1. ISO/IEC 27017: 클라우드 서비스 정보보안 통제

ISO/IEC 27017:2015는 클라우드 서비스의 제공·이용 전 과정에서 적용해야 할 정보보안 통제에 대한 가이드라인을 제시합니다.

기존의 일반 정보보안 통제(ISO/IEC 27002 기반)를 클라우드 관점에서 다시 해석하고,

주요 역할과 특징

1. 역할과 책임의 명확화

   • 클라우드 서비스 제공자(CSP)와 고객(CSC) 간에 어떤 보안 책임을 누가 부담하는지 명확히 구분하는 기준을 제공합니다.
     예를 들어, 물리적 보안, 가상 자원 접근 통제, 로그 관리 등 각 영역별로 CSP와 CSC의 책임을 구체적으로 나누어 설명합니다.

     
     

2. 클라우드 특화 통제 7가지 추가
   ISO/IEC 27017은 ISO 27002에는 없는 클라우드 전용 통제를 7가지 추가로 제시합니다. 대표적으로 다음과 같은 내용이 포함됩니다.

   • 가상 컴퓨팅 환경의 격리(가상 환경에서 테넌트 간 자원 분리)

   • 고객 클라우드 자산의 안전한 제거(서비스 해지 시 데이터 삭제·반환 절차)

   • 가상 머신 강화(VM 초기 보안 설정, 패치, 이미지 관리 등)

   • 관리자와 고객 사이의 관리 콘솔 접근 및 책임 구분 등

3. 
   

   적용 대상의 범위

   • 퍼블릭, 프라이빗, 하이브리드 클라우드를 포함해 대부분의 클라우드 모델에 적용 가능하며,

   • **클라우드 서비스 제공자(CSP)**와 클라우드 서비스 고객(CSC) 모두가 적용할 수 있도록 설계되어 있습니다.

     
     

ISO 27017 인증의 가치

• 클라우드 환경에서 정보 자산을 보호하기 위한 체계적 통제 구조를 갖추었음을 대외적으로 입증할 수 있습니다.

• 클라우드 서비스를 이용하거나 제공하는 고객·파트너에게 국제 기준에 부합하는 보안 수준을 충족하고 있음을 보여줌으로써, 신뢰도와 경쟁력을 동시에 강화하는 수단이 됩니다.

  
  

  
  

  
  

  2. ISO/IEC 27018: 클라우드 내 PII(개인 식별 정보) 보호

  ISO/IEC 27018:2019는 퍼블릭 클라우드 환경에서 **개인 식별 정보(PII: Personally Identifiable Information)**를

  처리하는 클라우드 서비스 제공자를 위한 실행 강령입니다.

  ISO 27017이 클라우드 전반의 정보보안을 다룬다면,

  ISO 27018은 그 중에서도 특히 개인정보 보호에 초점을 맞춘 표준이라고 볼 수 있습니다.

  
  

  주요 역할과 특징

  1. 개인정보 보호에 특화된 통제

     • 일반적인 정보보안 통제를 넘어, 개인정보의 수집·이용·보관·삭제 전 과정에서
       개인정보를 어떻게 보호해야 하는지에 대한 구체적인 가이드를 제공합니다.

  2. 
     

     개인정보 처리 원칙의 클라우드 적용
     ISO 27018은 각국 개인정보보호법의 기본 원칙을 클라우드 맥락에 맞추어 반영하고 있습니다.

     예를 들어 다음과 같은 원칙들입니다.

     • 동의 및 선택(정보주체가 자신의 정보 처리에 대해 선택권을 가질 수 있도록 할 것)

     • 목적의 적법성과 명확성(수집 목적을 분명히 하고 그 범위를 넘지 않도록 할 것)

     • 투명성(개인정보 처리 방식과 위치, 위탁 여부 등을 투명하게 공개할 것)

     • 데이터 최소화(필요 최소한의 정보만 수집·보유할 것)

     • 사용·보유·공개 제한(보유기간 관리, 제3자 제공 통제 등)

       
       

  3. 상업적 이용에 대한 제한

     • 클라우드 서비스 제공자가 고객의 PII를 광고, 마케팅, 프로파일링 등의 목적으로 임의 활용하지 못하도록 제한하는 통제가 포함됩니다.

     • 이를 통해 고객은 “내 정보가 서비스 목적 외에 함부로 쓰이지 않는다”는 신뢰를 가질 수 있습니다.

  4. 
     

     규제 대응 지원

     • 유럽의 GDPR을 비롯한 강화된 개인정보보호 규제에 대응해야 하는 기업에게 ISO 27018은 매우 실질적인 준거 틀로 활용될 수 있습니다.

     • 글로벌 서비스 운영 시 각국 규제 기관 및 고객사에게 개인정보보호 수준을 설명할 때, 국제 표준 기반의 근거를 제시할 수 있습니다.

  
  

  ISO 27018 인증의 가치

  • 퍼블릭 클라우드에서 처리되는 고객의 개인정보가 국제적으로 인정된 기준에 따라 관리·보호되고 있음을 보여줍니다.

  • 개인정보 유출 사고로 인한 평판 리스크, 규제 리스크, 손해배상 리스크를 줄이는 데 중요한 예방 장치로 기능합니다.

    
    

    
    

  3. 클라우드 신뢰 확보를 위한 쌍두마차

  • ISO 27017과 ISO 27018은 모두 ISO 27001 기반 확장 표준입니다.
    두 표준을 함께 도입하고 인증까지 확보할 경우, 조직은 다음과 같은 메시지를 시장에 전달할 수 있습니다.

    • “우리 조직은 클라우드 환경에서의 **정보보안(Security)**과 개인정보보호(Privacy) 두 축을 모두 국제 기준 수준으로 관리하고 있다.”
      “클라우드 인프라와 서비스 전반에서 보안·개인정보 체계를 시스템적으로 운영하고 있으며, 이를 제3의 인증기관으로부터 검증받았다.”

    이는 단순한 인증 취득을 넘어, 클라우드 기반 서비스를 제공하거나 이용하는
    기업의 비즈니스 신뢰도와 파트너십 경쟁력을 높이는 핵심 수단이 됩니다.

    
    

    4. 한국준법진흥원의 지원 방향

    한국준법진흥원은 ISO 27001, 27017, 27018 등 정보보호 및 개인정보보호 관련 국제 표준에 대한 이해와
    심사 경험을 바탕으로, 다음과 같은 방식으로 귀사를 지원할 수 있습니다.

    • 클라우드 보안·개인정보보호 관점에서의 현황 진단 및 갭 분석

    • ISO 27001과 연계한 27017·27018 통합 체계 설계

    • CSP·CSC 역할 분담을 고려한 실무 절차 정비 및 통제 설계

    • 실제 클라우드 운영 구조를 반영한 문서화·운영 증적 구축 컨설팅

    • 인증 준비를 위한 사전 모의심사 및 개선 코칭

    글로벌 수준의 클라우드 신뢰를 만들고 싶다면, 귀사의 서비스 방식과 시스템 구조에 꼭 맞는 인증 방향을 함께 잡아드리겠습니다.

    
    

  5. 문의처

  • • 전화: 02-6334-0065

    • 이메일: kci@grc.or.kr