데이터센터 보안 | CCTV 이상의 물리·정보·운영보안

물리·정보·운영 세 개 층위로 지키는 데이터센터 보안

데이터센터 보안은 서버가 놓인 시설을 지키고, 그 시설의 시스템에 들어오는 접속을 통제하며, 시설을 운영하는 사람과 절차를 관리하는 일입니다.

법률은 데이터센터를 집적정보통신시설이라고 부릅니다. 여러 고객의 서비스를 위한 서버와 통신 장비를 한곳에 모아 둔 시설이라는 것을 알 수 있죠. 한 시설에 여러 서버와 데이터가 있기 때문에 정보통신망법 제46조¹는 사업자에게 시설을 안정적으로 운영하기 위한 보호조치를 의무로 정하고 있습니다.

이 글은 사업자가 제공하는 보안을 보호 대상에 따라 물리보안, 정보보안, 운영보안의 세 개 층위로 나눠 살펴봅니다. 데이터센터에 서버를 맡기면 보안도 모두 사업자 몫이라고 생각하기 쉽지만 층위마다 고객이 맡아야 하는 범위가 따로 있습니다. 층위마다 사업자와 고객이 무엇을 책임지는지도 함께 정리합니다.

데이터센터 보호조치의 세부 기준은 집적정보통신시설 보호지침²이 정하고 인증과 암호화 같은 정보시스템 기준은 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준³에 있습니다. ISMS-P 인증기준의 보호대책 요구사항 64개 항목 가운데 물리보안 항목은 7개입니다.

1. 법제처 국가법령정보센터, 정보통신망 이용촉진 및 정보보호 등에 관한 법률(법률 제21988호), 2026
2. 과학기술정보통신부, 집적정보통신시설 보호지침(과학기술정보통신부고시 제2024-19호), 2024
3. 과학기술정보통신부·개인정보보호위원회, 정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시 [별표 7] 인증기준, 2024

데이터센터 보안을 CCTV로만 판단하면 놓치는 것

데이터센터를 고르는 담당자가 먼저 확인하는 항목은 CCTV와 출입통제장치입니다. 하지만 출입 통제 규정에서 CCTV는 네 가지 조치 가운데 하나일 뿐입니다. 보호지침 제3조²는 출입자를 감시하고 통제하는 조치를 네 가지로 정합니다.

• 주요시설 출입구의 신원확인 출입통제장치
• 출입기록 유지 및 보관
• 주요시설 출입구와 전산실과 통신장비실 내부의 CCTV
• 고객 장비를 넣는 잠금 구조물

CCTV를 뺀 나머지 셋은 신원 확인, 출입 기록, 장비 잠금입니다. 보호지침 세부기준²은 CCTV 녹화와 출입통제장치 로그를 포함한 주요시설 출입기록을 2개월 이상 보관하게 합니다. ISMS-P 인증기준³은 출입 및 접근 이력을 주기적으로 검토하라고 요구합니다. 물리보안의 기 준은 카메라의 유무가 아니라 기록을 남기고 검토하는 절차입니다.

정보통신망법 시행령 제37조⁴는 법정 보호조치를 다섯 가지로 규정합니다. 접근 통제 및 감시, 재해 및 테러 대비는 권한 없는 사람의 접근과 재해로부터 시설을 지키는 조치입니다. 관리 인원 배치와 내부관리계획은 사람과 절차로 시설을 지킵니다. 침해사고 확산 차단에는 기술적 조치와 관리적 조치가 함께 필요합니다. 인증, 암호화, 접근통제, 로그 같은 정보시스템 항목은 보호지침이 아니라 ISMS-P 인증기준에서 다룹니다. 데이터센터 보안을 설비가 있는지 없는지가 아니라 여러 층위로 나눠서 확인해야 하는 이유입니다.

4. 법제처 국가법령정보센터, 정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령(대통령령 제36728호), 2026

데이터센터 보안 세 개 층위의 정의와 법정 근거

| 데이터센터 보안과 책임 경계

물리보안은 사람과 재해가 시설에 닿는 경로를 막고 정보보안은 시스템과 접속 경로의 접근을 통제합니다. 운영보안은 두 층위에서 생긴 이상을 사람과 절차로 찾아내 대응합니다. 법령이 정한 보호조치는 주로 물리보안과 운영보안에 해당하고 정보보안의 세부 기준은 ISMS-P 인증기준에 있습니다. 층위마다 해당하는 인증기준 항목은 아래 층위별 설명의 법정 근거에 적었습니다.

물리보안은 맨 아래에 깔리는 층위입니다. 장비에 직접 손이 닿으면 계정과 접속 경로를 통제해도 장비 자체를 지키기 어렵기 때문에 물리보안이 먼저 갖춰져야 그 위의 정보보안이 제 역할을 합니다. 운영보안은 두 층위 위에 하나 더 쌓이는 층위가 아니라 두 층위에 걸쳐 작동합니다. 보호지침²이 정한 중앙감시실은 CCTV와 경보장치의 작동상황을 감시하고 ISMS-P 인증기준³은 네트워크와 데이터 흐름을 수집해 이상행위를 분석하고 모니터링하도록 요구합니다.

세 층위는 모두 데이터센터 사업자가 제공하는 보안입니다. 구조도 맨 위의 고객 영역은 그 위에서 고객이 직접 관리하는 범위입니다. 랙의 잠금장치와 출입 통제는 사업자의 물리보안에 속하고 고객은 랙 안에 둔 서버와 그 안의 운영체제, 계정, 데이터를 관리합니다.

| 데이터센터 보안 층위별 비교표

항목	물리보안	정보보안	운영보안
보호 대상	건물, 전산실, 랙	사업자 시스템과 접속 경로	시설과 서비스 운영 상태
주요 보안 조치	출입 통제와 재해 대비	인증, 접근통제, 암호화, 로그	관제, 침해대응, 사후 보고
법정 근거	시행령 제37조	정보통신망법 제47조	시행령 제40조와 정보통신망법 제46조의2
사업자 책임 범위	랙 잠금장치까지	고객 장비 연결부까지	시설 장비 작동상황까지

| 보호 대상

층위마다 보호하는 물건과 경로가 무엇인지 봅니다. 물리보안은 건물과 전산실을 지키고 정보보안은 사업자 시스템과 접속 경로를 지키며 운영보안은 시설과 서비스의 운영 상태를 지킵니다.

| 주요 보안 조치

층위마다 어떤 설비와 절차로 보호하는지 봅니다. 같은 ‘출입 통제’라도 물리보안에서는 출입통제장치와 출입기록이고 정보보안에서는 계정 인증과 원격접근 통제입니다.

| 법정 근거

층위마다 어떤 법령, 고시, 인증기준이 요구하는지 봅니다. 근거 문서가 다르면 점검하는 기관과 주기도 달라집니다.

| 사업자 책임 범위

층위마다 데이터센터 사업자의 책임 범위와 고객의 책임 범위가 어디서 나뉘는지 봅니다. 책임 분계는 이 범위를 기준으로 나뉩니다.

데이터센터 물리보안 | 출입 통제부터 재해 대비까지

물리보안은 건물과 전산실에 사람과 재해가 닿는 경로를 막는 층위입니다.

| 보호 대상

보호지침 제2조²는 중앙감시실, 항온항습시설, 전산실, 전력감시실, 전력관련시설, 통신장비실, 방재센터를 주요시설로 정합니다. 물리보안은 주요시설과 고객 장비가 들어 있는 랙을 지킵니다.

| 주요 보안 조치

출입 통제는 신원확인 출입통제장치, 출입기록, CCTV, 잠금 구조물의 네 조치로 이뤄집니다. 보호지침 제4조²가 정한 재해 대비로는 무정전전원장치, 자가발전설비, 전력 이중화, 방수시공, 물막이판, 소화설비가 들어갑니다. 지진 대비는 건물 구조 기준이 따로 다루며 내진등급이 높아도 전산실 장비의 가동까지 보장하지는 않습니다⁵.

| 법정 근거

시행령 제37조⁴의 접근 통제 및 감시(1호)와 재해 및 테러 대비(2호)가 물리보안에 해당합니다. ISMS-P 인증기준³에서는 ‘2.4 물리 보안’ 분야의 7개 항목이 같은 내용을 다룹니다. 보호구역 지정, 출입통제, 정보시스템 보호, 보호설비 운영 같은 항목입니다.

| 사업자 책임 범위

물리보안의 범위는 고객 장비가 들어 있는 랙의 잠금장치까지입니다. 랙 안 장비의 설정은 고객이 맡습니다.

데이터센터 정보보안 | 인증·접근통제·암호화·로그의 범위

정보보안은 데이터센터 사업자가 운영하는 시스템과 고객에게 제공하는 접속 경로에서 접근을 통제하는 층위입니다.

| 보호 대상

사업자가 운영하는 출입통제, 관제, 관리 시스템과 고객에게 제공하는 회선 및 관리망 접속 경로가 대상입니다.

| 주요 보안 조치

ISMS-P 인증기준³은 안전한 인증절차와 필요에 따라 강화된 인증방식을 요구하고 업무 목적과 중요도에 따라 네트워크를 분리하게 합니다. 원격접근은 원칙적으로 금지하고 불가피하게 허용할 때는 책임자 승인, 접근 단말 지정, 강화된 인증, 구간 암호화 같은 보호대책을 둡니다. 중요 정보는 저장하거나 전송할 때 암호화하고 접속기록은 위조 또는 변조되지 않도록 보존합니다.

| 법정 근거

타인의 서비스를 위해 데이터센터를 운영하는 집적정보통신시설 사업자는 정보보호 관리체계(ISMS) 인증을 받아야 합니다(정보통신망법 제47조¹). ISMS 인증의 심사 기준은 정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시³가 정합니다. 이 고시의 인증기준은 ISMS와 ISMS-P에 함께 쓰이며 ISMS 인증에는 개인정보 처리 단계별 요구사항을 뺀 나머지 기준이 적용됩니다. 보호지침에는 정보시스템의 인증과 암호화 항목이 없어서 정보보안의 세부 기준은 이 인증기준에서 찾아야 합니다. 인증기준에서 정보보안에 해당하는 부분은 ‘2.5 인증 및 권한관리’, ‘2.6 접근통제’, ‘2.7 암호화 적용’ 분야와 ‘2.9.4 로그 및 접속기록 관리’ 항목입니다.

| 사업자 책임 범위

정보보안의 범위는 사업자가 제공하는 회선과 접속 경로까지입니다. 회선에 연결된 고객 서버 안의 계정 관리와 데이터 암호화는 고객이 맡습니다.

데이터센터 운영보안 | 관제·침해대응·보고의 흐름

운영보안은 사람과 절차로 이상을 찾아내 대응하고 보고하는 층위입니다.

| 보호 대상

시설과 서비스의 운영 상태가 대상입니다. 물리보안과 정보보안에서 생긴 이상도 운영보안의 절차로 처리됩니다.

| 주요 보안 조치

집적정보통신시설 보호지침²은 중앙감시실, 24시간 상근 경비원, 관련 분야 2년 이상 경력의 전문인력을 요구합니다. 시설보호계획은 해킹 같은 전자적 침해행위와 정전이나 화재 같은 재난을 함께 다루며 모의대응훈련은 분기별 1회 이상 실시합니다. ISMS-P 인증기준³은 침해시도의 탐지, 대응, 분석, 공유 체계와 연 1회 이상의 사고 대응 훈련을 요구합니다.

| 법정 근거

재난이나 재해, 물리적 또는 기능적 결함으로 서비스가 연속 30분 이상 또는 24시간 안에 합계 45분 이상 중단되면 데이터센터 사업자는 과학기술정보통신부 장관에게 문서로 보고합니다(정보통신망법 시행령 제40조⁴). 한 고객의 정보시스템 이상이 다른 고객에게 심각한 장애를 일으킬 우려가 있으면 사업자는 이용약관에 따라 서비스를 중단할 수 있습니다(정보통신망법 제46조의2¹). 이때 사업자는 해당 고객에게 중단 사유와 기간을 즉시 알려야 합니다. ISMS-P 인증기준³에서는 ‘2.10.1 보안시스템 운영’ 항목과 ‘2.11 사고 예방 및 대응’ 분야가 해당합니다.

| 사업자 책임 범위

시설 관제가 보는 범위는 시설 장비의 작동상황이며 고객 애플리케이션 내부는 포함하지 않습니다. 운영 인력이 어느 나라 법을 적용받는지도 운영보안의 조건이 되며 데이터 주권의 운영 통제권 요건⁶이 같은 문제를 봅니다.

5. 가비아 라이브러리, 데이터센터 내진·면진·제진, 2026
6. 가비아 라이브러리, [데이터주권 시리즈] 주권 확보를 위한 다섯 가지 요건, 2026

---

CCTV가 보호지침이 정한 출입 통제 조치 네 가지 가운데 하나라는 점에서 출발해 데이터센터 보안을 물리보안, 정보보안, 운영보안의 세 개 층위로 나눠 살펴봤습니다.

층위마다 보호 대상과 근거 법령이 다르고 사업자가 제공하는 보안이 닿는 범위도 다릅니다. 데이터센터를 비교할 때 CCTV가 있는지만 묻지 말고 층위마다 어떤 법령과 인증기준을 근거로 어디까지 보호하는지 확인하면 ‘보안 우수’라는 설명도 구체적인 항목으로 따져 볼 수 있습니다.

※ 본 내용은 2026년 10월 현행 법령과 고시를 기준으로 한 일반적인 정보 제공글입니다.

| FAQ

데이터센터 보안과 일반 기업 정보보안은 무엇이 다른가요?

데이터센터 보안은 여러 고객의 장비가 모인 시설을 지키는 일이며 책임을 데이터센터 사업자와 고객이 나눠 진다는 점에서 일반 기업 정보보안과 다릅니다.

정보통신망법 제46조¹는 타인의 정보통신서비스를 위해 집적된 정보통신시설을 운영하는 사업자에게 시설 보호조치 의무를 따로 정하고 있습니다. 일반 기업은 자기 시스템을 직접 지킵니다. 데이터센터에서는 건물과 전산실을 지키는 주체와 서버를 지키는 주체가 다릅니다. 전산실 출입 통제는 데이터센터 사업자가 운영하고 랙 안 서버의 계정 관리는 고객이 맡는 구조가 대표적입니다.

집적정보통신시설 보호조치는 모든 데이터센터에 적용되나요?

집적정보통신시설 보호조치는 규모 기준을 넘는 데이터센터에 적용됩니다. 타인의 서비스를 위해 운영하는 시설은 시행령 제37조⁴에 따라 전산실 바닥 면적 500㎡ 이상이 기준입니다.

자기 서비스를 위해 직접 운영하는 시설은 시행령 제37조⁴가 정한 세 가지 조건을 모두 충족해야 대상이 됩니다. 전산실 바닥 면적 500㎡ 이상, 정보통신서비스 부문 전년도 매출액 100억원 이상, 하루 평균 국내 이용자 100만 명 이상입니다. 공공기록물 관리에 관한 법률 시행령에 따른 공공기관은 제외됩니다. 대상 시설은 매년 보호조치 이행점검을 받으며 구체적인 기준은 집적정보통신시설 보호지침²이 정합니다.

ISMS 인증을 받은 데이터센터를 쓰면 우리 회사도 인증을 받은 것인가요?

데이터센터의 ISMS 인증은 데이터센터 사업자가 정한 인증 범위에 대한 것이며 고객 회사의 인증 범위와는 별개입니다.

ISMS-P 인증기준³은 조직의 핵심 서비스와 개인정보 처리 현황을 고려해 관리체계 범위를 정하고 조직, 자산, 물리적 위치를 문서화하게 합니다. 고객 회사가 인증을 받으려면 자기 범위를 따로 정해야 합니다. 이때 인증기준³에 따라 고객이 이용하는 데이터센터는 외부 시설로 식별해 계약과 점검 대상으로 관리합니다. 데이터센터의 인증서를 볼 때는 인증 범위에 어떤 센터와 서비스가 들어 있는지 확인해야 합니다.