클라우드플레어가 한국의 정보보호 인증인 ISMS를 취득한 과정을 블로그에 공개했다. KISA가 지정한 심사원이 열흘 동안 80개 통제 항목을 점검했으며, 인증서는 Cloudflare, Inc.가 보유한다. 인증은 3년간 유효하고 매년 사후 심사를 받아야 한다.
심사원은 서술형 설명 대신 직접 검토할 수 있는 데이터 흐름도를 요구했고, 내부 시스템과 대시보드 등의 접근 통제를 시험했다. 가입 시 동의 문구도 점검 대상이었다. 한국 가입 화면은 동의 항목을 4개로 나눠 3개는 필수, 마케팅 1개는 선택으로 둔다.
Google·Apple·GitHub 소셜 가입은 클라우드플레어의 동의 양식을 거치지 않아 한국에서는 제공하지 않기로 했다. IP 기반 국가 추정은 VPN 등으로 부정확하므로 사용자가 고른 국가를 우선한다. 심사 주기가 연 단위여서 정책 번역 갱신과 증빙 재수집이 겹쳐 준비에 약 1년 반이 걸렸다.
KISA는 제품 목록이 아니라 서비스 경계로 인증 범위를 정하며, 같은 플랫폼과 운영 조직, ISMS 아래에서 제공되면 포함된다. 인증서에 제품명이 없어 고객이 공급사 검토 때 범위를 확인하기 어렵다는 점은 한계로 꼽혔다.
원문: Cloudflare Blog
이 글은 원문에 담긴 사실을 바탕으로 Raon Community가 새로 작성한 기사입니다. 원문의 저작권은 원저작자에게 있으며, 자세한 내용은 원문에서 확인해 주세요.