정보통신부와 인증기관: 인증 대상과 평가 기준을 정하고 인증과 사후관리를 수행하는 역할이 확대될 수 있어요.

봐야 할 점

• 의무 인증 기준: 매출액과 이용자 수를 어느 수준으로 정할지에 따라 실제 대상 사업자의 범위가 크게 달라질 수 있어요.
• 보안인증기준의 구체성: 원격 접속자, 수탁 사업자, 계정별 권한을 어떤 수준까지 관리하도록 할지 확인해야 해요.
• 사업자 부담과 실효성: 인증과 감사 비용이 보안 강화로 이어지는지, 형식적인 서류 절차에 그치지 않는지 살펴봐야 해요.
• 책임 배분: 클라우드 제공자와 이용 기업, 외부 협력사 사이에서 사고 예방과 신고·대응 책임이 어떻게 나뉘는지 명확해야 해요.
• 감사 자료의 활용: 보관된 자료를 누가 어떤 절차로 확인하고, 취약점이 반복될 때 어떤 개선 조치를 요구할 수 있는지 정해져야 해요.