가장 중요한 임무를 지원하는 Cloudflare for Government, FedRAMP Class D(High) 인증 획득 (새 탭에서 열림)

Cloudflare는 공공기관용 서비스인 Cloudflare for Government에서 FedRAMP Class D(High) 인증을 획득했다고 발표했습니다. 이는 미국 정부의 가장 민감한 비기밀 데이터를 처리할 수 있는 높은 수준의 보안·감사·지속적 모니터링 요건을 충족했다는 의미입니다. 또한 이 인증에 사용한 시스템을 기반으로 미 국방부 DoD Impact Level 4(IL4) 승인도 추진하며, 별도 정부용 클라우드가 아닌 글로벌 단일 플랫폼에서 빠른 혁신과 강력한 보안을 제공하겠다는 전략을 강조했습니다.

FedRAMP High 인증의 의미

• FedRAMP는 미국 연방정부 클라우드 서비스의 보안 평가, 승인, 지속적 모니터링을 표준화한 프로그램입니다.
• ‘인증’은 단순한 자체 보안 선언이 아니라 다음 절차를 거친 공식 승인입니다.
  • 연방기관의 역량 검증
  • 후원 기관의 전체 승인 절차 진행
  • FedRAMP Program Management Office의 승인 확인
• Cloudflare는 2022년 FedRAMP Moderate 승인을 받았으며, 이번에는 더 높은 수준인 Class D(High)를 획득했습니다.
• Moderate는 시스템 침해가 심각한 피해를 일으킬 수 있는 환경에 적용되지만, High는 다음과 같은 국가 핵심 데이터에 적용됩니다.
  • 법 집행 및 긴급 서비스 데이터
  • 금융 시스템 정보
  • 국가 안보 관련 데이터
• High 수준에서 보안 통제가 침해되면 인명 피해, 경제적 손실, 국가 안보 위협으로 이어질 수 있어 요구사항과 책임 수준이 크게 높아집니다.

분리된 정부용 클라우드의 한계

• 기존 기술 기업들은 공공 부문과 국방 부문을 위해 상용 플랫폼과 분리된 독립 환경을 구축하는 경우가 많았습니다.
• 이런 방식은 보안과 규정 준수에는 유리할 수 있지만 다음 문제가 발생했습니다.
  • 상용 서비스와 정부용 서비스 사이에 기능 격차 발생
  • 정부 환경이 최신 기술 적용에서 수년씩 뒤처짐
  • 기관이 최신 기능과 엄격한 규정 준수 중 하나를 선택해야 함
• Cloudflare는 정부용 제품을 축소된 별도 플랫폼으로 만들지 않고, 상용 서비스와 동일한 글로벌 네트워크를 기반으로 구축했습니다.

하나의 글로벌 네트워크와 소프트웨어 정의 지역성

• Cloudflare는 전 세계 데이터센터에서 동일한 소프트웨어 스택과 서비스를 운영합니다.
• FedRAMP High 서비스도 별도 장비나 고립된 네트워크가 아니라 동일한 인프라 위에서 동작합니다.
• 핵심 기술은 Data Localization Suite입니다.
  • 데이터가 어디에서 처리되고 저장되는지 소프트웨어로 세밀하게 제어
  • FedRAMP High 환경에서는 트래픽 검사와 처리를 미국 내 데이터센터로만 제한
  • 글로벌 네트워크의 확장성과 미국 내 데이터 residency 및 처리 요건을 동시에 충족
• 따라서 연방기관은 기능이 제한된 정부용 버전이 아니라 다음과 같은 최신 기능을 사용할 수 있습니다.
  • Zero Trust 보안 도구
  • 애플리케이션 성능 최적화
  • 최신 개발자 플랫폼 기능
  • 글로벌 네트워크 기반의 안정성과 확장성

DoD IL4 추진과 국방 분야의 혁신 속도

• Cloudflare는 FedRAMP High를 위해 설계한 시스템을 DoD Impact Level 4 승인 기반으로 활용할 계획입니다.
• DoD IL4는 통제된 비기밀 정보(Controlled Unclassified Information)를 처리하기 위한 미 국방부의 사이버보안 기준입니다.
• 동일한 시스템을 활용하면 국방용 환경을 별도로 구축할 필요가 줄어들고, FedRAMP High와 IL4 요구사항에 대응하는 보안 체계를 재사용할 수 있습니다.
• 이를 통해 국방기관이 격리된 정부 클라우드의 느린 배포 주기에 묶이지 않고, 새로운 사이버 위협에 더 빠르게 대응할 수 있다는 것이 Cloudflare의 주장입니다.

공공 부문 현대화 전략

• Cloudflare는 이번 인증을 규정 준수 달성 이상의 의미로 설명합니다.
• 공공기관이 다음과 같은 현대적 보안·서비스 운영 방식을 도입하도록 지원하는 것이 목표입니다.
  • Zero Trust 아키텍처 전환
  • 정교한 DDoS 공격 방어
  • 더 빠르고 복원력 높은 디지털 서비스 제공
  • 국가 핵심 애플리케이션의 보안 강화
• 미국 국무부와 상무부 등 기존 연방기관과의 협력도 이번 인증을 계기로 확대할 계획입니다.

실무적으로는 FedRAMP High가 필요한 기관이라면 Cloudflare의 미국 내 데이터 처리 통제, 동일 플랫폼 기반의 최신 기능 제공 여부, 그리고 향후 DoD IL4 승인 진행 상황을 함께 확인하는 것이 적절합니다.