클라우드플레어, 한국 정보보호관리체계(ISMS) 인증 획득 및 가입 절차 개편

국내 규제 기준 충족

클라우드플레어가 한국인터넷진흥원이 주관한 심사를 거쳐 정보보호관리체계(ISMS) 인증을 취득했다. 심사원은 열흘 동안 80개 통제 항목을 점검하며 클라우드플레어의 보안 및 개인정보 보호 통제가 국내 법률과 한국어 환경, 규제 기준에 맞춰 작동하는지 확인했다. 이번 인증은 과학기술정보통신부 소관 법령인 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제47조 및 관련 고시에 근거해 진행됐다.

해당 인증은 3년간 유효하며 효력을 유지하려면 매년 사후 심사를 받아야 한다. 클라우드플레어는 기존에 여러 국제 표준 인증을 보유하고 있었으나, 한국의 독자적인 규제 요구사항을 충족하기 위해 별도의 심사 과정을 거쳤다. 준비 기간은 심사 연도를 넘기며 1년 6개월 동안 이어졌으며 정책 재번역과 증적 재수집 등의 과정을 수반했다.

가입 절차와 동의 구조

이번 인증 과정에서 가장 두드러지게 변경된 부분은 계정 생성 화면이다. 통상적인 단일 포괄 동의 방식 대신 한국 사용자를 대상으로는 필수 항목 3개와 선택 항목 1개로 구성된 4단계 개별 동의 체계가 적용됐다. 필수 항목에는 제한된 범위의 개인정보 국외 이전이 포함되며, 선택 항목에는 마케팅 목적의 제3자 제공 동의가 배정됐다.

필수 동의 3개 항목은 모두 직접 선택하지 않으면 계정 생성 버튼이 활성화되지 않는 엄격한 차단 구조로 구현됐다. 반면 마케팅 동의 항목은 선택하지 않아도 계정 생성에 영향을 주지 않는다. 전체 약관을 하나로 묶어 처리하던 기존 방식과 달리 각 항목별로 전문을 확인할 수 있는 연결 경로가 함께 제공된다.

소셜 로그인 차단 배경

클라우드플레어는 구글, 애플, 깃허브 등 외부 신원 제공자를 통한 소셜 로그인 기능도 점검 대상에 올렸다. 외부 인증 흐름에서는 자체 가입 양식을 거치지 않아 필수 동의 항목 3개를 사전에 제시하고 동의를 강제하기 어렵다는 기술적 한계가 존재했다. 외부 인증 화면의 제어권을 직접 가질 수 없었기 때문이다.

인증 이후 별도의 동의 화면을 추가 개발하는 대신, 클라우드플레어는 한국 지역에서 소셜 로그인 경로를 완전히 배제하는 방식을 택했다. 이에 따라 한국에서 생성되는 모든 계정은 자체 가입 양식을 거쳐야 하며, 이를 통해 법적 필수 동의를 누락 없이 징구하도록 단일 경로를 유지한다.

접속 판별 방식과 보완

한국 사용자 화면 적용 여부는 사용자의 접속 인터넷 주소(IP) 기반 지리 정보와 사용자가 직접 선택한 국가 정보를 조합해 결정된다. 시스템은 요청 헤더에 포함된 두 자리 국가 코드를 확인해 분기 처리를 수행한다. 이는 별도의 외부 조회 서비스 없이 내부 네트워크 신호를 통해 처리된다.

하지만 접속 주소 기반 위치 추정은 이동통신사 네트워크 주소 변환이나 가상사설망(VPN) 사용, 해외 체류 등으로 인해 오차가 발생할 수 있다. 이에 따라 클라우드플레어는 주소 기반 위치를 기본값으로 사용하되, 가입 시 사용자가 명시적으로 선택한 국가 정보를 우선하도록 설정해 예외 상황을 보완했다.

심사 대상과 증적 요건

인터넷진흥원 심사단은 개인정보보호법과 관련 지침을 바탕으로 보안 정책, 접근 제어, 권한 관리, 암호화, 사고 대응, 재해 복구 등 데이터의 전 과정을 다각도로 평가했다. 특히 서술형 설명서 대신 사내 시스템, 공개 웹사이트, 대시보드 전반에 걸친 데이터 이동 경로 다이어그램을 요구했다.

심사 과정에서는 임직원이 개인정보에 접근할 수 있는 모든 경로와 접근 제어 계층의 유효성이 집중 검증됐다. 더불어 가입 시 표시되는 고지문의 정확한 한국어 어휘, 문구 구조, 분리 제시 요건의 준수 여부 등 세부적인 표기 사항까지 엄격한 검토가 이뤄졌다.

서비스 경계 중심의 인증 범위

이번 인증은 개별 제품명을 나열하는 일반적인 보고서 형태가 아니라 서비스 경계를 기준으로 부여됐다. 제출된 범위 기술서는 서비스를 운영하는 조직과 프로세스, 운영 플랫폼 및 네트워크 인프라, 관리 통제 대상 정보 자산 등 세 가지 영역으로 서비스 경계를 정의한다.

따라서 고객이 이용하는 제품이 인증된 플랫폼에서 구동되고 동일한 조직과 관리 체계의 통제를 받는다면 명시적인 제품명 기재 여부와 관계없이 인증 범위에 포함된다. 인증 등록 사실은 한국인터넷진흥원의 공개 명부를 통해 직접 확인할 수 있다.