클라우드플레어, 한국 ISMS 인증 획득...한국 이용자 가입 동의 4개 항목으로 나누고 소셜 가입 없애

[한국정보기술신문] 미국 네트워크·보안 기업 클라우드플레어(Cloudflare)가 한국의 정보보호 관리체계(ISMS) 인증을 받았다. 회사는 22일(현지시간) 공식 블로그를 통해 이 사실을 알렸다. 한국인터넷진흥원(KISA)이 지정한 심사원이 10일 동안 80개 통제 항목을 점검했다. 클라우드플레어는 인증 준비 과정에서 한국 이용자의 회원 가입 절차를 따로 바꿨다. 준비부터 인증까지는 약 1년 반이 걸렸다.

ISMS는 기업이 정보를 안전하게 지키는 체계를 갖추고 제대로 운영하는지 확인하는 국가 인증이다. 이번 인증은 KISA가 운영하는 ISMS-P 인증 제도 가운데 정보보호 관리체계(ISMS) 인증에 해당한다.

법적 근거는 정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법) 제47조다. 세부 기준과 절차는 같은 법 시행령과 과학기술정보통신부 고시에 담겨 있다.

심사 범위는 보안 정책, 접근 통제, 인증·권한 관리, 암호화 등이다. 사고 대응, 위험 관리, 재해 복구도 포함된다. 심사원은 개인정보가 회사 시스템 안에서 실제로 어떻게 오가는지를 기준으로 이 항목들을 살핀다. 개인정보 보호법 등 국내 법규를 지키는지도 함께 본다.

인증을 받으려면 과학기술정보통신부 산하 기관인 KISA가 지정한 심사원의 독립 심사를 통과해야 한다. 이후 인증위원회 심의를 거친다. 유효기간은 3년이며, 인증을 유지하려면 매년 사후 심사를 받아야 한다.

가장 눈에 띄는 변화는 회원 가입 화면이다. 다른 나라 이용자는 가입 버튼 위 문장 하나로 약관, 개인정보 처리방침, 쿠키 정책에 한꺼번에 동의한다.

한국 이용자에게는 동의 항목이 4개로 나뉘어 표시된다. △서비스 약관(필수) △개인정보 수집 및 이용(필수) △제한된 범위의 개인정보 해외 이전(필수) △제한된 범위의 개인정보 제3자 제공(선택)이다. 항목마다 전문을 볼 수 있는 링크가 붙는다. '모두 동의'를 눌러 한 번에 선택할 수도 있다.

필수 항목 3개를 모두 선택해야 가입 버튼이 눌린다. 선택 항목은 마케팅 정보 수신에 관한 동의다. 이 항목에 동의하지 않아도 가입에는 지장이 없다.

어려웠던 부분은 회사의 가입 양식을 거치지 않는 경로였다. 클라우드플레어는 다른 나라에서 구글, 애플, 깃허브 계정으로 가입하는 기능을 제공한다. 이 방식은 외부 업체의 인증 화면을 거친다. 그래서 동의 항목을 하나씩 보여주고 확인받을 단계가 없다.

회사는 한국만을 위한 별도 동의 절차를 새로 만드는 대신 이런 경로를 없애는 쪽을 택했다. 이에 따라 한국에서는 소셜 계정 가입이 제공되지 않는다. 한국에서 만들어지는 모든 계정은 필수 동의 항목이 있는 가입 양식을 거친다. 동의 절차는 분명해졌지만, 한국 이용자는 다른 나라 이용자와 달리 간편 가입을 쓸 수 없게 됐다.

어떤 가입 화면을 보여줄지는 두 가지 정보로 정한다. 하나는 접속 IP 주소로 추정한 국가 정보다. 다른 하나는 이용자가 가입할 때 직접 고른 국가다.

클라우드플레어는 IP 기반 위치 추정에는 한계가 있다고 설명했다. 해외에 머무는 한국 거주자는 한국 IP로 접속하지 않을 수 있다. 가상사설망(VPN)을 쓰거나 이동통신사 망을 거치는 경우에도 위치가 다르게 잡힐 수 있다.

이 때문에 IP 정보는 처음 보여줄 화면만 정한다. 이용자가 고른 국가가 있으면 그것이 최종 기준이 된다. 블로그 글을 쓴 클라우드플레어 카빈 칼란(Kabin Calan)은 "IP 주소는 요청이 어디서 왔는지 알려줄 뿐, 거주지는 이용자만 알려줄 수 있다"고 밝혔다.

심사는 데이터 흐름 검토에서 시작됐다. 클라우드플레어는 직원이 개인정보에 접근할 수 있는 모든 경로를 그린 상세 흐름도를 제출했다. 회사에 따르면 심사원은 글로 된 설명 대신 직접 읽고 따져볼 수 있는 도식을 요구했다.

심사원은 흐름도마다 접근 통제 단계를 하나씩 살피고 실제로 작동하는지 시험했다. 점검 대상에는 내부 시스템, 공개 웹사이트, 행사 페이지, 고객용 대시보드가 포함됐다. 이용자 정보가 처음 수집될 때부터 파기될 때까지 전 과정을 다뤘다. 흐름도는 기밀이라는 이유로 공개되지 않았다.

가입 화면의 정확한 문구와 안내 구조도 심사 대상이었다. 심사원은 동의 항목이 따로, 또 알기 쉽게 제시되는지 확인했다.

ISMS 심사는 1년 단위 기간을 기준으로 한다. 모든 증빙 자료와 시스템이 그 기간의 상태를 보여줘야 한다. 클라우드플레어의 준비 작업은 한 심사 연도를 넘겨 다음 해까지 이어졌다.

이 때문에 회사는 바뀐 정책을 새 심사 연도에 맞춰 다시 번역했다. 증빙 자료도 다시 모아 재평가했다. 개인정보 처리방침은 고쳐서 다시 게시했다. 그사이 마케팅·웹사이트 팀이 바꾼 디자인도 반영해야 했다.

클라우드플레어는 이미 ISO/IEC 27001, 27701, 27017, 27018 등 국제 인증을 보유하고 있다. 회사는 ISMS가 이들을 대신하지 않는다고 설명했다. 같은 원칙에 한국 규제 요건을 더한 인증이라는 것이다.

인증 범위를 정하는 방식도 다르다. 미국 SOC 2 보고서나 ISO 27001 인증서에는 대상 서비스의 이름이 적힌다. 반면 KISA는 인증 범위를 제품 목록이 아닌 '서비스 경계'로 정한다. 경계는 서비스를 운영하는 조직과 절차, 서비스가 돌아가는 기반 시설, 그 안의 정보 자산과 개인정보 흐름으로 이뤄진다.

따라서 어떤 제품이 인증받은 플랫폼에서, 같은 팀과 같은 관리체계로 제공되면 인증 범위에 들어간다. 인증서는 미국 법인인 클라우드플레어(Cloudflare, Inc.)가 보유한다.

회사는 이번 인증이 국내 기업의 법무·보안·구매 부서에 국내 기준의 보증 자료가 될 것이라고 밝혔다. 외부 업체의 보안 위험을 평가하거나 자체 규제 점검을 준비할 때 근거로 쓸 수 있다는 설명이다.

인증 사실은 KISA의 ISMS-P 인증 현황 공개 목록에서 확인할 수 있다. 개인정보 보호 관련 자료는 클라우드플레어 트러스트 허브(Trust Hub)에 공개돼 있다.

클라우드플레어는 ISMS가 다른 인증보다 더 어렵다기보다 한 지역의 규제 요구를 더 세밀하게 반영한 인증이라고 평가했다. 또 인증 과정에서 한국어, 한국식 동의 절차, 국내 개인정보 보호 요건을 문서뿐 아니라 제품 동작에도 반영하게 됐다고 덧붙였다.