교육 담당자가 LMS 도입 품의를 올리면 대개 한 단계가 더 붙습니다. 정보보안팀 검토, 또는 발주처가 내려보낸 제안요청서의 보안 요구사항입니다. 결론부터 말하면 이 조항들은 크게 다섯 갈래로 갈리고, 담당자가 할 일은 조항을 전부 이해하는 것이 아니라 어느 갈래인지 분류해 답할 사람을 붙이는 것입니다. 암호화 방식이나 로그 저장 구조는 업체가 답할 영역이고, 계정을 몇 명에게 줄지와 이력을 얼마나 보관할지는 우리가 답할 영역입니다. 이 글은 발주서에 자주 나오는 조항이 실제로 무엇을 요구하는지 번역하고, 그것을 어떤 순서로 처리하는지 정리합니다. 요구사항을 우리가 직접 작성하는 쪽은 LMS 제안요청서(RFP) 쓰는 법에서 따로 다뤘습니다.
교육 담당자가 보안 조항 앞에서 멈추는 이유
문장이 어려워서가 아닙니다. 누가 답해야 하는 질문인지가 안 적혀 있기 때문입니다.
"전송구간 및 저장 시 암호화를 적용한다"는 문장을 받으면 담당자는 업체에 그대로 전달합니다. 그런데 바로 다음 줄의 "관리자 권한은 최소한으로 부여하고 정기적으로 점검한다"는 업체에 물어도 답이 나오지 않습니다. 이건 우리가 운영 규칙으로 정할 일입니다. 두 문장이 같은 목록에 나란히 있어서 담당자는 어디까지가 자기 몫인지 모른 채 전체를 업체로 넘기고, 업체는 절반만 답해서 돌려보내고, 검토는 한 바퀴 더 돕니다.
여기에 시간 압박이 겹칩니다. 보안 검토는 대개 도입 일정의 마지막에 붙는데, 그때는 이미 예산과 시기가 정해져 있습니다. 분류를 먼저 하면 이 왕복이 한 번으로 줄어듭니다.
보안 요구사항은 다섯 갈래로 갈린다
받은 문서의 보안 항목을 아래 다섯 개 상자에 나눠 담는 것부터 시작합니다. 조항 하나가 두 갈래에 걸치면 양쪽에 적어 둡니다.
| 갈래 | 자주 나오는 표현 | 실제로 묻는 것 | 답할 주체 |
|---|---|---|---|
| ① 인증·자격 | 클라우드 보안인증 취득 서비스, 정보보호 관리체계 인증 보유 | 이 서비스가 공적 심사를 통과했는가 | 업체(증빙 제출) |
| ② 접근통제 | 망분리 환경 접속, 관리자 2차 인증, IP 제한, 최소권한 부여 | 누가 어디서 무엇을 볼 수 있는가 | 업체(기능) + 우리(운영 규칙) |
| ③ 데이터 보호 | 전송·저장 암호화, 국내 보관, 백업, 계약 종료 시 반환·파기 | 데이터가 어디에 어떤 상태로 있는가 | 업체(구조) + 우리(보관 기간) |
| ④ 로그·감사 | 접속기록 보관, 위·변조 방지, 이상행위 점검 | 사고가 났을 때 되짚을 수 있는가 | 업체(기능) + 우리(점검 주기) |
| ⑤ 운영·인력 | 보안 담당자 지정, 취약점 점검 이행, 재위탁 사전 승인, 사고 통지 시한 | 사람과 절차가 갖춰져 있는가 | 업체(체계) + 우리(승인 절차) |
다섯 갈래 중 온전히 업체 몫인 것은 ①뿐입니다. 나머지 넷은 기능과 운영 규칙이 붙어 있어서 어느 한쪽만으로는 답이 완성되지 않습니다. 이 사실을 모른 채 전체를 업체에 넘기면 답변서가 절반만 채워져 돌아옵니다.
조항 하나를 처리하는 순서
분류가 끝나면 조항마다 아래 흐름을 한 번씩 태웁니다. 판정이 세 갈래로 갈리는 것이 핵심입니다.
②번 단계가 실무에서 가장 값을 합니다. 수단이 지정된 조항과 목적이 적힌 조항은 협의 여지가 다릅니다. "망분리 환경에서 접속 가능해야 한다"는 수단이고, "외부 인터넷 구간에서 학습자 개인정보에 접근할 수 없어야 한다"는 목적입니다. 목적형 조항은 접근통제와 로그로 답할 여지가 있지만, 수단형 조항은 그 수단을 갖추거나 발주처에 대체 가능 여부를 물어야 합니다.
자주 나오는 조항을 번역하면
실제 문서에서 반복해 만나는 표현들입니다. 왼쪽 문장을 만나면 오른쪽을 확인하시면 됩니다.
| 조항 표현 | 실제로 요구하는 것 | 무엇을 확인하나 |
|---|---|---|
| 클라우드 보안인증을 취득한 서비스일 것 | 공적 심사를 통과한 서비스인지 | 인증 보유 여부와 인증 범위. 회사가 아니라 우리가 쓸 서비스가 범위 안인지 확인한다 |
| 망분리 환경에서 접속 가능할 것 | 업무망에서만 관리자 화면에 들어오게 | 수단형 조항이다. 대체 통제(전용회선·IP 제한·2차 인증)로 협의 가능한지 발주처에 질의 |
| 개인정보는 국내에 저장·보관할 것 | 데이터센터 소재지 | 운영 서버뿐 아니라 백업본과 로그의 위치까지. 백업만 해외인 경우가 실제로 있다 |
| 전송구간 및 저장 시 암호화를 적용할 것 | 회선 암호화와 저장 데이터 암호화 | 어떤 항목이 암호화 대상인지. 주민번호·비밀번호만인지 이력 전체인지 범위를 묻는다 |
| 접속기록을 일정 기간 보관하고 위·변조를 방지할 것 | 누가 언제 무엇을 조회했는지의 기록 | 보관 기간은 처리하는 정보의 유형·규모에 따라 규정이 달리 정하고 있으므로 소관 고시를 확인한다. 시스템 쪽은 기록이 남는 범위와 다운로드 가능 여부 |
| 관리자 계정에 2차 인증을 적용할 것 | 비밀번호 외 추가 인증 수단 | 지원 방식(문자·앱·메일)과 관리자 유형별로 강제할 수 있는지 |
| 권한은 최소한으로 부여하고 정기 점검할 것 | 우리 운영 규칙 | 업체가 아니라 우리가 답한다. 권한 층이 몇 단계로 나뉘는지만 확인하고 부여 기준은 우리가 쓴다 |
| 취약점 점검·모의해킹 결과를 제출할 것 | 주기적 점검 이행 여부 | 점검 주기와 조치 완료 확인서. 결과 원문은 대개 요약본으로 갈음한다 |
| 재해복구 및 백업 체계를 갖출 것 | 장애·재해 시 복구 능력 | 백업 주기와 보관 위치, 복구 테스트를 실제로 해봤는지 |
| 제3자 재위탁 시 사전 승인을 받을 것 | 실제 일하는 곳이 어디인지 | 운영·유지보수·데이터센터가 각각 어느 회사인지 계약 전에 명시 |
| 계약 종료 시 데이터를 반환·파기하고 확인서를 제출할 것 | 종료 이후의 데이터 | 반환 형식과 시점. 이력을 표 형태로 받는지가 나중을 가른다 |
표에서 굵게 표시한 지점이 실무에서 가장 자주 어긋나는 곳입니다. 특히 인증 범위와 백업 위치, 반환 형식 세 가지는 조항만 읽으면 충족으로 보이는데 실제로 물어보면 다른 답이 나오는 경우가 있습니다. 학습 데이터를 어떤 단위로 보관하고 파기할지의 기준은 학습자 개인정보와 교육이력, 얼마나 보관하고 언제 파기하나에 정리해 두었습니다.
지킬 수 없는 조항을 만났을 때
모든 조항을 충족하는 경우는 많지 않습니다. 순서는 이렇습니다.
첫째, 목적을 다시 읽습니다. 그 조항이 막으려는 사고가 무엇인지 한 줄로 적어 봅니다. 대체 통제를 제안하려면 이 문장이 있어야 합니다.
둘째, 대체 통제를 문서로 만듭니다. "망분리 대신 전용 접속 경로와 관리자 2차 인증, 접속기록 상시 보관으로 동일한 목적을 달성한다"처럼 무엇으로 무엇을 대신하는지 대응 관계를 적습니다.
셋째, 공식 질의로 확인합니다. 공공 발주는 질의응답 기간이 정해져 있고, 그 기간의 답변만 효력이 있습니다. 구두 협의는 평가 단계에서 근거가 되지 않습니다.
넷째, 단계적 이행을 제안합니다. 오픈 시점에 전부 갖추기 어려운 항목은 이행 시기를 나눠 적는 방식이 받아들여지는 경우가 있습니다. 다만 인증 보유처럼 대체가 성립하지 않는 항목도 있으므로, 이 경우는 일정을 조정하거나 다른 방식을 검토해야 합니다.
금융권에서 한 겹 더 붙는 것
금융회사와 전자금융업자는 일반 기업과 다른 감독규정의 적용을 받을 수 있습니다. 교육 시스템이라도 임직원 정보를 다루는 이상 내부망 접속 요건, 외부 서비스 이용 시 사전 보고나 승인 절차, 위탁 관련 조항이 함께 걸리는 경우가 있습니다.
이 영역은 개정이 이어지고 있어 시점에 따라 요건이 달라집니다. 발행 시점(2026-08) 기준으로 특정 요건을 단정하기보다, 사내 준법·정보보호 부서를 통해 현재 적용되는 감독규정과 감독기관 안내를 확인하고 그 결과를 발주 문서에 반영하시길 권합니다. 교육 담당자가 할 일은 규정을 해석하는 것이 아니라 해석할 부서를 일정 안에 끌어들이는 것입니다. 보안 검토가 마지막에 붙어 일정을 밀어내는 사고는 대부분 이 호출이 늦어서 생깁니다.
업체에 그대로 보내는 확인 질문
표 1에서 업체 몫으로 분류한 조항은 아래 질문으로 바꿔 보내면 답이 정확하게 돌아옵니다.
| 질문 | 받아야 할 답 |
|---|---|
| 보유한 보안 인증과 그 인증 범위를 알려 주십시오 | 인증서 사본 + 범위에 우리가 쓸 서비스가 포함되는지 |
| 운영 서버·백업본·로그의 물리적 위치는 각각 어디입니까 | 세 가지를 나눈 답변(하나로 뭉뚱그린 답은 다시 묻는다) |
| 암호화 적용 대상 항목의 목록을 주십시오 | 항목 단위 목록. "전 구간 암호화"라는 한 줄은 답이 아니다 |
| 관리자 접속기록에 남는 항목과 조회·다운로드 방법은 무엇입니까 | 기록 항목 목록과 관리자 화면 경로 |
| 관리자 권한은 몇 단계로 나뉘고 각 단계가 무엇을 할 수 있습니까 | 권한 유형별 기능 범위표 |
| 운영·유지보수·데이터센터를 각각 어느 회사가 담당합니까 | 재위탁 구조. 3차 업체가 있으면 그 사실까지 |
| 계약 종료 시 데이터를 어떤 형식으로 언제까지 반환합니까 | 파일 형식과 포함 항목, 반환 시한, 파기 확인서 제공 여부 |
받은 답변은 앞의 대응표에 그대로 붙입니다. 이 표 한 장이 정보보안팀 검토 답변서이자 계약서 부속 문서가 됩니다.
맑은이러닝 LMS는 이 항목들을 어떻게 받나
맑은소프트는 국내 최초 CSAP(클라우드 보안인증, Cloud Security Assurance Program) 인증을 받은 LMS이며, 상용 LMS 중 유일한 CSAP 인증 LMS입니다. 표 2의 첫 줄에 해당하는 항목을 인증서로 답할 수 있다는 뜻이며, 업체 검증을 어떤 자료로 하는지는 믿을 수 있는 LMS 업체 고르는 법에 정리돼 있습니다.
접근통제 쪽은 관리자 화면의 권한 구조로 답합니다. 회원정보관리에서 회원소속관리·회원그룹관리로 대상 범위를 가르고, 회원유형을 최고관리자·운영자·소속운영자·과정운영자로 구분하기 때문에 "최소권한 부여" 조항에 권한 단계별 기능 범위로 답할 수 있습니다. 여러 조직을 나눠 운영할 때의 권한 설계는 여러 고객사 교육을 한 LMS에서 나눠 운영하기에서 층별로 다뤘습니다.
운영 사양으로는 동시접속 약 5,000명 대응과 데이터 4중 백업을 갖추고 있어, 백업 체계와 처리 용량을 묻는 조항에 수치로 답할 수 있습니다. 클라우드로 갈지 설치형으로 갈지가 보안 조항 때문에 갈리는 경우도 많은데, 그 판단 기준은 자체개발 vs 클라우드 임대 LMS에서 비용과 리스크를 함께 놓고 비교했습니다.
정리: 조항을 이해하는 것이 아니라 분류하는 것이 일이다
보안 요구사항 대응의 요령은 조항을 전부 아는 데 있지 않습니다. 다섯 갈래로 나누고, 목적인지 수단인지 가르고, 충족·확인필요·협의필요로 판정해 담당을 붙이는 것입니다. 그렇게 만든 대응표 한 장이 업체 질의서가 되고, 발주처 공식 질의가 되고, 마지막에는 검토 답변서가 됩니다.
지금 손에 든 문서의 보안 항목이 열 줄이 넘는다면 먼저 표 1의 다섯 상자에 나눠 담아 보시길 권합니다. 우리 조직의 요구사항에 어떤 답변과 증빙이 필요한지, 권한과 접속기록을 어떤 화면에서 보여줄 수 있는지는 무료 상담에서 실제 문서를 놓고 함께 짚어 드립니다.
