[별표 4] 국가기관등이 이용하는 클라우드컴퓨팅서비스 보호조치

구 분			세 부 조 치 사 항	하
14. 공공 기관 보안 요구 사항	14.1. 관리적 보호조치	14.1.1. 보안서비스 수준 협약	국가기관등의 보안 요구사항이 반영된 보안서비스 수준 협약을 체결하고, 클라우드컴퓨팅서비스 관련 정보보호 정보를 국가기관등에게 제공하여야 한다.	○
		14.1.2. 도입 전산장비 안전성	클라우드컴퓨팅서비스 구축을 위해 도입되는 보안기능을 가진 정보통신제품 중에서 전자정부법 제56조에 규정된 전자문서의 위조ㆍ변조ㆍ훼손 또는 유출을 방지하기 위한 목적으로 도입하는 제품은 국가정보원장이 안전성을 확인한 제품을 사용하여야 한다.	○
		14.1.3. 보안관리 수준	클라우드컴퓨팅서비스 운영 장소 및 망은 국가기관등의 내부 정보 시스템 운영 보안 수준에 준하여 보안 관리하여야 한다.	○
		14.1.4. 사고 및 장애 대응	클라우드컴퓨팅서비스를 제공하는 민간 사업자는 사고 또는 장애 발생시 관계 법령이 정하는 바에 따라 해당 국가기관, 대내‧외 관련 기관 및 전문가와 협조체계를 구성하여 대응하여야 하며, 피해확산 및 재발방지와 복구 등에 필요한 조치를 위해 국가정보원 및 이용기관의 보안관제 및 사고조사, 예방보안활동 등에 적극 협조하여야 한다.	○
	14.2. 물리적 보호조치	14.2.1 물리적 위치 및 영역분리	클라우드 시스템, 백업 시스템 및 데이터와 이를 위한 관리·운영 인력의 물리적 위치는 국내로 한정하여야 한다. 또한, 국가기관용 클라우드컴퓨팅서비스의 물리자원(서버, 네트워크, 보안장비 등), 출입통제, 운영인력 등은 데이터 및 프로세스 등의 간섭없이 국가기관등의 보안관제, 사고조사, 예방보안활동 유지를 위한 제반 환경을 만족시킬 수 있도록 일반 이용자용 클라우드컴퓨팅서비스 영역과 물리적으로 분리하여 운영하여야 한다.
			클라우드 시스템, 백업 시스템 및 데이터와 이를 위한 관리·운영 인력의 물리적 위치는 국내로 한정하여야 한다. 또한, 국가기관용 클라우드컴퓨팅서비스의 물리자원(서버, 네트워크, 보안장비 등), 출입통제, 운영인력 등은 데이터 및 프로세스 등의 간섭없이 국가기관등의 보안관제, 사고조사, 예방보안활동 유지를 위한 제반 환경을 만족시킬 수 있도록 일반 이용자용 클라우드컴퓨팅서비스 영역과 물리적 또는 논리적으로 영역을 분리하여 운영하여야 한다	○ ※하만 적용
		14.2.2. 중요장비 이중화 및 백업체계 구축	클라우드컴퓨팅서비스를 제공하는 사업자는 네트워크 스위치, 스토리지 등 중요장비를 이중화하고 서비스의 가용성을 보장하기 위해 백업체계를 구축하여야 한다.	○
	14.3. 기술적 보호조치	14.3.1. 검증필 암호화 기술 제공	클라우드컴퓨팅서비스를 통해 생성된 중요자료를 암호화하는 수단을 제공하는 경우에는 검증필 국가표준암호화 기술을 제공하여야 한다.	○
		14.3.2. 보안관제 제반환경 지원	클라우드컴퓨팅서비스를 국가기관등에 제공하는 민간사업자는 민간 영역을 제외한 공공 영역 대상 사이버공격 및 위협을 탐지하기 위한 국가기관등의 클라우드컴퓨팅서비스 보안관제 수행 및 정부보안관제체계와 연계하기 위해 필요한 제반환경을 지원하여야 한다.	○
		14.3.3 데이터 유출 방지	클라우드컴퓨팅서비스를 통해 생성되는 공공의 데이터가 국외로 유출되지 않도록 데이터 저장 위치를 선택할 수 있는 기능 및 로그정보 등을 제공하여야 한다.	○ ※하만 적용
		14.3.4. 시스템 격리	클라우드컴퓨팅서비스는 보안관제가 이뤄지는 서비스 네트워크 이외의 비정상 통신경로가 발생하지 않도록 주기적으로 검토하고 점검하는 체계 마련 등 기술적 대책을 수립하여야 한다.	○
		14.3.5. 영역분리	국가기관용 클라우드컴퓨팅서비스와 일반 이용자용 클라우드컴퓨팅서비스는 영역분리를 통해 데이터 및 프로세스 등의 간섭없이 국가기관등의 보안관제, 사고조사, 예방 보안활동 유지를 위한 제반환경을 만족시킬 수 있도록 기술적 보호조치를 취해야 하며, 영역 분리를 훼손하여 데이터에 접근할 수 있는 취약점을 방지/완화/제거 하고, 비인가 접근을 모니터링 해야 한다.	○