KT Cloud 에서 ISMS-P 인증 — 공공·금융 진입 가이드

요약

• KT Cloud 는 공공·금융 시장에 특화된 한국 클라우드. CSAP+ (안전등급+) 최상위 등급을 보유 — 군·국방·정부 핵심망 도입 가능.
• 5년 감사 로그 보존을 기본 제공 (공공기관 의무 충족). 다른 클라우드 는 365일이 표준.
• KT Open API G2 platform 기반 — 토큰 인증 (POST /auth/v3/tokens).
• ISMS-P 178개 점검 항목 중 약 88개 (54%) 자동 매핑. 공공 특화 통제 영역에 강점.

1. KT Cloud 의 시장 위치

KT Cloud 는 공공기관·금융권·국방 시장에 집중하는 전략. NCP 와 함께 한국 공공 클라우드 양강. 점유율은 NCP 보다 약간 낮으나 (약 12%), 다음 영역에서 독보적입니다.

• 군·국방: 국방용 별도 망분리 클라우드 운영 (KT Cloud G-Cloud). 일반 SaaS 가 도입 가능한 G-Cloud 변종.
• 금융권: 5대 시중은행 중 일부가 KT Cloud 활용 중 (FSI 인증 보유).
• 공공기관: CSAP+ 안전등급+ 보유. CSAP 안전등급 (NCP) 보다 한 단계 높은 등급으로 1급 행정정보 처리 가능.

2. CSAP+ 와 ISMS-P 의 관계

CSAP+ 는 한국정보원 (NIA) 이 운영하는 클라우드 보안 인증의 최고 등급입니다. ISMS-P 와 다음과 같이 보완 관계.

SaaS 가 KT Cloud (CSAP+) 를 사용하면 ISMS-P 의 일부 인프라 통제 (2.4 물리 보안, 2.6.4 망 분리) 가 자동 충족. 별도 입증 자료 불필요.

3. ISMS-P 통제 매핑

3.1 사용자 인증·접근통제 (ISMS-P 2.5)

3.2 네트워크·접근통제 (ISMS-P 2.6)

3.3 운영 보안 (ISMS-P 2.9)

4. KT Cloud 의 차별점 — 5년 감사 로그 보존

다른 클라우드는 감사 로그 보존이 365일 (1년) 이 표준이지만, KT Cloud 는 5년 보존을 기본 제공. 공공기관·금융권의 감사 로그 보존 의무 (대부분 5년) 를 별도 작업 없이 충족.

ISMS-P 2.9.1 통제 (로그 관리) 입증 시 5년 보존이 명시되면 심사인의 추가 검토 없이 통과되는 경우가 많습니다. 다른 클라우드의 경우 365일 후 별도 아카이브 (S3 Glacier 등) 로 이전이 필요한데, KT Cloud 는 이 작업이 자동화됨.

5. KT Cloud 통합 시 주의사항

1. Open API G2 platform: KT Cloud 의 새 API 플랫폼. 기존 G1 platform 은 deprecated 예정. K-ISMS 는 G2 만 지원.
2. Token 만료: Access Token 의 기본 만료가 1시간. K-ISMS 가 자동 갱신 처리.
3. Region 명명: KR-Central / KR-East. 멀티 region 사용 시 K-ISMS 에 region별 통합 등록.
4. G-Cloud 분리: 일반 KT Cloud 와 G-Cloud (망 분리 공공) 는 별도 통합. G-Cloud 사용 SaaS 는 별도 K-ISMS 통합 추가.

6. 자주 묻는 질문

Q. KT Cloud 만 쓰는 SaaS 도 K-ISMS 가 필요한가요?

네. KT Cloud 의 CSAP+ 인증은 인프라만 커버. SaaS 자체 (응용프로그램, 데이터 처리) 는 ISMS-P 인증이 별도로 필요합니다. K-ISMS 는 KT Cloud 의 인증 정보를 ISMS-P 입증 자료에 자동 통합.

Q. 공공기관에 SaaS 를 납품하려면?

다음 3가지 인증을 모두 검토: (i) ISMS-P (회사 자체), (ii) 클라우드의 CSAP 또는 CSAP+ (KT Cloud / NCP 권장), (iii) 공공기관 별 별도 보안 검증 (각 기관 정책에 따름). K-ISMS 가 (i) 의 입증 자료를 자동 생성합니다.

7. 관련 글

• Naver Cloud Platform (NCP) 에서 ISMS-P 인증
• NHN Cloud 에서 ISMS-P 인증
• AWS 환경에서 ISMS-P 178개 점검 항목 자동화