클라우드 보안인증 제도 대폭 개선
- 유효기간 확대, 간편등급 도입, 행정절차 간소화 등 -
□과학기술정보통신부(장관 유영민, 이하 ‘과기정통부’)와 행정안전부(장관 진영, 이하 ‘행안부’)는 공공부문의 클라우드서비스(SaaS) 이용 활성화와 보안 필요성 등을 종합적으로 고려하여 클라우드서비스 보안인증제* 개선방안을 마련․시행(’19.7.24.)한다고 밝혔다.
* 행정·공공기관이 보안인증을 받은 민간 클라우드서비스를 이용할 수 있도록 하여 클라우드서비스 이용 활성화 도모(’18.8월 도입)
□ 첫째, 규제를 크게 개선하여클라우드서비스 사업자의 부담을 완화하였다.
ㅇ 현행 3년인 보안인증 유효기간을5년으로 확대*하고, 기존의 표준등급 외에 간편등급을 신설하였다. 기존의 표준등급은 78개 인증항목의 심사를 받고 있으나, 전자결재, 인사, 회계관리, 보안서비스, 개인정보영향평가 대상 서비스 등을 제외한 서비스에 대해 간편등급을 적용하여 30개 인증항목(붙임)만 통과하면 보안인증을 받을 수 있도록 하였다.
* 인증 유효기간이 확대되어도 매년 사후심사를 통해 보안조치 가능
□ 둘째, 행정절차를 대폭 개선․합리화하였다.
ㅇ 클라우드서비스 사업자들이 보안인증 신청 전에 반드시 받아야 했던 사전 준비기준*을 없애고, 향후 보안운영명세서 간소화, 제출서류 정형화, 타 인증제(정보보호관리체계인증 등)와의 중복항목을 조정·폐지할 계획이다.
* 사업자가 자체적으로 취약점 점검을 수행하며, 기준점수(80점) 이상 획득 필요
ㅇ 이번 행정절차 개선을 통해, 인증신청 접수에서 인증 완료시까지 5개월이 걸리던 기간을 3.5개월 이내로 단축할 수 있을 것으로 기대하고 있다.
□ 셋째, 현재 행정․공공기관에서 이미 이용중인 클라우드서비스(32개)에 대해서는 2020년 12월 31일까지 유예하여 동 기간중에 인증제 신청과 서비스 이용이 가능하도록 배려하였다.
□ 이번 제도개선 방안은 지난해 8월의 대통령 주재 데이터경제 활성화 규제혁신 현장방문시 제기된 규제 개선 요구사항을 반영하기 위해 7차례에 걸친 기업들의 애로사항 및 의견 수렴과 6차례의 제도 개선안 관계부처 협의를 통해 마련․시행하게 되었다.
□ 과기정통부 장석영 정보통신정책실장은 “이번에 시행하는 제도개선 사항은 사이버 공격이 지능화․다양화되는 추세에 따라사이버 보안의 중요성을 간과하지 않는 방향에서 보안이 꼭 필요한 부분, 클라우드서비스 이용 활성화, 기업 부담 등을 종합적으로 비교·검토하여 관계부처 간 협업을 통해 마련된 내용으로 평가”하고,
ㅇ “국내 클라우드서비스 사업자들은 외국 클라우드서비스 사업자가 앞선 보안기능을 홍보하며 국내시장 진입을 도모하고 있는 상황에서, 서비스에 대한 보안수준을 높이기 위한 끊임없는 노력과 투자 역시 시급하다.”라고 밝혔다.
□ 행정안전부 최장혁 전자정부국장은 “이번 인증제도개선으로 많은 서비스들이 신속하게 공공시장에 진입할 수 있게된다.”라면서, “행정‧공공기관에서 다양한 민간 클라우드 서비스를 활용해 전자정부 서비스의 품질을높이는 계기가 되길 기대한다.”라고 밝혔다.
□ 한편, 과기정통부와 한국인터넷진흥원은2019년 7월 17일13시 엘타워(서울 서초)에서 클라우드 이용자 보호 등을 위한 사업자 및 유관기관 간 상호 정보공유 및 협력 강화 등을 논의하는 보안협의체 1차 회의를 개최하였으며,
ㅇ 향후 보안인증제 신청절차·항목·심사방법 등에 대한 상세한 설명을 담은 가이드라인을 제작·배포(’19.8월)하고, 설명회, 교육, 보안 컨설팅, 보안협의체 운영 등을 통해 클라우드 보안인증제가 조기 정착될 수 있도록 할 계획이다.
