클라우드 정보화사업 감리
더 많은 작업
클라우드 정보화사업 감리는 공공기관이 클라우드 컴퓨팅을 기획·도입·활용·전환하는 정보화사업에 대해, 감리인이 클라우드의 특성에서 오는 위험을 반영한 점검항목으로 사업 수행의 적정성을 점검하는 정보시스템 감리이다.
기존 정보시스템 감리 점검 프레임워크는 장비를 사서 직접 구축·운영하는 사업을 전제로 만들어졌다. 클라우드 사업은 자원을 사지 않고 서비스로 빌려 쓰며, 서비스 제공자(CSP)에 대한 의존, 데이터 위치와 회수, 계약·서비스 수준(SLA), 보안 인증, 비용 구조가 새로운 위험이 된다. 이에 한국정보화진흥원(현 한국지능정보사회진흥원, NIA)은 2016년 12월 「클라우드 정보화사업 감리 점검가이드」를 마련해, 기존 감리 점검항목에 클라우드 검토항목을 추가하거나 기존 가이드가 없는 사업은 점검항목을 새로 정의했다.
가이드는 기존 감리 점검가이드처럼 단계 – 활동 – 검토항목 구조로 점검항목을 제시하고, 필요하면 검토 방법과 체크리스트를 덧붙인 실무용 지침이다. 감리 수행 절차와 보고서 요건은 「정보시스템 감리 수행 가이드」와 정보시스템감리기준을 따른다.
가이드는 서비스 유형(IaaS·PaaS·SaaS)은 그대로 두고, 사업 성격(기획/개발/운영·전환)과 클라우드 배치 모델을 공공 환경에 맞게 바꿔(프라이빗 → 자체 클라우드, 커뮤니티 → G-클라우드, 퍼블릭 → 민간 클라우드) 공공 클라우드 사업을 7가지로 나눈다.
| 유형 | 내용 |
|---|---|
| I. 클라우드 계획수립 | 정보화전략계획(ISP) 수립 시 클라우드 도입을 일부 또는 전부 고려하는 사업. 클라우드 도입을 위한 ISP 포함 |
| II. 클라우드 서비스 구축 | 정보자원의 신규 구축·재구축·고도화 사업 중 자원의 일부 또는 전부를 클라우드 형태로 직접 구축하는 사업 |
| III. 클라우드 서비스 활용 | 정보자원을 직접 구축하는 대신 이미 구축된 G-클라우드·자체 클라우드·민간 클라우드를 활용하는 사업 |
| IV. 클라우드 서비스 운영 | 정보시스템의 인프라·애플리케이션을 G-클라우드나 자체 클라우드에서 운영하는 사업 |
| V. G-클라우드 전환 | 운영 중인 시스템을 애플리케이션의 큰 변경 없이 인프라만 G-클라우드(정부 공동 클라우드)로 옮기는 사업 |
| VI. 자체 클라우드 전환 | 애플리케이션 변경 없이 인프라를 기관의 자체(프라이빗) 클라우드로 옮기는 사업 |
| VII. 민간 클라우드 전환 | 운영 중인 시스템의 인프라나 애플리케이션을 민간(퍼블릭) 클라우드 서비스로 옮기는 사업 |
가이드는 지침·표준이 갖춰져 있고 발주가 많으며 위험 통제가 필요한 클라우드 계획수립, 클라우드 서비스 활용, G-클라우드 전환 세 부문의 점검가이드를 우선 작성했다. 계획수립은 기존 ISP 감리 점검항목에 클라우드 항목을 추가했고, 활용과 전환은 기존 가이드가 없어 새로 정의했다.
활용사업 점검항목은 3단계, 16개 활동, 18개 검토항목으로 구성되며, 검토항목마다 G-클라우드·자체 클라우드·민간 클라우드 중 어느 모델에 적용하는지 구분한다. 활용사업 중 G-클라우드로 옮기는 전환 단계는 G-클라우드 전환 가이드를 따르고, 활용 가이드의 전환 단계는 민간 클라우드를 쓰는 경우를 다룬다.
| 단계 | 활동 | 검토항목(요지) |
|---|---|---|
| 1. 클라우드 서비스 기회 식별 | 클라우드 도입 적합성 평가 | 대상 업무가 클라우드 도입에 적합한지 평가했는가(정보 형태·서비스·업무 프로세스와 전환 영향도, EA 활용) |
| 기간 및 시기 식별 | 조직의 클라우드 추진계획·프로젝트 포트폴리오에 비추어 활용 기간과 시기를 식별했는가 | |
| 재무 영향도 검토 | 전략·운영 측면의 재정·예산 영향을 검토했는가 | |
| 조직 능력 검토 | 새로 필요한 기술 역량을 검토하고, 조직 구조·기술 측면의 영향도에 맞는 역량 확보 계획을 세웠는가 | |
| 변화 관리 | 이해관계자의 요구·문제를 파악하고 해결 방안을 세웠는가 | |
| 거버넌스 검토 | 클라우드 기반 서비스에 맞는 구조·지침·통제를 보장하도록 거버넌스 모델을 검토했는가 | |
| 2. 클라우드 서비스 요건 정의 | 비즈니스 모델 설정 및 검증 | 조직 차원의 비즈니스 모델을 수립하고 적정성을 검증했는가 |
| 위험 평가 | 비즈니스 모델을 바탕으로 위협·위험 평가(TRA)를 수행했는가 | |
| 요구사항 파악 | 클라우드 기반 서비스 요구사항을 파악했는가 | |
| 비즈니스 사례 구축 | 근거·혜택·비용·위험·대안을 객관적으로 보여 주는 비즈니스 사례를 만들었는가 | |
| 출구 전략 준비 | 업무 연속성을 유지하며 다른 솔루션·클라우드로 기록을 안전하게 이관할 비상 계획(출구 전략)이 있는가 | |
| 계약 조건 결정 | 계약 조건이 업무·보안 요구사항을 만족하고 발생 가능한 위험을 명시했는가 | |
| 클라우드 모델 결정 | 문제 해결에 가장 알맞은 클라우드 모델을 결정했는가 | |
| 서비스 제공자 선정 | CSP 제안이 업무·보안 요구를 만족하고 가격이 적정한지 검토했는가 | |
| 구현 계획 및 운영 계획 수립 | 인프라·관리 조직 변화에 대비한 자원 확보 등 구현 계획을 마련했는가 | |
| 3. 클라우드 서비스 전환 | 클라우드 서비스 전환 후 검토 | 구현 후 사후 검토를 수행했는가 |
- 종속성: 특정 CSP 에 묶여 이전이 어려워지는 문제 → 출구 전략, 데이터 반환·삭제 조항
- 보안: 다중 임대 환경의 데이터 격리, 접근 통제, 보안 인증(클라우드 보안인증제) 여부
- 계약·서비스 수준: 가용성·장애 대응·성능 지표를 담은 SLA 와 위반 시 조치
- 비용: 사용량 기반 과금으로 생기는 예산 변동
- 역량: 기관의 클라우드 운영·관리 능력과 조직 변화
G-클라우드 전환 사업은 국가기관이 운영 중인 정보시스템을 애플리케이션 변경 없이 정부 공동 클라우드 인프라로 옮기는 사업이다. 당시 정부통합전산센터(현 국가정보자원관리원)의 「G-클라우드 이용가이드」·「G-클라우드 전환가이드」를 근거로 단계별 검토항목을 정했다.
| 단계 | 주요 활동과 검토 내용 |
|---|---|
| 전환 계획 수립 | 전환 타당성(클라우드 전환 가능성), 이해관계자 요구사항과 운영체제·자원 변경 영향도, 시스템 구성과 사용량 확정, 업무 중단을 최소화하는 구축·테스트 계획 |
| 시스템 구축 | 계정·권한 신청, 자원 할당, 원격 접근·방화벽 설정, 애플리케이션 수정·설치, 보안 취약점 점검, 데이터 이관과 정합성 확인, 통합 테스트, 백업·관제 설정 |
| 안정화 | 서비스 전환과 안정화, 운영 이관 |
전환 적정성을 볼 때는 장비 사용 연한, 소프트웨어 기술 지원 만료 여부, CPU·메모리·디스크 자원 산정, 재해복구 구성 필요성, 인터넷과 행정망 간 데이터 연동 필요성 등을 함께 검토한다.
- 「클라우드 정보화사업 감리 점검가이드」, 한국정보화진흥원, 2016.