클라우드 환경에서 ISMS-P 요구사항 충족하는 방법
2023년 개인정보보호위원회 과징금 부과 사례 중 약 40%는 클라우드 기반 서비스에서 발생한 접근통제 미흡 또는 암호화 미적용과 관련이 있었습니다. 온프레미스 시절에는 물리 서버실 잠금장치 하나로 통제되던 것들이, 클라우드에서는 IAM 정책 한 줄 실수로 외부에 노출됩니다. ISMS-P 101개 인증기준은 인프라 형태를 구분하지 않습니다. 클라우드라는 이유로 요건이 완화되지 않는다는 점을 전제로 시작해야 합니다.
클라우드 전환이 만들어내는 책임 공백
AWS, Azure, GCP 같은 퍼블릭 클라우드는 공동 책임 모델(Shared Responsibility Model) 을 적용합니다. 물리 보안과 하이퍼바이저 수준은 CSP(클라우드 서비스 제공자)가 책임지고, 운영체제 이상의 레이어는 고객 책임입니다.
문제는 ISMS-P 심사에서 이 구분이 심사 면제 근거가 되지 않는다는 점입니다. 인증기준 2.10.1(보안시스템 운영) 과 2.10.2(클라우드 보안) 는 CSP가 제공하는 보안 기능을 고객이 얼마나 적절히 설정·관리하고 있는지를 봅니다. 즉, CSP가 기능을 제공했다고 해서 '적용됨'으로 인정받지 않습니다. 설정 증적, 모니터링 로그, 담당자 지정 문서가 함께 있어야 합니다.
개발팀이 가장 많이 놓치는 지점이 여기입니다. 인프라를 Terraform으로 코드화했더라도, 그 코드가 보안 정책을 반영하고 있다는 증거를 심사자에게 설명할 수 있어야 합니다.
실무에서 자주 결함이 나오는 3가지 영역
1. 접근통제 — 인증기준 2.5.1 ~ 2.5.6
클라우드 IAM은 정교하게 설계할수록 복잡해집니다. 그 복잡성이 종종 과도한 권한 부여로 귀결됩니다. ISMS-P 심사에서 2.5.1(사용자 계정 관리) 는 클라우드 루트 계정의 MFA 설정, 서비스 계정(Service Account)의 최소 권한 원칙 적용 여부를 직접 확인합니다. AWS 기준으로 루트 계정에 MFA가 없거나, IAM 사용자에게 AdministratorAccess 정책이 광범위하게 붙어 있으면 결함 처리됩니다.
2.5.4(접근권한 검토) 는 분기 1회 이상의 권한 검토 기록을 요구합니다. 자동화된 IAM Access Analyzer 리포트를 출력해 검토 서명을 받아두는 것이 현실적인 대응입니다.
2. 암호화 — 인증기준 2.7.1 ~ 2.7.2
개인정보 보호법 제29조 및 개인정보의 안전성 확보조치 기준 제7조는 고유식별정보, 비밀번호, 바이오정보의 저장·전송 시 암호화를 의무화합니다. 클라우드 환경에서는 S3 버킷 암호화 설정, RDS 저장 암호화(Encryption at Rest), TLS 1.2 이상 강제 적용 여부가 체크포인트입니다.
흔히 놓치는 것은 백업 데이터의 암호화입니다. 운영 DB는 암호화했지만 스냅샷이나 백업 버킷은 암호화 설정이 빠져 있는 경우가 심사에서 반복적으로 발견됩니다.
3. 로그 관리 — 인증기준 2.9.4
2.9.4(로그 및 접속기록 관리) 는 개인정보 처리 시스템에 대한 접속 기록을 최소 1년(고유식별정보 처리 시스템은 2년) 이상 보관하도록 요구합니다. 클라우드에서 CloudTrail, Cloud Audit Logs 등을 활성화하지 않거나, 활성화했더라도 로그를 별도 불변 스토리지(예: S3 Object Lock)에 보관하지 않으면 결함이 됩니다.
로그 수집 자체보다 로그 무결성 보장이 더 자주 지적됩니다. 관리자가 로그를 임의로 삭제할 수 있는 구조라면, 아무리 많은 로그가 있어도 심사 기준을 통과하기 어렵습니다.
CTO가 의사결정해야 할 구조적 선택
기술적 설정 하나하나보다 더 중요한 것은 아키텍처 단계에서의 보안 설계입니다. ISMS-P 인증기준 1.2.1(정보보호 정책 수립) 과 1.2.4(보호대책 선정) 은 위험 평가를 기반으로 보호조치를 결정하도록 요구합니다. 클라우드 아키텍처 리뷰(Architecture Review)를 보안 팀과 함께 수행하고 그 결과를 문서화하는 프로세스가 없다면, 개별 설정이 아무리 잘 되어 있어도 관리 체계 영역에서 결함이 발생합니다.
멀티 클라우드 또는 하이브리드 환경이라면 2.10.2(클라우드 보안) 의 CSP 계약서 검토 요건도 충족해야 합니다. 데이터 저장 위치, 재해복구 조건, 감사 권한 등이 계약서에 명시되어 있어야 하며, 이를 연 1회 이상 검토한 기록이 있어야 합니다.
실무적 시사점
클라우드 기반 ISMS-P 대응은 '보안 설정을 켜는 일'이 아니라 설정의 근거와 관리 흐름을 문서화하는 일입니다. 심사자는 AWS Security Hub 점수가 아니라, 해당 설정이 왜 그렇게 되어 있는지, 누가 주기적으로 확인하는지, 이상이 생겼을 때 어떻게 대응했는지를 봅니다.
클라우드 인프라 코드와 ISMS-P 인증기준 간의 매핑을 자동으로 유지하고, 증적 수집까지 연결하고 싶다면 ComplixShield의 클라우드 연동 컴플라이언스 관리 기능이 실질적인 공수 절감 방법이 될 수 있습니다.