ISO/IEC 27017로 설계하는 클라우드 정보보호 통제
ISO/IEC 27017의 클라우드 특화 통제, 책임 공유 모델, 인증 과정과 CSP·CSC 운영 시 고려할 보안 관리 기준을 정리한다.
2026-08-14 · 최초 발행 2025-06-28
클라우드 환경에 맞춘 ISO/IEC 27017
ISO/IEC 27017은 클라우드 서비스 환경을 대상으로 하는 정보보호 통제 가이드라인이다. 2015년 12월 제정됐으며, ISO/IEC 27002를 기반으로 클라우드 서비스에 필요한 추가 통제항목을 제공한다.
이 가이드라인은 클라우드 서비스 제공자(CSP)뿐 아니라 클라우드 서비스 고객(CSC)에도 적용할 수 있다. IaaS, PaaS, SaaS 전반에서 사용할 수 있는 통제 체계를 제시한다는 점이 특징이다.
일반적인 정보보호 관리체계만으로는 클라우드의 책임 공유 모델, 멀티테넌시, 국가 간 데이터 이동과 데이터 주권 문제를 충분히 다루기 어렵다. ISO/IEC 27017은 이런 환경에서 보안 책임을 나누고, 데이터 분리와 규제 준수를 검토하기 위한 기준을 제공한다.
기존 통제를 클라우드 운영에 연결하는 방식
ISO/IEC 27017은 ISO/IEC 27002의 14개 통제 영역, 35개 통제 목표, 114개 통제 항목을 바탕으로 한다. 기존 통제에 클라우드 환경에서의 구현 지침을 더하고, 클라우드에 특화된 7개의 추가 통제항목을 둔다.
책임 경계와 자산 수명주기를 통제한다
CLD.6.3.1은 CSP와 CSC 사이의 책임 범위를 명확히 정하도록 요구한다. 서비스 수준 협약(SLA)에는 보안 책임 경계를 명시적으로 포함해야 한다. AWS의 책임 공유 모델은 인프라 보안은 AWS가, 데이터와 접근 제어는 고객이 책임지는 방식으로 이를 구분한다.
CLD.8.1.5는 계약 종료 시 고객 데이터와 자산을 안전하게 반환하거나 완전히 제거하는 절차를 다룬다. 데이터 삭제를 검증하는 방법과 증거 제공 방안도 명시해야 한다. Microsoft Azure는 고객 계약 종료 시 90일 내 데이터 완전 삭제 및 삭제 증명서 발급 절차를 운영한다.
테넌트 분리와 가상화 계층을 다루는 통제
CLD.9.5.1은 멀티테넌트 환경에서 고객 간 논리적·물리적 분리를 보장하는 통제다. 테넌트 간 데이터 유출을 막기 위해 접근통제와 격리 기술을 적용한다. Google Cloud에서는 VPC(Virtual Private Cloud)를 통한 네트워크 분리와 프로젝트별 접근 권한 설정이 구현 예시가 된다.
CLD.9.5.2는 가상 머신 이미지의 보안 설정과 강화 조치, 하이퍼바이저 및 가상화 플랫폼의 취약점 대응을 다룬다. VMware의 보안 강화 가이드라인에 따른 ESXi 호스트 및 가상 머신 보안 설정 적용이 이에 해당한다.
관리자 활동과 서비스 상태를 계속 관찰한다
CLD.12.1.5는 클라우드 서비스 관리자의 활동을 모니터링하고 로깅하도록 한다. 관리자 권한 남용을 막기 위한 통제 체계도 필요하다. AWS CloudTrail을 통한 관리자 활동 로깅 및 이상 행위 탐지 시스템 구축이 예시다.
CLD.12.4.5는 서비스 상태와 성능을 모니터링하고, 보안 사고 탐지를 위한 지속적인 감시 체계를 요구한다. Azure Security Center를 통한 실시간 보안 위협 모니터링과 경보 체계 운영이 구현 사례다.
CLD.13.1.4는 가상 네트워크의 구성 및 변경 관리, 컨테이너와 가상 머신 사이의 네트워크 동기화를 다룬다. Kubernetes 네트워크 정책으로 파드 간 통신을 제어하고 네트워크 세그먼테이션을 구현하는 방식이 여기에 포함된다.
인증 심사까지 이어지는 관리 흐름
인증은 현재 정보보호 관리체계와 요구사항의 차이를 분석하는 데서 시작한다. 이후 클라우드 보안 정책·절차·지침을 문서화하고, 내부 감사를 통해 구현된 통제의 효과성을 평가한다. 발견된 문제는 시정 조치로 개선한 뒤 공인 인증 기관을 선정한다.
1단계 심사에서는 문서 검토와 준비도 평가가 이뤄지고, 2단계 심사에서는 현장 방문을 통해 통제 이행을 검증한다. 심사에서 발견된 부적합 사항을 시정하면 ISO/IEC 27017 인증서를 발급받을 수 있다. 인증 이후에도 정기 심사와 지속적 개선을 통한 사후 관리가 필요하다.
다른 보안 표준 및 규제와의 접점
ISO/IEC 27017은 독립 인증이 가능하지만, 대부분 ISO/IEC 27001 인증과 함께 진행된다. ISO/IEC 27001의 ISMS 프레임워크를 클라우드 환경에 맞춰 확장하는 성격이며, 리스크 평가와 관리 방법론은 ISO/IEC 27001을 따르되 클라우드 특성을 고려한 리스크 식별이 필요하다.
CSA(Cloud Security Alliance)의 STAR(Security, Trust & Assurance Registry) 인증은 ISO/IEC 27017과 상호 보완적이다. STAR는 클라우드 보안에 특화된 CCM(Cloud Controls Matrix)을 기반으로 하며, 두 인증을 함께 획득하면 포괄적인 클라우드 보안 체계를 입증할 수 있다.
ISO/IEC 27017 준수는 GDPR 등 개인정보보호 규제에 대응하기 위한 기반도 제공한다. 클라우드 환경에서 데이터 처리자(Processor)와 컨트롤러(Controller)의 책임을 구분하는 데 도움이 되며, 국가 간 데이터 이전과 데이터 현지화 요구사항 준수도 지원한다.
국내 클라우드 및 금융권의 적용
네이버 클라우드는 2018년 국내 최초로 ISO/IEC 27017 인증을 획득했다. KT 클라우드는 2019년 G-Cloud 서비스에 대해 인증을 획득했고, NHN은 2020년 토스트 클라우드 서비스의 인증을 획득했다. 각 업체는 이를 통해 클라우드 보안 신뢰성을 확보하고 글로벌 시장 경쟁력을 강화했다.
금융권에서도 적용 사례를 찾을 수 있다. 신한은행은 프라이빗 클라우드 환경에 ISO/IEC 27017 통제를 적용했고, KB국민은행은 하이브리드 클라우드 전환 시 보안 프레임워크로 이를 채택했다. 금융보안원은 금융권 클라우드 도입 가이드라인에서 ISO/IEC 27017 기반 통제를 권고한다.
CSC와 CSP가 확인할 운영 조건
CSC는 서비스를 선택할 때 ISO/IEC 27017 인증 여부를 확인하고, SLA에 적힌 보안 책임 경계를 정확히 이해해야 한다. 자체 통제 영역의 보안 관리 체계를 갖추는 일도 고객의 몫이다. 서비스 종료나 전환 시나리오에 따른 데이터 관리 전략, 규제 준수를 위한 CSP 지원 범위도 사전에 파악해야 한다.
CSP는 멀티테넌시 환경에서 고객 데이터 분리 메커니즘을 강화하고, 투명한 보안 책임 모델과 문서를 제공해야 한다. 고객별 보안 통제 옵션, 자동화된 컴플라이언스 모니터링 및 보고 체계, 다양한 규제 환경에 대응할 수 있는 유연한 통제 프레임워크도 운영 범위에 들어간다.
하이브리드·멀티 클라우드 환경에서는 클라우드 전반에 일관된 보안 정책을 적용해야 한다. 통합 ID 및 접근 관리, 클라우드 간 데이터 이동 시 통제 유지, 일관된 모니터링과 로깅 전략, 복합적인 책임 모델 관리가 함께 요구된다.
표준이 따라가야 할 변화
클라우드 기술 변화 속도를 표준이 따라가지 못하는 경우가 있으며, 컨테이너화와 서버리스 컴퓨팅 같은 최신 기술에 대한 구체적 통제는 부족한 상태다. 멀티 클라우드의 통합 보안 관리와 국가별 규제 연계에 관한 지침도 미흡한 부분으로 남아 있다.
향후에는 DevSecOps와 지속적 보안 통합 지침이 강화될 전망이다. AI/ML 기반 클라우드 보안 자동화 통제의 추가, 클라우드 네이티브 보안 프레임워크와의 통합, 국제 데이터 주권 이슈 대응, 제로 트러스트 아키텍처를 반영한 접근통제 체계의 발전도 예상된다.
ISO/IEC 27017은 CSP와 CSC의 책임을 분명히 하면서 멀티테넌시와 가상화 같은 클라우드 특성을 통제 체계에 반영한다. 클라우드 도입 조직은 이 기준을 바탕으로 책임 경계, 데이터 관리, 분리, 모니터링을 연결한 보안 관리 전략을 수립할 수 있다.