공공기관 클라우드서비스 검토 | AWS 사례로 보는 CSAP 인증 범위 대조법
서비스 구성·인증 범위·도입 요건을 대조하는 개념도 클라우드서비스를 검토할 때는 사업자의 인증 안내만 보고 도입 가능 여부를 결정하지 말고, 실제 사용할 서비스와 리전이 안내된 인증 범위에 들어가는지 대조해야 합니다. AWS는 공식 CSAP 안내에서 인증 범위에 포함되는 서비스를 별도 목록으로 확인하도록 하고, 적용 리전도 명시합니다. 이 글은 공공기관 정보화 담당자와 보안 검토자가 후보 서비스의 증빙을 정리하는 방법을 다룹니다. AWS 공식 안내를 사례로 인증 범위를 읽는 순서를 설명하며, 특정 기관의 도입 허용 여부나 개별 인증의 현재 유효 상태를 확정하는 글은 아닙니다. 사업자명보다 실제 사용할 서비스가 먼저다 AWS는 CSAP를 KISA가 운영하며 클라우드컴퓨팅서비스를 정해진 보안기준에 따라 평가하는 인증제도로 설명합니다. 여기서 도입 검토자가 구분해야 할 것은 ‘사업자의 인증 안내가 있다’는 사실과 ‘이번에 제안받은 서비스가 그 인증 범위에 포함된다’는 사실입니다. AWS 공식 안내는 인증 범위에 포함되는 서비스를 AWS Services in Scope by Compliance Program 목록에서 확인하도록 합니다. 또한 CSAP 요건이 적용되는 공공기관은 해당 범위 목록에 없는 AWS 서비스를 사용할 수 없다 고 명시합니다. 이는 해당 조건에 대한 AWS의 안내이며, 모든 기관과 모든 업무의 허용·금지를 일괄 판정하는 근거로 확대해서는 안 됩니다. 따라서 공급사에 “CSAP 인증이 있습니까?”라고만 묻기보다는 “이번 제안에 포함된 각 서비스가 어느 인증 범위 자료에 대응합니까?”라고 질문하는 편이 검토에 도움이 됩니다. 업무·서비스·리전 순서로 대조하기 처음부터 인증 문서만 읽기보다, 도입하려는 업무와 제안 구성을 먼저 정리하면 대조할 대상을 분명히 할 수 있습니다. 다음은 검토표를 만드는 실무 순서입니다. 도입 업무를 적습니다. 어떤 업무를 옮기는지, 어떤 데이터를 처리하는지, 외부 시스템과 어떤 연결이 필요한지 정리합니다. 이 단계는 인...
