모두
모두콘텐츠
얼마 전 소규모 쇼핑몰 서버 이전 상담을 받았는데, 운영자가 가장 먼저 물은 건 요금이나 백업 방식이 아니라 ‘이 클라우드는 보안 인증이 있나요?’였다. 확인할 만한 질문이다. 다만 인증 로고 하나로 운영 중인 사이트의 안전까지 판단하면 놓치는 부분이 많다. 인증받은 서비스가 무엇인지, 내 서버와 데이터는 누가 관리하는지부터 봐야 한다.
클라우드 보안 인증은 서비스 범위부터 확인한다
국내에서 말하는 클라우드 보안 인증은 대개 CSAP를 가리킨다. 한국인터넷진흥원이 안내하는 제도로, 클라우드 서비스가 정해진 정보보호 기준을 지키는지 평가한다. 서버와 저장 공간을 제공하는 IaaS, 응용 프로그램을 제공하는 SaaS 등 서비스 유형에 따라 평가 대상이 다르다. 공공기관에 서비스를 제공하려는 사업자라면 특히 먼저 확인해야 할 항목이다.
여기서 사업자 이름만 보고 판단하면 실수한다. 같은 업체라도 인증받은 상품과 그렇지 않은 상품이 있을 수 있고, 인증 범위에 포함된 운영 환경도 다를 수 있다. 한국인터넷진흥원의 인증서 발급 현황에서 서비스명, 인증 유형, 범위, 현재 상태를 확인한 뒤 계약하려는 상품과 대조하는 편이 정확하다. 영업 자료에 적힌 ‘인증 보유’ 문구만으로는 부족하다.
ISO 27001, ISMS-P, SOC 2도 자주 함께 보인다. 각각 조직의 정보보호 관리체계나 특정 시스템의 통제 상태를 판단하는 데 쓰이지만, CSAP와 같은 인증으로 바꿔 읽을 수는 없다. 공공사업 제안요청서에 CSAP가 명시됐다면 다른 인증서가 있다는 이유만으로 요건을 충족한다고 가정하지 않는 게 안전하다. 반대로 일반 기업의 작은 웹사이트에 CSAP 상품이 반드시 필요한 것도 아니다. 계약 조건과 다루는 데이터가 판단 기준이다.
인증받은 서버에서도 운영자가 맡을 일이 있다
인증은 서비스 제공자의 관리 수준을 평가한다. 고객이 만든 가상 서버 안의 계정, 운영체제 업데이트, 웹 애플리케이션, 데이터베이스 설정까지 자동으로 관리해 준다는 뜻은 아니다. IaaS를 쓰면서 관리자 접속을 전 세계에 열어 두거나 오래된 프로그램을 방치하면 인증 여부와 관계없이 사고가 난다.
서버를 고를 때는 책임 구분을 문서로 확인한다. 운영체제 보안 업데이트는 누가 하는지, 저장 데이터와 전송 구간의 암호화는 어디까지 기본 제공인지, 백업을 누가 만들고 복원하는지, 장애 때 어느 창구로 연락하는지를 묻는다. 관리형 웹호스팅은 업체가 맡는 작업이 더 많을 수 있지만, 상품마다 범위가 다르다. ‘백업 제공’이라는 문구만으로 복원 가능 시점이나 보관 기간을 짐작해서는 안 된다.
실무에서는 계정 권한과 백업이 먼저 문제를 일으킨다. 관리자 계정 하나를 여러 사람이 공유하면 누가 설정을 바꿨는지 추적하기 어렵다. 백업 파일을 같은 서버에만 두면 서버가 삭제되거나 계정이 침해됐을 때 함께 잃을 수 있다. 관리자별 계정을 나누고 다중 인증을 적용한 뒤, 백업은 운영 서버와 분리된 곳에 보관하는 구성이 기본이다.
사이트 규모에 맞춰 비용을 계산한다
인증 상품이 필요하다는 판단과 큰 서버가 필요하다는 판단은 별개다. 하루 방문자 1만 명을 가정해도 요청이 하루 종일 고르게 들어오지는 않는다. 예를 들어 페이지 조회가 방문자당 3회라면 하루 3만 회다. 평균으로 나누면 초당 약 0.35회지만, 행사 시간에 몰릴 수 있으니 실제 최고 요청량과 관리자 작업이 겹치는 시간을 함께 봐야 한다. 방문자 수만으로 CPU와 메모리를 정하면 빗나가기 쉽다.
작은 회사 소개 사이트나 캐시가 잘 작동하는 블로그는 저가 호스팅으로 충분한 경우가 많다. 반면 로그인, 주문, 검색처럼 요청마다 데이터베이스를 조회하는 서비스는 같은 방문자 수여도 부하가 크다. 먼저 한 주 정도 CPU 사용률, 메모리 부족 여부, 응답 시간, 데이터베이스의 느린 쿼리, 전송량을 기록한다. 이후 여유분을 더해 사양을 고르면 된다. 처음부터 가장 비싼 요금제로 올라가도 느린 쿼리나 잘못된 캐시 설정은 그대로 남는다.
비용표에서는 월 서버 요금 외에 백업 보관료, 외부 전송량, 장애 대응 지원 범위를 같이 계산한다. 예를 들어 서버 요금은 낮아도 매일 보관하는 백업과 복구 지원이 별도라면 총비용이 달라진다. 공공 납품처럼 인증 요건이 있는 경우에는 해당 상품의 비용을 포함하고, 그런 요건이 없는 소규모 사이트는 필요한 보안 기능을 갖춘 저가 상품부터 비교하는 편이 합리적이다.
계약 전에는 복원 절차를 직접 확인한다
제가 이전 작업에서 가장 먼저 적는 것은 새 서버 사양이 아니라 되돌릴 순서다. 이전 전날 데이터베이스와 업로드 파일을 각각 백업하고, 새 환경에서 시험 복원을 한다. 그다음 프로그램 버전과 연결 정보를 맞추고, 접속 전환 직전 변경된 데이터만 다시 옮긴다. 문제가 생겼을 때 기존 환경으로 돌아갈 수 있는 시간도 미리 정해 둔다.
- 인증서의 서비스명과 실제 계약 상품이 같은지 확인한다.
- 운영체제, 방화벽, 계정, 데이터베이스의 관리 주체를 적는다.
- 백업 주기와 보관 기간을 확인하고 파일·데이터베이스를 시험 복원한다.
- 장애 연락 창구와 지원 시간을 확인하고 되돌릴 절차를 남긴다.
장애가 나면 우선 서버가 살아 있는지, 최근 배포나 설정 변경이 있었는지, 데이터베이스 연결과 저장 공간에 문제가 없는지 순서대로 확인한다. 이때 복원해 본 백업과 변경 기록이 있으면 대응 속도가 크게 달라진다. 인증은 서비스를 고를 때 유용한 근거다. 실제 운영에서는 인증 범위를 정확히 읽고, 감당할 수 있는 사양을 고르고, 복원 절차를 손에 익혀 두는 쪽이 사이트를 오래 살린다.
