ISO/IEC27017 주요 항목, 정보보호 정책·조직·인적보안 등 13가지

[보안뉴스 김경애] 클라우드컴퓨팅 발전법이 본격 시행됨에 따라 클라우드에 대한 관심이 그 어느때보다 높다. 특히, 클라우드 보안과 관련해서는 개인정보 국외이전 문제 등 여러 가지 보안이슈들이 포함돼 있어 국제표준 분야에서도 뜨거운 감자다. 현재 클라우드 보안 통제 가이드라인 지침으로 ISO/IEC27017를 작업 중에 있는 것으로 알려졌다.



클라우드 보안 분야 국제표준에 참여하고 있는 고려사이버대학교 박대하 교수는 “오는 10월 26일부터 30일까지 인도에서 개최되는 국제표준 회의를 통과되면 올해 말쯤 국제표준화가 이루어질 전망”이라며 “현재 작업된 가이드 지침안이 거의 그대로 반영될 것으로 보인다”고 귀띔했다.

이어 박 교수는 ISO/IEC27017 주요 항목에 대해 △정보보호 정책 △정보보호 조직 △인적보안 △자산관리 △접근통제 △암호화 △운영 보안 △통신보안 △시스템 개발 보안 △공급망 관리 △정보보호 사고 관리 △준거성 △추가 통제 등이 있다고 밝혔다. 박 교수가 각 항목에 대해 설명한 내용은 다음과 같다.

정보보호 정책은 다중임차, 가상화 보안 등 클라우드 환경을 고려한 클라우드 컴퓨팅 서비스스와 보안정책을 정립하는 단계다.

정보보호 조직은 클라우드 서비스 이용자와 제공자 및 하위 제공자의 책임 한계를 정의하고, 정보가 저장·처리·전송될 지리적 위치를 클라우드 서비스 이용자에게 통지하는 체계나 조직에 대해 설명하고 있다.

인적보안은 클라우드 서비스의 핵심 관리 직책을 보유하고 있는 직원에게 규칙적인 적격 심사를 진행하도록 하는 것과 제공자의 접근 및 사용에 특별한 제한이 필요한 데이터와 서비스를 생성해야 한다는 점, 그리고 데이터의 적절한 취급에 대해 이용자와 계약자에게 교육과 훈련이 필요하다는 내용을 담고 있다.

자산관리의 경우 제공자는 이용자가 자신의 정보와 관련 자산을 분류하고 표식을 부착하도록 허용하는 서비스 기능을 제공해야 한다는 내용이 포함된다.

접근통제는 이용자에 대한 사용자 등록 및 해지 기능, 접근권한 관리 기능과 이용자의 클라우드 서비스 관리자를 인증하기 위해 강화된 인증기법을 사용해야 한다는 내용이다.

암호화는 이용자의 데이터를 보호하는데 사용되는 암호키를 이용자가 독립적으로 저장 및 관리할 수 있도록 해야 한다는 것이다.

다음으로 운영보안 항목에서는 장비, 데이터 저장장치, 파일, 메모리 등과 같은 자원의 재배치에 따른 장비의 폐기 및 재사용에 대한 안전한 처리를 보장해야 한다는 등의 내용이 포함되어야 한다.

통신보안은 개별 임차인의 분리 및 내부 관리자의 분리와 같이 네트워크 접속의 분리를 수행하는 방안을 담고 있다.

시스템 개발 보안은 공공 클라우드 서비스의 다중임차를 제공할 때 개별 임차인의 격리를 보장하기 위한 정보보호 통제를 구현해야 하고, 시큐어코딩과 관련한 국제표준(ISO 27034-1)과 같이 안전한 개발 절차와 실무의 사용에 관한 정보를 제공해야 한다는 점이 포함됐다.

공급망 관리의 경우 공급망 계약에 있어 이용자에게 지원을 제공할 보안 통제 서비스 항목을 제공해야 한다는 점과 공급망 전반에 걸쳐 이용자의 서비스 보안 수준을 유지하도록 보장해야 한다는 내용이 담겼다.

정보보호 사고 관리에서는 서비스 제공자가 이용자에게 보안 사고를 통지하는 기준 및 절차와 클라우드 컴퓨팅 환경 내에서 법적 증거 요청에 대응하기 위한 정책과 절차를 수립해야 한다는 내용이다.

준거성은 클라우드 서비스가 운영 및 제공되는 위치와 제공자가 관리하는 정보에 적용되는 사법권을 이용자가 식별할 수 있도록 지원해야 한다는 것이다.

마지막으로 추가 통제 항목에 대해 박대하 교수는 “가상화 어플리케이션, 운영체제, 저장소, 네트워크의 논리적 분리를 해야 하고, 가상머신의 보안 강화(Hardening)와 악성코드 방지 및 로그기록 등 적절한 기술적 통제를 수행해야 한다”며 “이용자가 클라우드 서비스의 운영 및 사용을 모니터링할 수 있도록 설비를 제공해야 하고, 가상 네트워크의 설정과 관련된 보안 정책이 물리적 네트워크에 적용한 보안정책과 일관성을 갖도록 보장해야 한다”고 설명했다.
[김경애 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>