요약 클라우드서비스는사용자가 PC, 모바일, TV 등다양한 IT기기를이용하여서버, 스토리지, 소프트웨어등을필요한만큼받아이용하는방식이다. 클라우드서비스는종류에따라소프트웨어를제공하는 SaaS, 운영체제, 데이터베이스등플랫폼을제공하는 PaaS, 서버, 스토리지등하드웨어를제공

Size: px

Start display at page:

Download "요약 클라우드서비스는사용자가 PC, 모바일, TV 등다양한 IT기기를이용하여서버, 스토리지, 소프트웨어등을필요한만큼받아이용하는방식이다. 클라우드서비스는종류에따라소프트웨어를제공하는 SaaS, 운영체제, 데이터베이스등플랫폼을제공하는 PaaS, 서버, 스토리지등하드웨어를제공"

아라 양
6 years ago
Views:

1 조현호 * Ⅰ. 서론 35 Ⅱ. 클라우드서비스에대한이해 클라우드서비스개념 클라우드서비스구분 클라우드보안위협및사고사례 40 Ⅲ. 금융권클라우드도입사례 해외금융권사례 국내금융권사례 45 Ⅳ. 해외클라우드정책및보안인증제도 해외클라우드정책추진현황 해외클라우드보안인증제도 51 Ⅴ. 결론 56 < 참고문헌 > 57 * 금융보안원보안연구부보안기술팀 ( hhcho@fsec.or.kr) 33

2 요약 클라우드서비스는사용자가 PC, 모바일, TV 등다양한 IT기기를이용하여서버, 스토리지, 소프트웨어등을필요한만큼받아이용하는방식이다. 클라우드서비스는종류에따라소프트웨어를제공하는 SaaS, 운영체제, 데이터베이스등플랫폼을제공하는 PaaS, 서버, 스토리지등하드웨어를제공하는 IaaS로나눌수있으며, 구현방식에따라, 프라이빗클라우드, 퍼블릭클라우드, 커뮤니티클라우드, 하이브리드클라우드로구분된다. 현재미국 유럽 일본등해외주요국에서는 Cloud First Policy, G-Cloud Plan 등클라우드산업육성정책을통해적극지원하고있으며, 특히미국의경우, 클라우드보안인증프로그램인 FedRAMP 를개발하여정부부처및민간평가기관의유기적인협력을통해운영하고있다. 우리나라도 2009년범정부차원의 클라우드컴퓨팅활성화종합계획 을마련하여추진중에있으며, 클라우드발전법이 2015년 3월통과되어클라우드산업육성을위해노력하고있다. 해외금융권의경우클라우드서비스를이용하여비용절감, 직원간협업, 금융데이터분석등다양한목적으로사용하고있으나, 국내금융권의경우보안을목적으로한가상화에초점이맞춰져있다. 2015년 9월클라우드발전법시행으로공공부문의클라우드서비스도입은활성화될것으로예상되나, 금융권의경우기존규제및보안에대한불안감으로서비스도입에저해가되고있다. 그러나, 규제개선노력및보안인증제도시행을통해앞으로금융권에서클라우드서비스도입이활성화될것으로예상된다. 34

3 Ⅰ. 서론 정보통신산업진흥원 (NIPA) 에따르면세계클라우드시장규모는 958억달러 1), 지난해클라우드시장매출규모는약 5,238억원규모로증가하는등꾸준한성장세를보이고있다. 또한, 게임, 검색, 소셜네트워크등모바일클라우드응용분야의시장규모가 2013년 2.3조원에서 2020년까지연평균 33.2% 증가하면서클라우드국내시장규모의확대를견인하는주된역할을하고있다. 앞으로도클라우드시장은스마트폰을통한서비스확산, 비용절감및경쟁력확보를위해정부주도공공클라우드등에힘입어증가추세를지속할전망이다. 그런데이러한시장성장에도불구하고금융권의클라우드이용률은다른나라와비교했을때상대적으로미미한수준이라는지적이꾸준히제기되어왔다. 이에따라최근정부는개인거래정보를제외한금융정보해외업체에위탁이가능하도록정보처리및전산설비위탁규정을개정하였다. 개정되는내용은고객정보를금융거래정보와기타정보로이원화하는내용이다. 금융위원회는민감한개인정보인금융거래정보이외의정보는금융감독원승인없이도외부에위탁할수있도록허용할방침이다. 이처럼국내에서오랜시간지속되어온금융부문클라우드보안정책이대폭변화하게됨에따라향후중소금융회사가클라우드서비스활용을통해전산설비관련비용을절감하는큰전기를맞게될것으로예상된다. 또한, 클라우드발전법시행에따라공공부문을시작으로민간영역까지클라우드서비스도입이활성화될것으로기대된다. 이에본고에서는클라우드서비스에대한이해, 국내 외금융권클라우드서비스도입사례와국외대표적클라우드정책및보안인증제도를조사함으로써국내금융권클라우드서비스현황을분석하고자한다. 1) 시장조사업체 IDC 는 2014 년전세계클라우드시장이전년대비 25.9% 성장한 958 억달러를기록하였으며, 2015 년에는 1180 억달러에이를것이라고전망하고있다. 35

4 Ⅱ. 클라우드서비스에대한이해 1. 클라우드서비스개념 클라우드서비스 2) 란 PC, 모바일, TV 등다양한 IT기기이용자들이네트워크접속을통해소프트웨어, 스토리지, 서버, 네트워크등필요한 IT 자원을제공받는방식을말한다. IT 시장조사기관인가트너는클라우드컴퓨팅을 인터넷기술을활용하여다수의고객들에게높은수준의확장성을가진 IT 자원들을서비스로제공하는컴퓨팅 으로정의하고있다. 이러한클라우드컴퓨팅개념은 1990년대중반오라클, IBM, 애플을포함한 IT산업거대기업들이사업화하려고했던네트워크컴퓨팅개념과유사하다. 그러나당시에는지금과같은다양한 IT기기나네트워크가인프라가없었고주요 IT업체들이관련운영체계및애플리케이션의보급에미온적인대응등으로상용화되지못하였다. 그러나최근들어유무선통신네트워크의확산및고속화, IT기기의다양화, 무료S/W의보급확대등 IT 인프라가급속히발전되면서클라우드컴퓨팅의실현이빠르게현실화되고있다. 특히, 금융권은 IT시스템의복잡화, 정보량의증대로사용되는스토리지영역이매년증가함에따라운용 관리상의비용절감, IT의유연성제고, 상품및서비스경쟁력향상을위한 IT 인프라확보등의과제해결에대한새로운대안으로클라우드서비스가부상하고있다. [ 그림 1] 클라우드컴퓨팅개념도 서버 랩톱컴퓨터 응용프로그램 데스크탑컴퓨터 모니터링 콘텐츠 협업플랫폼 통신 금융 오브젝트공간 신원 런타임기반시설 큐 데이터베이스 휴대전화 컴퓨팅 블록공간 네트워크 태블릿컴퓨터 자료 : 위키피디아 2) 본고에서는클라우드컴퓨팅, 클라우드서비스, 클라우드컴퓨팅서비스를구분없이사용한다. 36

5 클라우드서비스는접속한만큼비용을지불하게함으로서쓸모없는비용이지불되지않도록하는경제적효과와유연한서비스제공, 신속한구현, 부가적인작업보다는중요작업에더많은시간을투자할수있도록하는효율성증가, 공동이용에따른서버의감소와에너지절약에따른에너지효율성의실현등의장점을보유하고있다. [ 표 1] 클라우드서비스의장점 구분경제적유연성신속한구현효율성편의성 내용 클라우드컴퓨팅은 IT 에접속하는만큼비용을지불할수있어이용자의비용부담의최적화 소프트웨어, 하드웨어네트워크인프라등에직접투자할필요가없고, 클라우드를통해서사업구성원간의지식과정보를쉽게공유 자체적인시스템구축시간을단축 업무중요도에따라작업시간을분배하여효율적인운영가능 어플리케이션등을자신의컴퓨터 ( 단말기 ) 에저장해두어야할필요가없기때문에컴퓨터관리가쉽고항상최신의어플리케이션을이용 자료 : 고영하, 클라우드컴퓨팅발전법의주요내용및개선방안에관한소고, 클라우드서비스구분 가. 서비스종류에따른구분 클라우드서비스는일반적으로 IT 자원의서비스종류에따라응용소프트웨어 서비스 (Software as a Service, SaaS), 플랫폼서비스 (Platform as a Service, PaaS), 인프라서비스 (Infrastructure as a Service, IaaS) 로구분할수있다. 1) SaaS (Software as a Service) SaaS는클라우드서비스중가장일반적인유형이며이용자가원하는소프트웨어를임대 제공하는방식이다. SaaS 클라우드모델에서는서비스제공자가모든인프라와소프트웨어제품을제공하며, 사용자는클라우드에서제공하는제품을자신의컴퓨터에서사용할수있다. 이러한서비스는 GoogleDocs와같은웹기반의오피스프로그램이대표적이다. 37

6 2) PaaS (Platform as a Service) PaaS는운영체제, 데이터베이스등이용자에게필요한플랫폼을임대 제공하는방식이다. 서비스제공자는운영체제, 데이터베이스, 컴파일언어등을제공하고이용자는제공받은환경에맞추어응용프로그램을개발하여타인에게서비스할수있다. 이러한유형의서비스에대한대표적인사례로는 Google App Engine을들수있다. 3) IaaS (Infrastructure as a Service) IaaS는이용자에게서버, 스토리지, 네트워크등하드웨어자원을임대 제공하는방식이다. 사용자는 CPU, 메모리, 하드디스크등자원성능을주문하고서비스제공자는요구사항에맞게가상화된하드웨어를구성하고제공한다. IaaS와관련된가장유명한사례는아마존웹서비스 (Amazon Web Service, AWS) 가있다. [ 표 2] 서비스제공자별자산영역 구분 SaaS (Software as a Service) PaaS (Platform as a Service) IaaS (Infrastructure as a Service) 자산영역 응용 S/W, 게스트운영체제, S/W 개발플랫폼, API, 데이터베이스, 물리적공간및설비, 네트워크인프라및보안장치, 서버시스템 게스트운영체제, S/W 개발플랫폼, API, 데이터베이스, 물리적공간및설비, 네트워크인프라및보안장치, 서버시스템 물리적공간및설비, 네트워크인프라및보안장치, 서버시스템 자료 : 한국인터넷진흥원, 클라우드서비스정보보호안내서, [ 표 3] 서비스모델별실제서비스예 구분 SaaS (Software as a Service) PaaS (Platform as a Service) IaaS (Infrastructure as a Service) 서비스예 소프트웨어제공서비스 - 세일스포스닷컴 : 고객관리프로그램 - 픽스러 : 이미지편집 S/W( 포토샵 ) 제공 - 구글 Docs : 문서편집및공유기능제공 - 틸론 elcloud : office, CAD, 등다양한 S/W 제공등 응용프로그램개발환경제공서비스 - 구글 AppEngine, VM 웨어 Cloud Foundry 등 스토리지서비스제공 - 애플아이클라우드, KT 유클라우드, 드롭박스등 가상서버 / 데스크탑제공서비스 - 아마존 EC2 등 자료 : 한국인터넷진흥원, 클라우드서비스정보보호안내서,

7 나. 구현에따른구분 클라우드서비스는개방여부에따라프라이빗클라우드 (Private Cloud), 퍼블릭 클라우드 (Public Cloud), 커뮤니티클라우드 (Community Cloud), 하이브리드 클라우드 (Hybrid Cloud) 로구분할수있다. 1) 프라이빗클라우드 (Private Cloud) 프라이빗클라우드는클라우드서비스를사용하는대상을제한하는방식으로주로특정조직또는기업내부사용자에게클라우드서비스환경을구성하여제한적으로서비스를제공하는것을말하며내부업무시스템을구축, 운영및관리의효율을목적으로한다. 2) 퍼블릭클라우드 (Public Cloud) 퍼블릭클라우드는클라우드서비스를사용하는대상을제한하지않으며, 인터넷망을통해불특정다수에게서비스를제공한다. 전세계의소비자, 기업사용자, 정부사용자등모든주체가클라우드서비스를이용할수있으며, 적은비용으로높은서비스를제공하는것이장점이다. 3) 커뮤니티클라우드 (Community Cloud) 커뮤니티클라우드는공통의목적을가진특정기업들을대상으로하며, 공통의임무와 같이동일한관심을가진기업들이비용절감및보안문제해결을목적으로한다. 4) 하이브리드클라우드 (Hybrid Cloud) 하이브리드클라우드는프라이빗클라우드와퍼블릭클라우드를조합한개념이다. 비즈니스에중요하지않는정보와처리는퍼블릭클라우드서비스를이용하여외부에 위탁을하고중요한서비스와데이터는해당기업에서직접운영하는형태이다. 39

8 [ 표 4] 클라우드컴퓨팅구현모델별특징 구분특징비고 퍼블릭클라우드 (Public Cloud) 프라이빗클라우드 (Private Cloud) 커뮤니티클라우드 (Community Cloud) 하이브리드클라우드 (Hybrid Cloud) 누구나인터넷을통해클라우드컴퓨팅제공사업자의서비스사용 업체내클라우드컴퓨팅환경을자체구축하여사용 서로유사한특성을지닌조직들을한곳으로묶고이들을위해구성하는클라우드 퍼블릭과프라이빗클라우드를혼합하여사용 투자비용이적어경제적이나서비스제공자에대한의존도가큼 자체클라우드시스템구축으로초기투자비용이많이소요되나보안에강점 뉴욕증권거래소는최근증권과관련한금융서비스조직들을위한하나의클라우드를구성 비즈니스보안이필요한영역은프라이빗을그외영역은퍼블릭을주로활용 자료 : 한국클라우드컴퓨팅연구조합, 2015 클라우드컴퓨팅기술현황보고서, 클라우드서비스보안위협및사고사례 클라우드서비스는서비스를구성하는요소와방법이다양하기때문에이러한특성에따른보안위협이발생할수있다. 클라우드서비스정보보호안내서 에따르면클라우드보안위협을 1 가상화취약점, 2 정보위탁에따른정보유출위협, 3 자원공유및집중화에따른서비스장애, 4 단말다양성에따른정보유출, 5 분산처리에따른보안적용의어려움, 6 법규및규제의문제총 6가지로분류하고있다. [ 표 5] 클라우드서비스보안위협 보안위협 가상화취약점상속 정보위탁에따른정보유출의위협 사용단말의다양성과분실에따른정보유출 자원공유및집중화에따른서비스장애 분산처리에따른보안적용의어려움 법규및규제의문제 위협내용 악성코드감염및확산위협 - 호스트 OS, 게스트 OS 간악성코드감염 - 하이퍼바이저감염시게스트 OS 로확산 서비스가용성침해 내부자에의한정보유출 - 관리자의권한남용으로이용자정보열람 - 이용자몰래게스트 OS 의자료삭제 / 수정 인증하지않은이용자의정보접근 단말기분실, 보안성이취약한단말기에의한정보유출 시스템장애시모든고객의서비스중단 - 서비스장애원인의빠른파악이어려움 - 이용자에의한복구및패치불가능 중앙시스템위치노출시 DDoS 등공격대상이되기쉬움 자원공유와가상머신동적재배치로인증 / 접근제어복잡도상승 분산컴퓨팅시스템에일괄적인인증 / 접근제어적용의어려움 정보유출시책임소재불분명 자원공유에따라감사증적이어려움 40 자료 : 한국인터넷진흥원, 클라우드서비스정보보호안내서,

9 클라우드보안사고의원인은주로하드웨어등시스템오류, 천재지변및관리실수가 대부분이나최근에는해킹에의한장애도일부발생하고있다. 클라우드보안사고의 유형은일시적인서비스장애, 데이터유출및손실등이대표적이다. [ 표 6] 클라우드서비스보안사고사례 년도사고원인사고유형업체주요내용 시스템오류서비스장애아마존인증요청의쇄도로인한인증서버다운 관리실수데이터손실미디어맥스폐업으로인한 2 만명데이터유실 시스템오류 서비스장애 세일즈포스 이베이 구글 MS 네트워크장비의메모리배치오류로 1 시간서비스중단 페이팔결제시스템오류로 2 시간서비스중단 Gmail 장애가 2 시간동안발생 스마트폰서비스사이드킥서비스중단 관리실수서비스장애구글구글앱스 24 시간중단 2010 관리실수데이터유출 MS BPOS 서비스환경설정오류로인해기업정보유출 시스템오류 데이터손실구글 50 만명이용자의메일내용및주소록삭제 서비스장애 아마존 애플 EC2 장애로볼륨제어 API 비활성화조치에따른서비스지연및오류발생 모바일미마이그레이션에따른서버과부하로아이클라우드접속불가 2011 천재지변 서비스장애 구글 아마존 일본대지진의영향으로해저케이블이손상되어 Gmail 및안드로이드마켓접속지연 벼락으로인한정전사고로 EC2 11 시간장애가발생하여 190 개서비스동시마비 해킹 시스템오류 좀비 PC 아마존 서비스장애후지쯔 DoS 공격으로장애발생 서비스장애 KT 세일즈포스 관리실수데이터손실 First Server EC2 에가명으로가입하여가상서버를좀비 PC 로만들어소니플레이스테이션네트워크해킹 ucloud 서버스위치오동작으로인한서비스장애 스토리지저장실패로인한 NA2 서비스중단 시스템업그레이드중오류발생으로 5,698 개회사데이터손실 2012 천재지변서비스장애아마존 해킹 스팸메일 Dropbox 폭풍우로인한정전사고로 EC2 장애로넷플릭스, 핀테스트, 인스타그램등서비스중단 Dropbox 사용자계정을해킹하여직원계정에있는이메일명단이유출되고해당사용자에게스팸메일발송 데이터유출 Dream Host DB 를해킹하여개인정보유출 데이터손실 애플 해커가나의맥북찾기취약점을악용하여개인정보삭제 41

10 관리실수 서비스장애 아마존 2013 Evernote 해킹 데이터유출 Adobe ZenDesk 2014 해킹 데이터유출 애플 2015 관리실수 서비스장애 아마존 관리자가실수로로드밸런싱관련스크립트를삭제하여 ELB 가제대로작동하지못하면서넷플릭스등인터넷서비스장애 메모 / 정보정리툴을제공하는클라우드서비스에서사용자명, 메일주소, 암호화된패스워드유출 Adobe 서버가해킹되어 290 만명의개인정보와 Acrobat 등 SW 의소스코드일부유출 ZenDesk 시스템을해킹하여개인정보유출 아이클라우드의개인계정을해킹하여할리우드배우사진을유출및무단배포 넷플릭스를비롯해에어비앤비, IMDb 등의콘텐츠접속이 6~8 시간접속불가 자료 : 정부 3.0 추진위원회, 정부 3.0 클라우드인프라및서비스기획연구,

11 Ⅲ. 금융권클라우드도입사례 1. 해외금융권사례 현재미국 유럽 일본등해외주요국에서는클라우드서비스시장을선점하고클라우드컴퓨팅산업을육성하기위해정부차원에서직접적인기술개발투자와클라우드컴퓨팅기업을적극지원중이며이들해외주요국의금융회사들은클라우드컴퓨팅산업을차세대 IT 비즈니스성패를결정짓는메가트렌드로인식하고은행권을중심으로클라우드서비스를도입하고있다. 가. 미국 미국금융권에서는비민감정보나고객불만을클라우드컴퓨팅을통해관리하거나불만패턴을분석, 고객만족도를제고하는전략을추진중이다. 대표적으로, 씨티은행은계정계에보관하는민감개인정보를제외한나머지정보에대해서클라우드기반의서비스환경을제공하고있다. 소프트웨어개발시구축과테스트, 모바일 보안 분석서비스까지전반의업무프로세스를클라우드상에서제공함으로써소프트웨어의실제효용성을검증할수있어적용까지의과정을단축했다. FINRA 3) 는증권분야금융거래관행을규제하기위해설립된미국금융산업규제기구로, 매일약 300억건이상의이벤트를분석하고저장하는데 AWS( 아마존웹서비스 ) 를사용한다. AWS를이용함으로써, 속도및비용절감효과를높일수있었고연간 1000~2000만달러를절약할수있을것으로추정하고있다. 나. 일본 일본도쿄미쓰비시은행은프로젝트수행에따른정보유출문제해결, 자연재해에대비한업무연속성유지등의목적수행을위해시스템과비즈니스부서대상으로 25,000여대의데스크톱을클라우드를이용한업무환경으로구축했다. 미쓰비시은행은프로젝트를위해개별 PC를지급하고프로젝트가끝나면저장정보를삭제 반납하는과정을반복하면서정보유출문제에봉착했다. 특히, 지진등자연재해시에도업무를계속이어갈수있는방안마련을중시했으며향후본사전직원과지점, 파트너사를위해 3) The Financial Industry Regulatory Authority : FINRA 43

12 총 60,000 여대의컴퓨터를데스크톱클라우드로구현할계획이다. 다. 스페인 스페인상위 10대은행중하나인 Bankinter는실시간주식시장운영의제공을개척하여 1996년부터온라인뱅킹서비스를제공하고있다. Bankinter 거래의 60% 이상이원격채널을통해수행되며그거래의 46% 는인터넷을통해서이루어진다. Bankinter는고객의재정건전성을평가하기위한복잡한알고리즘을개발하고시뮬레이션프로그램을사용하기위해아마존웹서비스를사용한다. 스페인마드리드에본사를둔 BBVA 4) 은 1999년설립된글로벌은행으로, 본사와약 11만명에달하는 26개해외지역지점간협업을지원하기위해서비스기반 (SaaS) 방식의구글앱스 (Google Apps) 를선택하고, 내부업무시스템을구글앱스로바꾸는프로젝트를진행했다. BBVA는클라우드서비스를이용한비용절감보다는협업환경구축을통해직원들이보다빠르고쉬운의사결정을하여신상품개발과판매기간단축등의변화를보여줄것으로기대하고있다. 라. 네덜란드 네덜란드 De Nederlandsche Bank는금융정책을총괄하고화폐를발행하는중앙은행으로, AWS를금융권에서사용할수있도록승인했다. 이에따라단순한시스템이외에웹사이트, 모바일애플리케이션, 리테일뱅킹, 신용분석등대부분시스템이 AWS에서구동이가능하며, 모든데이터저장및관리를 AWS에서할수있게됐다. 또한 AWS를사용하고자하는금융사는네덜란드중앙은행에알려위험요소를분석하도록권고하고있다. 마. 호주 호주 Common Wealth 은행은약 400만명의온라인고객을보유하고있는호주주요은행중하나로, IT관리문제를해결하기위한방안으로클라우드서비스를도입했다. 인터넷뱅킹과모바일뱅킹비중이급속히확대되자, 약 3억달러의 IT투자수요가발생했으며, 클라우드서비스도입을통해데이터베이스 (DB) 통합을단행하여연평균약 4) Banco Bilbao Vizcaya Argentaria : BBVA 44

13 1 억달러의 IT 인프라투자및관리비용을절감했다. 바. 아프리카 튀니지 Zitouna 은행은 TEMENOS 뱅킹플랫폼을호스팅하는 IBM 의클라우드기능을 선정했다. 이프로젝트가매년 18 개이상의지점을열고, 새로운모바일및인터넷뱅킹이 확산되는데기여할것으로예상하고있다. [ 표 8] 해외금융권클라우드도입현황 서비스내용 회사명 국가 목적 종류 비고 FINRA 미국 증권이벤트분석 IaaS Amazon 기반 USAA 미국 클라우드기반인증서비스도입 - Verisign Risk MetricsGroup 미국 위험관리분석업무 SaaS Azure 기반 Bankinter 스페인 알고리즘시뮬레이션 IaaS Amazon 기반 BBVA 스페인 전세계직원간협업시스템도입 SaaS Google Apps 기반 Suncorp 호주 응용프로그램구동 IaaS Amazon 기반 Commonwealth Bank 호주 데이터베이스통합 PaaS Oracle 기반 ME Bank 호주 운영프로세스개선 IaaS Amazon 기반 Zitouna 튀니지 모바일, 인터넷뱅킹개발플랫폼구축 IaaS IBM 기반 UniCredit 이탈리아 개인뱅킹시스템지원 IaaS IBM 기반 ICM Asia Pacific 뉴질랜드 미들웨어서비스 SaaS MS BizTalk 기반 Deutsche Bank 독일 금융사기 / 데이터분석 국내금융권사례 국내금융권에서의클라우드서비스는클라우드컴퓨팅의한축을이루고있는 가상화 에초점이맞춰져있으며, 특히금융당국이금융사전산센터에대한물리적망분리의무화와전지점에대한점진적망분리방침을밝히면서가상화솔루션을기반으로클라우드서비스가전파되고있는상황이다. 하지만이는보안만을강조한조치로클라우드가갖는본래성격인비용절감, 유한한자원의재분배등에대해서는효용성을제대로발휘하지못하고있는실정이다. 대표적으로, 신한은행은직원 PC의가상화 45

14 저장공간을구축하고사내문서및정보공유플랫폼으로사용하고있다. 또, 기업은행도고객센터의업무환경을클라우드컴퓨팅환경으로전환을위해상담용 PC 300여대의가상화작업을완료하였다. 최근금융권의시장악화로비용절감에몰두하고있는중소금융사역시이러한클라우드서비스도입에관심을갖고있다. [ 표 9] 국내금융권클라우드도입현황 구분회사명내용 은행 증권 신한은행 기업은행 삼성증권 미래에셋증권 직원 PC 의가상화저장공간을구축하고사내문서및정보공유플랫폼으로사용 고객센터의업무환경을클라우드컴퓨팅환경으로전환 스마트폰운영체제 (OS) 와단말기와상관없이모바일트레이딩을사용할수있도록가상화기술을이용 모바일트레이딩시스템에가상화기술을적용하여다른스마트폰, 태블릿 PC 로접속해도재설정없이동일한사용자환경에서이용 카드 KB 국민카드 KT 와빅데이터기반금융플랫폼구축추진 기타 삼성페이 ( 삼성전자 ) KT 클라우드서비스를이용하여구축 46

15 Ⅳ. 해외클라우드정책및보안인증제도 미국과영국, 일본등선진국은 Cloud First Policy, G-Cloud Plan, 가스미가세키클라우드 등클라우드산업육성정책을통해공공부문이민간클라우드서비스를적극도입하도록유도하고있다. 미국은클라우드이용률이 40% 를넘어섰고, 일본의경우에도 38% 를넘는기업들이클라우드를도입하여업무혁신에나서고있다. 1. 해외클라우드정책추진현황 가. 미국 미국은기존 IT 환경에서발생하는예산활용의비효율성과자원관리시스템의취약성, 조달프로세스의복잡성등을개선하기위한목적으로 2009 년 5 월 연방클라우드 컴퓨팅계획 (The Federal Cloud Computing Initiative) 을통해연방정부의클라우드 구상을발표하고, 2010 년 12 월클라우드도입을권고하는 클라우드우선정책 (Cloud First Policy) 을발표하였다. 클라우드우선정책은미국정부와공공기관에클라우드를 선제적으로도입함으로써클라우드컴퓨팅확산의주도적역할을제안하는것으로, 이후 2011 년 2 월, 연방클라우드컴퓨팅전략 (Federal Cloud Computing Strategy) 5) 을 발표하여, 정부기관이클라우드컴퓨팅을도입할때필요한준비사항, 도입절차, 도입사례, 연방정부역할등에관한구체적인가이드라인을제시하고있다. 미국 2012 년부터 FedRAMP 6) 프로그램을제정하여클라우드서비스도입시활용하고 있다. FedRAMP 프로그램의추진배경은 2011 년 9.11 테러이후연방정부기관의 정보보호를강화하기위해 FISMA 법 7) 을제정하고 IT 시스템 서비스도입시 FISMA 법의 보안성인증 인가프로그램 8) (C&A) 을통해각기관별로수행하였으나, 클라우드컴퓨팅 이용증가에따른평가 인증대상의증가로미국정부의클라우드도입효율성을높이기 위해추진되었다. 5) 6) Federal Risk and Authorization Management Program 7) FISMA(Federal Information Security Management Act) 의주요내용은다음과같다. - 美백악관행정관리예산국 (OMB, Office of Management and Budget) 이총괄 - 연방기관을대상으로보안수준평가 ( 연간 ) 를통해차년도예산 ( 정보화, 보안 ) 차등지급 - 미상무부국립표준기술연구소 (NIST) 에서기준, 지침, 프로그램개발및기술지원수행 - 연방정보보안사고센터 (Federal Information Security Incident Center) 설립 운영등 8) 보안성인증및인가 (C&A(Certification & Accreditation)) 프로그램 : 각연방정부에서 IT 시스템 서비스도입시보안성을검증하는체계 47

16 나. 영국 2009년영국정부는차세대 ICT 정책방향이담긴보고서 디지털브리튼 (Digital Britain) 9) 을통해공공부문의클라우드도입필요성을제기했다. 공공부문의 IT자산활용과정에서발생하는비효율성을절감하기위해 사용량만큼지불하는방식 (Pay-As-You- Go) 인클라우드컴퓨팅을도입해야한다는것이주요취지이며, 같은해 6월, 공공부문데이터센터혁신전략의일환으로정부에서사용하는전산자원을클라우드컴퓨팅기반으로제공하는 G-Cloud 계획을발표하였다. 2010년 1월, 국가전체를클라우드화한다 는슬로건을내걸고국가단위의클라우드컴퓨팅전략을발표하였으며, 2020년까지인력감축과 IT 예산절감을통해약 57억파운드 ( 한화약 10조원 ) 의공공부분의예산을절감할계획이다. 이후클라우드서비스조달시스템인 클라우드스토어 (Cloud Store) 10) 를 2012년 2월에개설하여공공기관들이클라우드컴퓨팅서비스를손쉽게구매할수있도록원스톱쇼핑시스템을제공하고있다. [ 그림 2] 영국정부가운영중인클라우드스토어 9) 2008 년 10 월부터영국의문화 미디어 체육부와기업 혁신 스킬부가공동으로추진한범국가적결과물로디지털브리튼계획은지식기반경제활동을지원하는기본인프라로서유무선네트워크정비와영국고유의콘텐츠육성의필요성을강조하고있다 10) 2014 년 11 월, 디지털마켓플레이스 (Digital Market Place) 로명칭변경 48

17 영국은공공부문클라우드도입을통해일부기관의 IT 관련예산은 50% 이상비용절감을이루어냄으로써효과를확인하였다. 공공부문전분야에클라우드를확산시키기위해 클라우드우선정책 (Cloud First Policy) 을 2013년 5월발표하였으며, 공공부문 IT 시스템조달시클라우드서비스도입고려를의무화하였다. 클라우드우선정책의일환으로영국내각사무처 (Cabinet Office) 는공공기관의보다신속하고간편한클라우드도입을지원하기위한공공데이터보안분류체계개편을결정하였다. 이번조치를통해기존 6단계였던데이터보안분류체계는 3단계 (Official, Secret, Top Secret) 로간소화되었다. [ 표 10] 영국정보의개편된데이터보안체계 보안분류 공공데이터 (Official) 중요기밀정보 (Secret) 일급기밀정보 (Top Secret) 내용 - 공공부문에의해생성되거나처리되는대다수의정보 - 분실, 도난또는언론에공개되어도피해가거의발생하지않는일상적인데이터 - 보호수단이요구되는민감한 (Sensitive) 정보 - 국방시스템이나국제관계에심각한타격을입힐수있는데이터 ( 대형범죄등과관련된중요조사자료등이포함 ) - 정부부처가보유한가장민감도가높은정보 - 데이터유출또는확산시영국국민또는동맹국의경제및보안체계에심각한위협이될수있는정보포함 자료 : 영국의중대부정단속국 (SFO) 영국은 G-Cloud 매출실적이올해 9월까지약 7억 5천만파운드 ( 한화약 1조 3천억원 ) 를기록한다고발표하였다. 이는중앙정부를통해발생되는매출이전체의 89% 를차지하며, 앞선 7개월은다소완만한성장세를보이고있다고밝혔다. 하지만적극적인클라우드도입을두고일각에선서비스안전성및데이터유출문제등으로정부의사이버보안체계가취약해질수있다는우려를제기함에따라, 보안위협발생가능성을완화하기위해서비스조달시고려해야할 14가지클라우드보안원칙에대해세부적으로기술하고있는 클라우드서비스보안원칙 (Cloud Services Security Principles) 11) 가이드라인을개발하는등다양한노력을펼치고있다. 11) 49

18 다. 일본 일본정부는국가차원의 ICT 전략수정의필요성을느끼고 2015년까지정보시스템효율화를위해클라우드추진정책을명시한 i-japan Strategy 2015 를 2009년 7월에발표하였다. 총무성에서는 스마트클라우드연구회 를설립하여클라우드기술보급및활용과제에대한검토를진행하고, 중앙부처대상의 가스미가세키프로젝트 를통해약 1,800개에이르는자치단체에클라우드컴퓨팅을도입해 IT 비용을절감한다는계획이다. 훗카이도, 규슈등 66개지방지자체가참여하여실증실험을하였으며, 총무성에 지자체클라우드컴퓨팅추진본부 를설립하는등지속적으로정책을추진하였다. 이후스마트클라우드연구회에서는 활용전략, 기술전략, 국제전략 으로구성된 스마트클라우드전략 (Smart Cloud Strategy) 을발표하였다. 3가지관점의개별전략으로 2015년까지일본클라우드시장규모를 2조엔 ( 한화약 20조원 ) 규모로확대하기위한계획을세우고있다. 클라우드서비스의표준모델화를추진하는차원에서정부, 지자체, 민간사업자등이참여하여는컨소시엄개설등매년진척상황등을체크하여전략개정을실시한다는내용을포함한다. 계획의일환으로클라우드서비스보급및비전을위한과제도출과해결방안마련을위해일본경제단체연합회와민 관 학협의회인 일본클라우드컨소시엄 (JCC) 를 2010년 12월에설립하였다. 300여개이상의기업이참가해클라우드서비스보급을위한다양한활동을진행하며, 총무성은참관자격으로활동을지원하였다. 2011년대지진이후클라우드중요성이급부상함에따라재난관리, 지자체정보공동활용등에클라우드적용을강화하는정책을추진하는등지속적인노력을수행하고있다. 라. 호주 호주의클라우드컴퓨팅전략은비용, 보안, 유연성, 운영의안정성등측면에서최적의방식으로구축하는것으로클라우드기반인프라를조성한후범정부적통합을계획하였다. 호주정보관리청 (AGIMO) 에서는정부기관이민간의클라우드서비스를도입할때국내외적으로발생할수있는정보보호와보안및법적, 재정적이슈들을다루는 개선사례가이드 (Better practice Guides) 를 2012년에마련하였다. 50

19 정부차원의클라우드컴퓨팅확산노력을본격화하기위해 2013년 5월, 국가클라우드컴퓨팅전략 (The National Cloud Computing Strategy) 을발표하여, 이를통해정부부문의클라우드컴퓨팅효용극대화, 중소기업및비영리조직의클라우드컴퓨팅촉진, 클라우드서비스활성화지원등의목표를제시하였다. 관련클라우드컴퓨팅보안정책으로정부기관의클라우드활용시데이터보호를위한가이드라인을발표하였다. 이후 2014년 10월에는클라우드컴퓨팅정책 3.0이라불리는 클라우드우선정책 (Cloud First Policy) 을발표하여, 기존의모든클라우드컴퓨팅정책에우선하여적용하도록하였다. 새로운정책에는연방정부기관에대한클라우드의무사용을규정하고있으며, 이는정부기관의클라우드서비스사용기회를우선적으로고려하도록하여서비스활성화를선도해나가도록하는것을목적으로하고있다. 2. 해외클라우드보안인증제도 가. 미국 FedRAMP FedRAMP는연방정부기관이이용하는정보시스템이나서비스에대해적정한정보보호를수준을보증하면서위험관리비용을절감하고, 효율적으로조달하기위한범정부차원의프로그램이다. FedRAMP는미연방정부가 2년에걸쳐여러정부기관 12) 및민간분야, 학계의협력으로개발되었으며, 기존보안인증절차를간소화하고, 인증소요시간을단축하였다. 기존클라우드인증프로세스는각기관마다해당서비스에대해별도의인증절차를요구했기때문에, 행정적 시간적 비용적으로비효율적이었다. 그러나 FedRAMP의인증을받은클라우드서비스는다른정부기관들이별도의인증절차없이일괄적으로도입이가능해효율적이며, FedRAMP 관리국설치를통해클라우드도입시주요장애요인으로지적되어온보안문제를해소하였다. 정부기관들이클라우드서비스평가인증정보를안전하게보관및공유할수있는장치를마련함으로써클라우드서비스의평가, 인가, 조달등에관한예산지출을 30~40% 절감한것으로자체평가하고있다. 12) 개발에참여한정부기관은표준기술연구소 (National Institute of Standards and Technology, NIST), 조달청 (General Services Administration, GSA), 국방부 (Department of Defense, DOD), 국토안보부 (Department of Homeland Security, DHS), CIO 위원회 (Chief Information Officer Council) 등이다. 51

[ 그림 3] FedRAMP 거버넌스구조 - OMB 정책 - CIO Council - FedRAMP PMO - FISMA 표준 - 기술자문 - 기술설명서 Joint Authorization Board - US-CERT - 지속적인모니터링데이터분석 자료 : 장승재, 美연방정부클라우드서비스보안인증제도 (FedRAMP) 분석, 2013.

20 [ 그림 3] FedRAMP 거버넌스구조 - OMB 정책 - CIO Council - FedRAMP PMO - FISMA 표준 - 기술자문 - 기술설명서 Joint Authorization Board - US-CERT - 지속적인모니터링데이터분석 자료 : 장승재, 美연방정부클라우드서비스보안인증제도 (FedRAMP) 분석, FedRAMP는 6개기관 (GSA, DOD, DHS, NIST, 연방 CIO, OMB) 이역할을분담하고유기적인협력을통해인증이이루어지고있다. 클라우드와관련하여리스크인증을수행하고임시인증을부여하는 JAB(Joint Authorization Board) 는서비스조달업무를담당하는조달청, 보안기술과정보보안에관한핵심기관인국방성과국토안보부의 CIO들로구성되어있다. [ 표 11] FedRAMP 참여기관별역할분담 부처 NIST (National Institute of Standards and Technology) JAB (Joint Authorization Board) OMB (Office of Management and Budget Policy) CIO Council DHS (Department of Homeland Security) FedRAMP PMO (Program Management Office) GSA (General Service Administration) 역할 클라우드컴퓨팅기술표준및가이드라인확립인증절차등기술적지원 보안승인 ( 국토안보부, 국방부, 조달청 ) 부처간활동조정, 클라우드컴퓨팅이행에대한우선순위설정 연방정부전체의클라우드컴퓨팅이행촉진 지속적모니터링, 사이버침해대응 FedRAMP 운영및관리책임 ( 조달청 ) 연방정부전체에적용되는조달기준확립 자료 : 행정자치부, 한 - 미전자정부정보보호및클라우드협력강화,

FedRAMP의참여대상은클라우드서비스를도입하고자하는연방기관, 클라우드서비스제공자 (CSP) JAB, 평가대행기관 (3PAO), FedRAMP 프로그램운영사무국 (PMO) 이있으며, FedRAMP의운영은 3PAO 인가, 보안평가, 임시인증활용, 지속적인모니터링으로나누고절차는 3PAO 인가, 보안평가, 임시인증활용으로구분하여이루어지며,

21 FedRAMP의참여대상은클라우드서비스를도입하고자하는연방기관, 클라우드서비스제공자 (CSP) JAB, 평가대행기관 (3PAO), FedRAMP 프로그램운영사무국 (PMO) 이있으며, FedRAMP의운영은 3PAO 인가, 보안평가, 임시인증활용, 지속적인모니터링으로나누고절차는 3PAO 인가, 보안평가, 임시인증활용으로구분하여이루어지며, 지속적인모니터링은보안평가에포함된다. [ 표 12] FedRAMP 참여대상별역할 기관 역할 연방기관 클라우드기술을도입하려는기관으로 FISMA 준수를보장할책임을가짐 CSP 클라우드서비스를제공하는업체로기관의보안요구사항이행 JAB CSP가제출한보안패키지를검토하고임시인증을부여 3PAO CSP를평가하는제3의평가기관 FedRAMP PMO FedRAMP 운영및관리책임 ( 평가, 인증및지속적인모니터링 ) 자료 : 장승재, 美연방정부클라우드서비스보안인증제도 (FedRAMP) 분석, [ 그림 4] FedRAMP 인증체계 정책기관 결과물심사 / 승인 평가대행기관신청 평가대행기관인가 JAB 임시인증보안패키지저장 저장소 평가기관 (3PAO) JAB 임시인증 보안평가요청 / 결과물제출 보안패키지사용 평가대행기관지정 보안평가 신청기관 (CSP) 클라우드서비스납품신청 기관인증 연방기관 3PAO 인가 보안평가 임시인증활용 자료 : 장승재, 美연방정부클라우드서비스보안인증제도 (FedRAMP) 분석,

22 나. 일본 일본은 2007년에 ASP SaaS 정보보호대책지침 을발표하면서클라우드서비스안전 신뢰성인증제도의기틀을마련하였고, ASP SaaS 정보보호대책가이드라인 을제정하여 2008년부터 ASP SaaS 인증제도를운영하고있다. SaaS 인증심사기준은 ISO 27002의통제항목을토대로개발되었으며정보보호관리분야와정보보호대책분야로영역을구분하고정보보호관리영역 22개통제항목과정보보호대책영역 47개통제항목으로구성되어있다. 또한 2011년 12월에총무성은 IaaS PaaS의안전 신뢰성인증에관한지침 과 데이터센터의안전 신뢰성에관한지침 을발표하였다. 일본 FMMC 13) 는총무성에서발표한지침에근거하여 ASP SaaS, PaaS IaaS 및데이터센터에대한클라우드서비스인증제도를시행중인데이세가지정보공개인증제도를 클라우드서비스의안전 신뢰성에관한정보공개인증제도 ( 이하클라우드서비스인증제도 ) 라고총칭하고있다. [ 표 13] 클라우드서비스인증절차 인증절차 1 인증신청 2 형식심사 3 서류심사 4 현장조사 5 인증심사위원회 6 결과통지 7 인증갱신 내용 FMMC 홈페이지에서서비스심사관련서류를다운로드하여제출 제출서류에대한미비사항확인후심사수수료납부요청 인증요청회사홈페이지내공개정보의적정성을심사하고미비사항및확인사항에대한 Feedback 을실시 심사상필요가있는경우신청자에게영업소, 사무소, 기타사업장에서조사수용을요청 FMMC 내설치되어있는학자및민간전문가등으로구성된기구로서사전심의 심사결과통지및인증일, 유효기간공표후자격증과인증마크를부여하고, 비인증시에는개선등이요구되는공시항목에대한설명부여 유효기간만료 60 일 ~30 일이전에갱신신청을하여심사를받음 자료 : 김정덕, 클라우드보안관련국내외표준 / 기준동향, ) 일본의재단법인멀티미디어진흥센터 (Foundation for Multimedia Communications, FMCC) 54

[ 그림 5] 클라우드서비스인증제도마크 서비스인증심사대상항목은 사업자의안전 신뢰성에대한정보공개항목 과 서비스의안전 신뢰성에대한정보공개항목 으로구분되며서비스의안정 신뢰성에대한정보공개항목은각서비스인증유형별로별도구성되어있다. 서비스인증심사기준은 필수공개항목 과 선택공개항목 으로나누어심사하고있으며, 선택공개항목의경우인증여부를결정하는요소는아니다.

23 [ 그림 5] 클라우드서비스인증제도마크 서비스인증심사대상항목은 사업자의안전 신뢰성에대한정보공개항목 과 서비스의안전 신뢰성에대한정보공개항목 으로구분되며서비스의안정 신뢰성에대한정보공개항목은각서비스인증유형별로별도구성되어있다. 서비스인증심사기준은 필수공개항목 과 선택공개항목 으로나누어심사하고있으며, 선택공개항목의경우인증여부를결정하는요소는아니다. 또한, 필수공개항목 중 일정요건을고려해야하는항목 을지정하여해당항목이기준에적합하지않을경우에는인증을하지않게된다. [ 표 14] 클라우드서비스인증기준 구분유형대상항목 사업자안전 신뢰성정보공개항목 서비스안전 신뢰성정보공개항목 공통 ASP-SaaS IaaS-PaaS 데이터센터 사업설립 / 사업내용, 인적자원, 재정상황, 자본관계, 비즈니스관계, 규정준수 기본특성, 응용프로그램, 플랫폼, 서버 / 스토리지, 네트워크, 보호 ( 서버위치 ), 서비스지원 기본특성, 서비스운영 ( 인프라, 보안 ), 네트워크, 보호 ( 서버위치 ), 서비스지원 보호 ( 시설장비 ), 보호 ( 네트워크 ), 보호 ( 서비스내용 ), 보호 ( 서비스지원 ), IaaS-PaaS 지원시 ( 서비스내용 ) 자료 : 김정덕, 클라우드보안관련국내외표준 / 기준동향,

24 Ⅴ. 결론 현재국내금융권의경우, 해외금융권에비해클라우드서비스도입이미진한상태이다. 클라우드서비스를쉽게도입하지못하는가장큰이유는장애, 보안에대한우려와규제이며, 이러한불안요소가해결되고클라우드서비스도입이확대되기위해다음과같은활성화방안이필요할것으로보인다. 첫째, 클라우드서비스도입에저해가되는규제가개선되어야한다. 클라우드발전법시행으로공공부문의클라우드서비스도입은활성화될것으로보이나, 금융권의경우정보처리위탁규정과, 금융거래정보처리위탁제한등금융당국의여러규제가금융회사의클라우드도입을저해하고있다. 다만최근금융당국이규제완화에적극나서고있고전산설비위탁승인제도폐지등실제행동에나서고있어여러가지걸림돌이사라지고있으나, 금융사가온전한형태의클라우드서비스를도입하기위해선해결될과제가남아있다. 전산설비등자가구비의무에클라우드환경이포함될수있도록은행업, 보험업, 신용카드업의인허가요건을최소화하고, 금융회사의정보를클라우드컴퓨팅사업자에게위탁하기위해신용정보법에따른수탁자자격요건의완화가고려되어야한다. 또한, 전자금융감독규정의인력및예산규정을클라우드컴퓨팅환경에맞춰인력과비용을절감하면서보안수준을높일수있는방향으로개선하는것이고려되어야한다. 둘째, 클라우드서비스장애대응및보안성확보를위한보안인증제도가활성화되어야한다. 클라우드서비스수요증가로보안인증제도의필요성이증대되고있으나, 현재국내는아직미국의 FedRAMP와같은클라우드보안을위한인증제도가마련되어있지않다. 한국인터넷진흥원에따르면 2015년 7월부터보안인증제도마련을위해 클라우드보안등급별인증기준개발및시범적용 사업을시행하고있으나, 클라우드보안인증제도는내년에나선보일것으로예상된다. 클라우드서비스는급변하는 IT환경에서가장중요한요소로자리잡고있으며, 금융권도수익성하락에따른관리비용절감과상품 서비스경쟁력향상을위한대안으로수요가점차증가할것으로예상된다. 향후, 규제개선및국내클라우드보안인증제도시행을통해이러한문제를해결해나감으로써, 금융권클라우드서비스도입이활성화될수있을것이다. 56

25 < 참고문헌 > [1] 유수상, 클라우드컴퓨팅현황과활성화과제, [2] 한국인터넷진흥원, 클라우드서비스정보보호안내서, [3] 장석권, 클라우드서비스발전전략과정책과제, [4] 장승재, 美연방정부클라우드서비스보안인증제도 (FedRAMP) 분석, [5] 김정덕, 클라우드보안관련국내외표준 / 기준동향, [6] 민상식, 금융클라우드보안과제, [7] 서광규, 한국과일본의클라우드서비스인증제도비교연구, [8] 고영하, 클라우드컴퓨팅발전법의주요내용및개선방향에관한소고, [9] 한국인터넷진흥원, 영국정부, 공공데이터보안체계개편, [10] 신태환, 서광규, 국내외클라우드컴퓨팅기반융합사례, [11] 김종현, 국내외은행의클라우드컴퓨팅도입배경및시사점, [12] 정부3.0 추진위원회, 정부 3.0 클라우드인프라및서비스기획연구, [13] 정보통신산업진흥원, 국내클라우드산업실태조사, [14] 행정자치부, 한-미전자정부정보보호및클라우드협력강화, [15] 한국클라우드컴퓨팅연구조합 2015 클라우드컴퓨팅기술현황보고서, [16] KB금융지주경영연구소, 금융권의클라우드서비스도입사례와전망, [17] 한국정보보호산업협회, 해외공공부문의클라우드도입및활용사례, [18] 구태언, 금융권클라우드활성화를위한제도개선방안,

Industry Technology Policy 융합연구정책센터 Weekly TIP 클라우드컴퓨팅시장및정책동향 이아름 융합연구정책센터 선정배경 01 인공지능, 빅데이터, 사물인터넷등과더불어클라우드컴퓨팅은 4 차산업혁명시대의국가경쟁력확보를위한핵심기반기술로부각 클라우드컴퓨

발행일 2018. 03. 05 발행처융합연구정책센터 2018 FEBRUARY vol.111 Technology Industry Policy 클라우드컴퓨팅시장및정책동향 김보림이아름 융합연구정책센터 Industry Technology Policy 융합연구정책센터 Weekly TIP 클라우드컴퓨팅시장및정책동향 이아름 융합연구정책센터 선정배경 01 인공지능, 빅데이터,