28일 한국정보산업연합회는 공공 SW 사업의 원격 수행 활성화와 보안 요건 강화를 위해 '공공 SW 용역 원격 수행 보안 환경요인 및 체크리스트'를 발표했다.
이는 2020년 개정된 SW 진흥법에 따라 공공 SW 사업 수행 장소에 대한 규정이 보완되었음에도, 여전히 원격지 개발 방식이 활성화되지 않은 상황을 반영한 조치다. 이번 체크리스트는 원격으로 SW 사업이 진행될 경우 필수적으로 요구되는 보안 요건을 명확히 정의하고 실무에 적용할 수 있도록 가이드라인을 제공한다.
SW 원격 수행은 크게 원격지 개발, 원격지 온라인 개발, 온라인 유지보수의 세 가지 유형으로 나눴다. 원격지 개발은 용역업체가 발주기관 내외부가 아닌 독립된 장소에서 개발을 수행하는 방식이다. 이 경우 용역업체는 독립적인 개발 네트워크를 구축해야 하고 개발자가 발주기관의 운영 시스템에 직접 접근하지 못하도록 차단하는 것이 원칙이다.
원격지 온라인 개발은 개발자가 원격지에서 발주기관의 개발 서버에 접속해 작업을 수행하는 방식이다. 이를 위해 사전에 물리적·기술적 보안 대책이 마련돼야 한다. 발주기관의 개발망은 업무망과 분리하여 관리하고, 개발자는 실 운영 데이터를 사용하지 않는 것이 원칙이다.
온라인 유지보수는 발주기관이 운영 중인 정보시스템에 대해 원격으로 유지보수 서비스를 제공하는 형태다. 유지보수는 전용 단말기를 통해서만 수행할 수 있으며, 보안 대책을 강화하여 원격 접근이 이루어지도록 관리해야 한다.
또 이번 체크리스트는 원격 수행 시 필요한 보안 환경 요건을 작업장, 인프라, 클라우드 컴퓨팅 서비스 측면에서 분석했다. 작업장은 물리적 보안을 중심으로 △장소 선정 △출입 보안 △인적 보안 △사업 완료 후 보안 조치를 포함한다. 인프라 요건에서는 개발 장비와 네트워크 보안을 중점적으로 다룬다. 이를 위해 개발용 PC와 유지보수 단말기, 휴대용 저장 매체, 정보시스템 등 각각에 대한 보안 지침이 마련됐다. 또 민간 클라우드 컴퓨팅 서비스 이용 시에는 작업장과 인프라 요건을 동일하게 적용하고, 국가 클라우드 보안 가이드라인을 준수하도록 했다.
한국정보산업연합회는 "SW 사업의 특성상 시간과 공간의 제약을 줄이고, 자유로운 원격 사업 수행을 가능하게 하며 변화하는 클라우드 환경에 대응하기 위한 공공 SW 사업 방식을 혁신하고자 한다"며 "이번 체크리스트가 공공 SW 사업에서 원격 수행 방식을 활성화하고 보안 요건 준수를 지원할 것으로 기대한다"고 밝혔다.
유진아기자 gnyu4@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
