미래창조과학부 고시 제2016-41호

｢클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률｣ 제23조에 따라 ｢클라우드컴퓨팅서비스 정보보호에 관한 기준｣을 다음과 같이 고시합니다.

2016년  4월  4일

미래창조과학부장관

클라우드컴퓨팅서비스 정보보호에 관한 기준

제1장 총칙

제1조(목적) 이 기준은 ｢클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률｣(이하 “법”이라 한다) 제23조 제2항에 따라 클라우드컴퓨팅서비스의 안전성 및 신뢰성 향상에 필요한 정보보호 기준의 구체적인 내용을 정함을 목적으로 한다.

제2조(정의) 이 기준에서 사용하는 용어의 뜻은 다음과 같다.

1. “정보보호” 라 함은 컴퓨터 등 정보처리능력을 가진 장치를 이용하여 수집·가공·저장·검색·송신 또는 수신되는 정보의 유출·위변조·훼손 등을 방지하기 위하여 기술적·물리적·관리적 수단을 강구하는 일체의 행위를 말하며 사이버안전을 포함한다.

2. “정보보호조직”이라 함은 정보통신서비스를 안전하게 제공하고 정보보호 활동을 체계적으로 이행토록 하는 업무 조직을 말한다.

3. “가상화”라 함은 물리적으로 다른 시스템을 논리적으로 통합하거나 반대로 하나의 시스템을 논리적으로 분할해 자원을 효율적으로 사용케 하는 기술을 말한다.

4. "정보보호시스템"이라 함은 정보처리시스템 내 정보를 유출·위조·변조·훼손하거나 정보처리시스템의 정상적인 서비스를 방해하는 행위로부터 정보 등을 보호하기 위한 장비 및 프로그램을 말한다.

5. “서비스수준협약”이라 함은 서비스 제공자가 서비스 가입자와 합의를 통하여 사전에 정의된 수준의 서비스를 제공하기로 맺는 협약을 말한다.

6. “취약점 점검”이라 함은 컴퓨터의 하드웨어 또는 소프트웨어의 결함이나 체계 설계상의 허점으로 인해 사용자에게 허용된 권한 이상의 동작이나 허용된 범위 이상의 정보 열람·변조·유출을 가능하게 하는 약점에 대하여 점검하는 것을 말한다.

제2장 정보보호조치

제3조(관리적 보호조치) ① 클라우드컴퓨팅서비스 제공자는 클라우드컴퓨팅서비스의 안전성 및 신뢰성 확보를 위하여 다음 각 호의 사항을 포함한 관리적 보호조치를 취하여야 한다.

1. 정보보호 정책 수립·이행 및 정보보호 조직 구성·운영에 관한 사항

2. 내·외부 인력관리 및 정보보호 교육에 관한 사항

3. 자산 식별, 변경관리 및 위험관리에 관한 사항

4. 공급망 계약, 모니터링, 변경 등 공급망 관리에 관한 사항

5. 침해사고 대응 절차, 체계, 처리 및 복구, 사후관리에 관한 사항

6. 서비스 장애 대응, 성능 및 용량 관리, 백업 등 서비스 가용성에 관한 사항

7. 법·정책적 요구사항 준수 및 보안감사 활동에 관한 사항

② 제1항 각 호의 세부적인 조치 사항은 별표 1과 같다.

제4조(물리적 보호조치) ① 클라우드컴퓨팅서비스 제공자는 중요 정보와 정보처리시설 및 설비 보안을 위하여 다음 각 호의 사항을 포함한 물리적 보호조치를 취하여야 한다.

1. 물리적 보호구역 지정, 출입 통제 등 물리적 보호구역 보안에 관한 사항

2. 정보처리 시설의 배치, 보호설비 구비, 장비 반출·입 등 시설 및 장비보호에 관한 사항

② 제1항 각 호의 세부적인 조치 사항은 별표 2와 같다.

제5조(기술적 보호조치) ① 클라우드컴퓨팅서비스 제공자는 클라우드컴퓨팅서비스의 안전성 및 신뢰성 확보를 위하여 다음 각 호의 사항을 포함한 기술적 보호조치를 취하여야 한다.

1. 가상화 인프라, 가상 환경 보호에 관한 사항

2. 접근통제 및 사용자 식별·인증에 관한 사항

3. 네트워크 통제, 정보보호시스템 운영, 암호화 등 네트워크 보안에 관한 사항

4. 데이터 보호 및 암호화 등 중요 정보 보호에 대한 사항

5. 시스템 분석·설계·구현, 외주개발 보안, 시스템 도입 보안 등 개발 및 도입에 관한 사항

② 제1항 각 호의 세부적인 조치 사항은 별표 3과 같다.

제6조(공공기관용 추가 보호조치) ① 클라우드컴퓨팅서비스 제공자가 ｢전자정부법｣ 제2조 제3호에 따른 공공기관에게 클라우드컴퓨팅서비스를 제공하는 경우에는 그 서비스의 안전성 및 신뢰성 확보를 위하여 다음 각 호의 사항을 포함한 보호조치를 추가로 취하여야 한다.

1. 보안 수준 협약에 관한 사항

2. 도입 전산장비 안전성 확보에 관한 사항

3. 클라우드컴퓨팅서비스 운영 및 네트워크 환경 보안관리 수준에 관한 사항

4. 사고 및 장애 시 대응 절차 및 협조체계 구성에 대한 사항

5. 클라우드컴퓨팅서비스의 물리적 위치 및 분리에 관한 사항

6. 중요장비 이중화 및 백업체계 구축에 관한 사항

7. 검증필 암호화 기술 제공에 관한 사항

8. 보안 관제를 위한 제반환경 지원에 관한 사항

9.  그 밖에 공공기관이 클라우드컴퓨팅서비스를 활용하기 위해 필요한 보호조치 등 관계기관의 장이 정하는 사항

② 제1항 각 호의 세부적인 조치 사항은 별표 4와 같다.

제3장 보칙

제7조(정보보호 기준의 준수여부 확인)  미래창조과학부장관은 ｢클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률｣ 제5조에 따른 “기본계획”(2015년 12월 7일 확정, 정보통신전략위원회) 상의 “보안인증제” 시행을 위해 클라우드컴퓨팅서비스 제공자가 그 서비스가 이 기준을 준수하는지 확인을 요청한 경우에는 ｢정보통신망 이용촉진 및 정보보호 등에 관한 법률｣ 제52조에 따른 “한국인터넷진흥원”의 장이 그 서비스를 조사 또는 시험·평가하여 인증 할 수 있다.

제8조(재검토) 미래창조과학부장관은 ｢훈령·예규 등의 발령 및 관리에 관한 규정(대통령훈령 제248호)｣에 따라 이 고시에 대하여 ‘고시 발령일’을 기준으로 매 3년마다 법령이나 현실 여건의 변화 등을 검토하여 이 고시의 폐지, 개정 등의 조치를 하여야 한다.

부   칙

제1조(시행일) 이 고시는 고시한 날부터 시행한다.

구 분			세 부 조 치 사 항
1. 정보보호 정책 및 조직	1.1. 정보보호 정책	1.1.1. 정보보호 정책 수립	정보보호 정책을 문서화하고, 정보보호 최고책임자의 승인 후 정책에 영향을 받는 모든 임직원 및 외부 업무 관련자에게 제공하여야 한다.
		1.1.2. 정보보호 정책 검토 및 변경	정보보호 정책의 타당성 및 효과를 연 1회 이상 검토하고, 관련 법규 변경 및 내·외부 보안사고 발생 등의 중대한 사유가 발생할 경우에는 추가로 검토하고 변경하여야 한다.
		1.1.3. 정보보호 정책문서 관리	정보보호 정책 및 정책 시행문서의 이력관리 절차를 수립하고 시행하며, 최신본으로 유지하여야 한다.
	1.2. 정보보호 조직	1.2.1. 조직 구성	정보보호 활동을 계획, 실행, 검토하는 정보보호 전담조직을 구성하고 정보보호 최고책임자를 임명하여야 한다.
		1.2.2. 역할 및 책임 부여	정보자산과 보안에 관련된 모든 임직원 및 외부 업무 관련자의 정보보호 역할과 책임을 명확하게 정의하여야 한다. 또한 서비스 이용자의 정보보호 역할과 책임도 서비스 수준 협약 등을 통해 명확하게 정의하여야 한다.
2. 인적보안	2.1. 내부인력 보안	2.1.1. 고용계약	고용 계약서에 정보보호 정책 및 관련 법률을 준수하도록 하는 조항 또는 조건을 포함시키고, 새로 채용하거나 합류한 근무 인력이 클라우드컴퓨팅서비스의 설비, 자원, 자산에 접근이 허용되기 이전에 서명을 받아야 한다.
		2.1.2. 주요 직무자 지정 및 감독	클라우드컴퓨팅서비스의 시스템 운영 및 개발, 정보보호 등에 관련된 임직원의 경우 주요 직무자로 지정하여 관리하고, 직무 지정 범위는 최소화하여야 한다.
		2.1.3. 직무 분리	권한 오남용 등 내부 임직원의 고의적인 행위로 발생할 수 있는 잠재적인 위협을 줄이기 위하여 직무 분리 기준을 수립하고 적용하여야 한다.
		2.1.4. 비밀유지서약서	정보보호와 개인정보보호 등을 위해 필요한 사항을 비밀유지서약서에 정의하고 주기적으로 갱신하여야 한다.
		2.1.5. 상벌규정	정보보호 정책을 위반한 임직원에 대한 징계 규정을 수립하고, 위반 사항이 발생 시 규정에 명시된 대로 징계 조치를 취하여야 한다. 또한 정보보호 정책을 충실히 이행한 임직원에 대한 보상 방안도 마련하여야 한다.
		2.1.6. 퇴직 및 직무변경	임직원의 퇴직 또는 직무 변경에 관한 책임을 명시적으로 정의하고 수행하여야 한다. 또한 이에 대한 접근권한도 제거하여야 한다.
	2.2. 외부인력 보안	2.2.1. 외부인력 계약	외부인력(외부유지보수직원, 외부용역자 포함)에 의한 정보자산 접근 등과 관련된 보안요구사항을 계약에 반영하여야 한다.
		2.2.2. 외부인력 보안 이행 관리	계약서에 명시한 보안요구사항 준수 여부를 주기적으로 점검하고 위반사항이나 침해사고 발생 시 적절한 조치를 수행하여야 한다.
		2.2.3. 계약 만료 시 보안	외부인력과의 계약 만료 시 자산 반납, 접근권한의 회수, 중요정보 파기, 업무 수행 시 알게 된 정보의 대한 비밀 유지서약 등을 확인하여야 한다.
	2.3. 정보보호 교육	2.3.1 교육 프로그램 수립	모든 임직원 및 외부 업무 관련자를 포함하여 연간 정보보호 교육 프로그램을 수립하여야 한다.
		2.3.2. 교육 시행	모든 임직원 및 외부 업무 관련자를 대상으로 연 1회 이상 정보보호 교육을 시행하고 정보보호 정책 및 절차의 중대한 변경, 내·외부 보안사고 발생, 관련 법규 변경 등의 사유가 발생하면 추가 교육을 실시하여야 한다.
		2.3.3. 평가 및 개선	정보보호 교육 시행에 대한 기록을 남기고 결과를 평가하여 개선하여야 한다.
3. 자산관리	3.1. 자산 식별 및 분류	3.1.1. 자산 식별	클라우드컴퓨팅서비스에 사용된 정보자산(정보시스템, 정보보호시스템, 정보 등)에 대한 자산분류기준 수립하고 식별된 자산의 목록을 작성하여 관리하여야 한다.
		3.1.2. 자산별 책임할당	식별된 자산마다 책임자 및 관리자를 지정하여 책임소재를 명확히 하여야 한다.
		3.1.3. 보안등급 및 취급	기밀성, 무결성, 가용성, 법적요구사항 등을 고려하여 자산의 보안 등급을 부여하고, 보안 등급별 취급 절차에 따라 관리하여야 한다.
	3.2. 자산 변경관리	3.2.1. 변경관리	클라우드컴퓨팅서비스에 사용된 자산(시설, 장비, 소프트웨어 등)의 변경이 필요한 경우 보안 영향 평가를 통해 변경 사항을 관리하여야 한다. 또한 이용자에게 큰 영향을 주는 변경에 대해서는 사전에 공지를 하여야 한다.
		3.2.2. 변경 탐지 및 모니터링	클라우드컴퓨팅서비스에 사용된 자산(시설, 장비, 소프트웨어 등)의 변경을 지속적으로 모니터링하여 허가 받지 않은 변경을 탐지하고 최신의 변경 이력을 유지하여야 한다.
		3.2.3. 변경 후 작업검증	클라우드컴퓨팅서비스에 사용된 자산(시설, 장비, 소프트웨어 등)의 변경 후에는 보안성 및 호환성 등에 대한 작업 검증을 수행하여야 한다.
	3.3. 위험관리	3.3.1. 위험관리계획 수립	관리적, 기술적, 물리적, 법적 분야 등 정보보호 전 영역에 대한 위험식별 및 평가가 가능하도록 위험관리 방법과 계획을 사전에 수립하여야 한다.
		3.3.2. 취약점 점검	취약점 점검 정책에 따라 주기적으로 기술적 취약점(예 : 유·무선 네트워크, 운영체제 및 인프라, 응용 프로그램 취약점 등)을 점검하고 보완하여야 한다.
		3.3.3. 위험분석 및 평가	위험관리 방법 및 계획에 따라 정보보호 전 영역에 대한 위험 식별 및 평가를 연 1회 이상 수행하고 그 결과에 따라 수용 가능한 위험수준을 설정하여 관리하여야 한다.
		3.3.4. 위험처리	법규 및 계약관련 요구사항과 위험수용 수준을 고려하여 위험평가 결과에 따라 통제할 수 있는 방법을 선택하여 처리하여야 한다.
4. 서비스 공급망 관리	4.1. 공급망관리 정책	4.1.1. 공급망 관리 정책 수립	클라우드컴퓨팅서비스에 대한 접근과 서비스 연속성을 저해하는 위험을 식별하고 최소화하기 위해 공급망과 관련한 보안 요구사항을 정의하는 관리 정책을 수립하여야 한다.
		4.1.2. 공급망 계약	클라우드컴퓨팅서비스 범위 및 보안 요구사항을 포함하는 공급망 계약을 체결하고 다자간 협약시 책임을 개별 계약서에 각각 명시해야하며, 해당 서비스에 관련된 모든 이해관계자에게 적용하여야 한다.
	4.2. 공급망 변경관리	4.2.1. 공급망 변경관리	정보보호 정책, 절차 및 통제에 대한 수정 및 개선이 필요하다고 판단될 경우 서비스 공급망 상에 발생할 수 있는 위험에 대한 검토를 통해 안전성을 확보 후 계약서 내용 변경 방안을 제시하여야 한다.
		4.2.2. 공급망 모니터링 및 검토	클라우드컴퓨팅서비스 공급망 상에서 발생하는 기록 및 보고서는 정기적으로 모니터링 및 검토하여야 한다.
5. 침해사고관리	5.1. 침해사고 대응 절차 및 체계	5.1.1. 침해사고 대응 절차 수립	침해사고에 대한 효율적이고 효과적인 대응을 위해 신고절차, 유출 금지 대상, 사고 처리 절차 등을 담은 침해사고 대응절차를 마련하여야 한다. 침해사고 대응절차는 이용자와 제공자의 책임과 절차가 포함되어야 한다.
		5.1.2. 침해사고 대응 체계 구축	침해사고 정보를 수집·분석·대응할 수 있는 보안관제 시스템 및 조직을 구성·운영하고, 침해사고 유형 및 중요도에 따라 보고 및 협력체계를 구축하여야 한다.
		5.1.3. 침해사고 대응 훈련 및 점검	침해사고 대응과 관련된 역할 및 책임이 있는 담당자를 훈련시켜야 하고, 주기적으로 침해사고 대응 능력을 점검하여야 한다.
	5.2. 침해사고 대응	5.2.1. 침해사고 보고	침해사고 발생 시 침해사고 대응절차에 따라 법적 통지 및 신고 의무를 준수하여야 한다. 또한 클라우드컴퓨팅서비스 이용자에게 발생 내용, 원인, 조치 현황 등을 신속하게 알려야 한다.
		5.2.2. 침해사고 처리 및 복구	침해사고 발생 시 침해사고 대응절차에 따라 처리와 복구를 신속하게 수행하여야 한다
	5.3. 사후관리	5.3.1. 침해사고 분석 및 공유	침해사고가 처리 및 종결된 후 발생 원인을 분석하고 그 결과를 이용자에게 알려야 한다. 또한 유사한 침해사고에 대한 신속한 처리를 위해 침해사고 관련 정보 및 발견된 취약점을 관련 조직 및 임직원과 공유하여야 한다.
		5.3.2. 재발방지	침해사고 관련 정보를 활용하여 유사한 침해사고가 반복되지 않도록 침해사고 재발방지 대책을 수립하고, 필요한 경우 침해사고 대응 체계도 변경하여야 한다.
6. 서비스연속성관리	6.1. 장애대응	6.1.1. 장애 대응절차 수립	관련 법률에서 규정한 클라우드컴퓨팅서비스의 중단으로부터 업무 연속성을 보장하기 위해 백업, 복구 등을 포함하는 장애 대응 절차를 마련하여야 한다.
		6.1.2. 장애 보고	클라우드컴퓨팅서비스 중단이나 피해가 발생 시 장애 대응절차에 따라 법적 통지 및 신고 의무를 준수하여야 한다. 또한 클라우드컴퓨팅서비스 이용자에게도 발생 내용, 원인, 조치 현황 등을 신속하게 알려야 한다.
		6.1.3. 장애 처리 및 복구	클라우드컴퓨팅서비스 중단이나 피해가 발생할 경우, 서비스 수준 협약(SLA)에 명시된 시간 내에 장애 대응절차에 따라 해당 서비스의 장애를 처리하고 복구시켜야 한다.
		6.1.4. 재발방지	장애 관련 정보를 활용하여 유사한 서비스 중단이 반복되지 않도록 장애 재발방지 대책을 수립하고, 필요한 경우 장애 대응 절차도 변경하여야 한다.
	6.2. 서비스 가용성	6.2.1. 성능 및 용량 관리	클라우드컴퓨팅서비스의 가용성을 보장하기 위해 성능 및 용량에 대한 요구사항을 정의하고, 지속적으로 관리할 수 있는 모니터링 방법 또는 절차를 수립하여야 한다.
		6.2.2. 이중화 및 백업	정보처리설비(예 : 클라우드컴퓨팅서비스를 제공하는 물리적인 서버, 스토리지, 네트워크 장비, 통신 케이블, 접속 회선 등)의 장애로 서비스가 중단되지 않도록 정보 처리설비를 이중화하고, 장애 발생 시 신속하게 복구를 수행하도록 백업 체계도 마련하여야 한다.
		6.2.3. 서비스 가용성 점검	서비스 가용성에 대한 영향 평가를 주기적으로 점검하여야 한다.
7. 준거성	7.1. 법 및 정책 준수	7.1.1. 법적요구사항 준수	정보보호 관련 법적 요구사항을 식별하고 준수하여야 한다.
		7.1.2. 정보보호 정책 준수	정보보호 정책 및 서비스 수준 협약에 포함된 보안 요구사항을 식별하고 준수하며 이용자가 요구하는 경우 관련 증거를 제공하여야 한다.
	7.2. 보안 감사	7.2.1. 독립적 보안감사	법적 요구사항 및 정보보호 정책 준수 여부를 보증하기 위해 독립적 보안감사 계획을 수립하여 시행하고 개선 조치를 취하여야 한다.
		7.2.2. 감사기록 및 모니터링	보안감사 증적(로그)은 식별할 수 있는 형태로 기록 및 모니터링 되어야 되고 비인가된 접근 및 변조로부터 보호되어야 한다.

[별표 1] 관리적 보호조치

구 분			세 부 조 치 사 항
8. 물리적 보안	8.1. 물리적 보호구역	8.1.1. 물리적 보호구역 지정	중요 정보 및 정보처리시설을 보호하기 위한 물리적 보안 구역(예 : 주요 정보처리 설비 및 시스템 구역, 사무실, 외부인 접견실 등)을 지정하고, 각 보안 구역에 대한 보안 대책을 마련하여야 한다.
		8.1.2. 물리적 출입통제	물리적 보안 구역에 인가된 자만이 접근할 수 있도록 출입을 통제하는 시설(예 : 경비원, 출입 통제 시스템 등)을 갖추어야 하고, 출입 및 접근 이력을 주기적으로 검토하여야 한다.
		8.1.3. 물리적 보호구역 내 작업	유지보수 등 주요 정보처리 설비 및 시스템이 위치한 보호구역 내에서의 작업 절차를 수립하고 작업에 대한 기록을 주기적으로 검토하여야 한다.
		8.1.4. 사무실 및 설비 공간 보호	사무실 및 설비 공간에 대한 물리적인 보호방안을 수립하고 적용하여야 한다.
		8.1.5. 공공장소 및 운송·하역구역 보호	공공장소 및 운송․하역을 위한 구역은 내부 정보처리시설로부터 분리 및 통제하여야 한다.
		8.1.6. 모바일 기기 반출·입	노트북 등 모바일 기기 미승인 반출입을 통한 중요정보 유출, 내부망 악성코드 감염 등의 보안사고 예방을 위하여 보호구역 내 임직원 및 외부인력 모바일 기기 반출입 통제절차를 수립하고 기록·관리하여야 한다
	8.2. 정보처리 시설 및 장비보호	8.2.1. 정보처리시설의 배치	물리적 및 환경적 위험으로부터 잠재적 손상을 최소화하고 비인가 된 접근 가능성을 최소화하기 위하여, 정보처리시설 내 장비의 위치를 파악하고 배치하여야 한다.
		8.2.2. 보호설비	각 보안 구역의 중요도 및 특성에 따라 화재, 누수, 전력 이상 등 자연재해나 인재에 대비하여 화재 감지기, 소화 설비, 누수 감지기, 항온 항습기, 무정전 전원 장치(UPS), 이중 전원선 등의 설비를 갖추어야 한다.
		8.2.3. 케이블 보호	데이터를 송수신하는 통신케이블이나 전력을 공급하는 전력 케이블은 손상이나 도청으로부터 보호하여야 한다.
		8.2.4. 시설 및 장비 유지보수	정보처리시설은 가용성과 무결성을 지속적으로 보장할 수 있도록 유지보수 하여야 한다.
		8.2.5. 장비 반출·입	장비의 미승인 반출·입을 통한 중요 정보 유출, 악성코드 감염 등의 침해사고 예방을 위하여, 보안 구역 내 직원 및 외부 업무 관련자에 의한 장비 반출·입 절차를 수립하고, 기록 및 관리하여야 한다.
		8.2.6. 장비 폐기 및 재사용	정보처리시설 내의 저장 매체를 포함하여 모든 장비를 파악하고, 민감한 데이터가 저장된 장비를 폐기하는 경우 복구 불가능하도록 하여야 한다. 또한 재사용하는 경우에도 복구 불가능 상태에서 재사용하여야 한다.

[별표 2] 물리적 보호조치

[별표 3] 기술적 보호조치

구 분			세 부 조 치 사 항
9. 가상화 보안	9.1. 가상화 인프라	9.1.1. 가상자원 관리	가상자원(가상 머신, 가상 스토리지, 가상 소프트웨어 등)의 생성, 변경, 회수 등에 대한 관리 방안을 수립하여야 한다.
		9.1.2. 가상자원 회수	이용자와의 계약 종료 시 가상자원 회수 절차에 따라 백업을 포함한 모든 클라우드 시스템에서 삭제하여야 한다.
		9.1.3. 가상자원 모니터링	가상자원에 대한 무결성 보장하기 위한 보호조치 및 가상자원의 변경(수정, 이동, 삭제, 복사)에 대해 모니터링 하여야 한다. 또한, 가상자원에 손상이 발생한 경우 이를 이용자에게 알려주어야 한다.
		9.1.4. 하이퍼바이저 보안	가상자원을 관리하는 하이퍼바이저의 기능 및 인터페이스에 대한 접근 통제 방안을 마련하여야 한다. 또한 하이퍼바이저에 대한 소프트웨어 업데이트 및 보안패치를 최신으로 유지하여야 한다.
		9.1.5. 공개서버 보안	가상자원을 제공하기 위한 웹사이트와 가상소프트웨어(앱, 응용프로그램)를 배포하기 위한 공개서버에 대한 물리적, 기술적 보호대책을 수립하여야 한다.
		9.1.6. 상호 운용성 및 이식성	클라우드컴퓨팅서비스 제공자는 표준화된 가상화 포멧, 이식성이 높은 가상화 플랫폼, 공개 API 등을 이용하여 클라우드컴퓨팅서비스 간의 상호 운용성 및 이식성을 높여야 한다.
	9.2. 가상 환경	9.2.1. 악성코드 통제	바이러스, 웜, 트로이목마 등의 악성코드로부터 이용자의 가상 환경(가상PC, 가상 서버, 가상 소프트웨어 등)을 보호하기 위한 악성코드 탐지, 차단 등의 보안기술을 지원하여야 한다. 또한 이상 징후 발견 시 이용자 통지하고 사용 중지 및 격리 조치를 수행하여야 한다.
		9.2.2. 인터페이스 및 API 보안	가상 환경(가상PC, 가상 서버, 가상 소프트웨어 등) 접근을 위한 인터페이스 및 API에 대한 보안 취약점을 주기적으로 분석하고, 이에 대한 보호방안을 마련하여야 한다.
		9.2.3. 데이터 이전	이용자가 기존 정보시스템 환경에서 클라우드컴퓨팅서비스의 가상 환경으로 전환 시 안전하게 데이터를 이전하도록 암호화 등의 기술적인 조치방안을 제공하여야 한다.
		9.2.4. 가상 소프트웨어 보안	클라우드컴퓨팅서비스 제공자는 출처, 유통경로 및 제작자가 명확한 소프트웨어로 구성된 가상환경을 제공하여야 한다.
10. 접근통제	10.1. 접근통제 정책	10.1.1. 접근통제 정책 수립	비인가자의 접근을 통제할 수 있도록 접근통제 영역 및 범위, 접근통제 규칙, 방법 등을 포함하여 접근통제 정책을 수립하여야 한다.
		10.1.2. 접근기록 관리	접근기록 대상을 정의하고 서비스 통제, 관리, 사고 발생 책임 추적성 등을 보장할 수 있는 형태로 기록되고 유지하여야 한다.
	10.2. 접근 권한 관리	10.2.2. 사용자 등록 및 권한부여	클라우드 시스템 및 중요정보에 대한 접근을 통제하기 위하여 공식적인 사용자 등록 및 해지 절차를 수립하고 업무 필요성에 따라 사용자 접근권한을 최소한으로 부여하여야 한다.
		10.2.3. 관리자 및 특수 권한관리	클라우드 시스템 및 중요정보 관리 및 특수 목적을 위해 부여한 계정 및 권한을 식별하고 별도 통제하여야 한다.
		10.2.4. 접근권한 검토	클라우드 시스템 및 중요정보에 대한 접근을 관리하기 위하여 접근권한 부여, 이용(장기간 미사용), 변경(퇴직 및 휴직, 직무변경, 부서변경)의 적정성 여부를 정기적으로 점검하여야 한다.
	10.3. 사용자 식별 및 인증	10.3.1. 사용자 식별	클라우드 시스템에서 사용자를 유일하게 구분할 수 있는 식별자를 할당하고 추측 가능한 식별자 사용을 제한하여야 한다. 동일한 식별자를 공유하여 사용하는 경우 그 사유와 타당성을 검토하고 책임자의 승인을 받아야 한다.
		10.3.2. 사용자 인증	클라우드 시스템에 대한 접근은 사용자 인증, 로그인 횟수 제한, 불법 로그인 시도 경고 등 안전한 사용자 인증 절차에 의해 통제하여야 한다.
		10.3.3. 강화된 인증 수단 제공	이용자가 클라우드컴퓨팅서비스에 대해 다중 요소 인증 등 강화된 인증 수단을 요청하는 경우 이를 제공하기 위한 방안을 마련하여야 한다.
		10.3.4. 사용자 패스워드 관리	법적 요구사항, 외부 위협요인 등을 고려하여 패스워드 복잡도 기준, 초기 패스워드 변경, 변경주기 등 사용자 패스워드 관리절차를 수립·이행하고 패스워드 관리 책임이 사용자에게 있음을 주지시켜야 한다. 특히 관리자 패스워드는 별도 보호대책을 수립하여 관리하여야 한다.
		10.3.5. 이용자 패스워드 관리	고객, 회원 등 외부 이용자가 접근하는 클라우드 시스템 또는 웹서비스의 안전한 이용을 위하여 계정 및 패스워드 등의 관리절차를 마련하고 관련 내용을 공지하여야 한다.
11. 네트워크 보안	11.1. 네트워크 보안	11.1.1. 네트워크 보안 정책 수립	클라우드컴퓨팅서비스와 관련된 내·외부 네트워크에 대해 보안 정책과 절차를 수립하여야 한다.
		11.1.2. 네트워크 모니터링 및 통제	DDoS, 비인가 접속 등으로 인한 서비스 중단 및 중요 정보 유출 등을 막기 위해 네트워크를 모니터링하고 통제하여야 한다.
		11.1.3. 네트워크 정보보호시스템 운영	클라우드컴퓨팅서비스와 관련된 내·외부 네트워크를 보호하기 위하여 정보보호시스템(방화벽, IPS, IDS, VPN 등)을 운영하여야 한다.
		11.1.4. 네트워크 암호화	클라우드 시스템에서 중요 정보가 이동하는 구간에 대해서는 암호화된 통신채널을 사용하여야 한다.
		11.1.5. 네트워크 분리	클라우드컴퓨팅서비스 제공자의 관리 영역과 이용자의 서비스 영역, 이용자 간 서비스 영역의 네트워크 접근은 물리적 또는 논리적으로 분리하여야 한다.
		11.1.6. 무선 접근통제	클라우드 시스템은 무선망과 분리하고, 무선접속에 대한 접근을 통제하여야 한다. 무선접속을 사용하는 경우 그 사유와 타당성을 검토하고 책임자의 승인을 받아야 한다
12. 데이터 보호 및 암호화	12.1. 데이터 보호	12.1.1. 데이터 분류	데이터 유형, 법적 요구사항, 민감도 및 중요도에 따라 데이터를 분류하고 관리하여야 한다.
		12.1.2. 데이터 소유권	이용자와 서비스 수준 협약 단계에서 데이터의 소유권을 명확하게 확립하여야 한다.
		12.1.3. 데이터 무결성	입·출력, 전송 또는 데이터 교환 및 저장소의 데이터에 대해 항상 데이터 무결성을 확인하여야 한다.
		12.1.4. 데이터 보호	데이터에 대한 접근제어, 위·변조 방지 등 데이터 처리에 대한 보호 기능을 이용자에게 제공하여야 한다.
		12.1.5. 데이터 추적성	이용자에게 데이터를 추적하기 위한 방안을 제공하고, 이용자가 요구하는 경우 구체적인 제공정보(이용자의 정보가 저장되는 국가의 명칭 등)를 공개하여야 한다.
		12.1.6. 데이터 폐기	클라우드컴퓨팅서비스 종료, 이전 등에 따른 데이터 폐기 조치 시 이용자와 관련된 모든 데이터를 폐기하여야 하며, 폐기된 데이터를 복구할 수 없도록 삭제 방안을 마련하여야 한다.
	12.2 매체 보안	12.2.1. 저장매체 관리	중요정보를 담고 있는 하드디스크, 스토리지 등의 저장매체 폐기 및 재사용 절차를 수립하고 매체에 기록된 중요정보는 복구 불가능하도록 완전히 삭제하여야 한다.
		12.2.2. 이동매체 관리	중요정보 유출을 예방하기 위해 외장하드, USB, CD 등 이동매체 취급, 보관, 폐기, 재사용에 대한 절차를 수립하여야 한다. 또한 매체를 통한 악성코드 감염 방지 대책을 마련하여야 한다.
	12.3. 암호화	12.3.1. 암호 정책 수립	클라우드컴퓨팅서비스에 저장 또는 전송 중인 데이터를 보호하기 위해 암호화 대상, 암호 강도(복잡도), 키관리, 암호 사용에 대한 정책을 마련하여야 한다. 또한 정책에는 개인정보 저장 및 전송 시 암호화 적용 등 암호화 관련 법적 요구사항을 반드시 반영하여야 한다.
		12.3.2. 암호키 관리	암호키 생성, 이용, 보관, 배포, 파기에 관한 안전한 절차를 수립하고, 암호키는 별도의 안전한 장소에 보관하여야 한다.
13. 시스템 개발 및 도입 보안	13.1. 시스템 분석 및 설계	13.1.1. 보안요구사항정의	신규 시스템 개발 및 기존 시스템 변경 시 정보보호 관련 법적 요구사항, 최신 보안취약점, 정보보호 기본요소(기밀성, 무결성, 가용성) 등을 고려하여 보안요구사항을 명확히 정의하고 이를 적용하여야 한다.
		13.1.2. 인증 및 암호화 기능	클라우드 시스템 설계 시 사용자 인증에 관한 보안요구사항을 반드시 고려하여야 하며 중요정보의 입·출력 및 송수신 과정에서 무결성, 기밀성이 요구될 경우 법적 요구사항을 고려하여야 한다.
		13.1.3. 보안로그 기능	클라우드 시스템 설계 시 사용자의 인증, 권한 변경, 중요정보 이용 및 유출 등에 대한 감사증적을 확보할 수 있도록 하여야 한다.
		13.1.4. 접근권한 기능	클라우드 시스템 설계 시 업무의 목적 및 중요도에 따라 접근권한을 부여할 수 있도록 하여야 한다.
		13.1.5. 시각 동기화	로그기록의 정확성을 보장하고 법적인 자료로서 효력을 지니기 위해 클라우드 시스템 시각을 공식 표준시각으로 정확하게 동기화 하여야 한다. 또한 서비스 이용자에게 시각 정보 동기화 기능을 제공하여 한다.
	13.2. 구현 및 시험	13.2.1. 구현 및 시험	안전한 코딩방법에 따라 클라우드 시스템을 구현 하고, 분석 및 설계 과정에서 도출한 보안요구사항이 정보시스템에 적용되었는지 확인하기 위하여 시험을 수행하여야 한다
		13.2.2. 개발과 운영환경 분리	개발 및 시험 시스템은 운영시스템에 대한 비인가 접근 및 변경의 위험을 감소하기 위해 원칙적으로 분리하여야 한다. 단 분리하여 운영하기 어려운 경우 그 사유와 타당성을 검토하고 안전성 확보 방안을 마련하여야 한다.
		13.2.3. 시험 데이터 보안	시스템 시험 과정에서 운영데이터 유출을 예방하기 위해 시험데이터 생성, 이용 및 관리, 파기, 기술적 보호조치에 관한 절차를 수립하여 이행하여야 한다.
		13.2.4. 소스프로그램 보안	소스 프로그램에 대한 변경관리를 수행하고 인가된 사용자만이 소스 프로그램에 접근할 수 있도록 통제절차를 수립하여 이행하여야 한다. 또한 소스 프로그램은 운영환경에 보관하지 않는 것을 원칙으로 한다.
	13.3. 외주 개발 보안	13.3.1. 외주 개발 보안	클라우드 시스템 개발을 외주 위탁하는 경우 분석 및 설계단계에서 구현 및 이관까지의 준수해야 할 보안요구사항을 계약서에 명시하고 이행여부를 관리·감독하여야 한다.
	13.4. 시스템 도입 보안	13.4.1. 시스템 도입 계획	클라우드 시스템의 처리 속도와 용량에 대하여 주기적인 모니터링을 수행하고 안정성의 확보에 필요한 시스템 도입 계획을 수립하여야 한다.
		13.4.2. 시스템 인수	새로 도입되는 시스템에 대한 인수 기준이 수립되어야 하며, 인수 전에 테스트가 수행되어야 한다.

[별표 4] 공공기관용 클라우드컴퓨팅서비스 추가 보호조치

구 분			세 부 조 치 사 항
14. 공 공 기 관 보 안 요 구 사 항	14.1. 관리적 보호조치	14.1.1. 보안서비스 수준 협약	공공기관의 보안 요구사항이 반영된 보안서비스 수준 협약을 체결하고, 클라우드컴퓨팅서비스 관련 정보보호 정보를 공공기관에 제공하여야 한다.
		14.1.2. 도입 전산장비 안전성	클라우드컴퓨팅서비스 구축을 위해 도입되는 서버·PC 가상화 솔루션 및 정보보호 제품 중에 CC인증이 필수적인 제품군은 국내·외 CC인증을 받은 제품을 사용하여야 한다.
		14.1.3. 보안관리 수준	클라우드컴퓨팅서비스 운영 장소 및 망은 공공기관 내부 정보 시스템 운영 보안 수준에 준하여 보안 관리하여야 한다.
		1.4.1.4. 사고 및 장애 대응	클라우드컴퓨팅서비스를 제공하는 민간 사업자는 사고 또는 장애 발생 시 공공기관의 사고·장애 대응 절차에 따라 해당 공공기관, 대내·외 관련 기관 및 전문가와 협조체계를 구성하여 대응하여야 하며, 공공기관의 사고·장애 대응에 적극 협조하여야 한다.
	14.2. 물리적 보호조치	14.2.1. 물리적 위치 및 분리	클라우드 시스템 및 데이터의 물리적 위치는 국내로 한정하고, 공공기관용 클라우드컴퓨팅서비스의 물리자원(서버, 네트워크, 보안장비 등), 출입통제, 운영인력 등은 일반 이용자용 클라우드컴퓨팅서비스 영역과 분리하여 운영하여야 한다.
		14.2.2. 중요장비 이중화 및 백업체계 구축	클라우드컴퓨팅서비스를 제공하는 사업자는 네트워크 스위치, 스토리지 등 중요장비를 이중화하고 서비스의 가용성을 보장하기 위해 백업체계를 구축하여야 한다.
	14.3. 기술적 보호조치	14.3.1. 검증필 암호화 기술 제공	클라우드컴퓨팅서비스를 통해 생성된 중요자료를 암호화하는 수단을 제공하는 경우에는 검증필 국가표준암호화 기술을 제공하여야 한다.
		14.3.2. 보안관제 제반환경 지원	공공기관에 클라우드컴퓨팅서비스 보안관제 수행에 필요한 제반환경을 지원하여야 한다.