디지털서비스 심사·선정 등에 관한 고시

디지털서비스 심사·선정 등에 관한 고시는 국가기관등이 이용하기에 적합한 클라우드 기반 디지털서비스를 고르는 절차와 선정기준(디지털서비스 해당 여부, 적격성, 제공 역량)을 정한 과학기술정보통신부 고시이다.

개요

「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률 시행령」 제15조의2는 과학기술정보통신부장관이 국가기관등이 이용하기에 적합한 디지털서비스를 심사위원회의 심사를 거쳐 선정하도록 하고, 그 기준을 고시하게 한다. 이 고시가 그 위임을 받아 신청, 심사, 선정, 등록, 정보 변경, 재심사, 품질관리를 정한다. 2020년 10월 1일 제정되었고, 2026년 11월 현재 시행 중인 것은 2023년 11월 17일 일부개정된 과학기술정보통신부고시 제2023-43호이다. 선정된 서비스는 디지털서비스 전문계약제도에 따라 국가기관등이 간소한 계약 절차로 바로 이용할 수 있다. 접수, 검토반 운영, 이용지원시스템 등록, 품질관리 같은 실무는 한국지능정보사회진흥원(NIA)에 위탁되어 있다(제10조).

심사 절차

1. 신청 - 선정받으려는 자는 별표 1의 서류를 갖추어 이용지원시스템에서 신청하고 상세 규격을 입력한다(제3조). 서류가 모자라면 보완을 요청하고, 기간 안에 보완하지 않으면 반려할 수 있다.
2. 검토 - 과학기술정보통신부장관은 디지털서비스 분야 전문가로 검토반을 꾸려 별표 2의 검토 및 현장실사·기업면담을 하고 결과를 심사위원회에 준다(제4조제2항). 검토반원은 정보통신 분야 박사 2년, 석사 4년, 학사 6년 이상 경력자나 대학 조교수 이상이다.
3. 심사·선정 - 심사위원회는 디지털서비스 해당 여부, 별표 3의 적격성, 별표 4의 제공 역량을 심사해 모든 항목이 적정인 서비스를 선정한다(제4조제4항). 선정되면 선정 통보서를 발급한다.
4. 등록 - 선정된 서비스는 이용지원시스템에 등록·공개되고, 그 정보는 조달청에 제공될 수 있다(제5조).

선정기준

적격성(별표 3)

• 경영상태 - 신용평가등급이 B- 미만이면 결격이다(창업 3년 이내 기업은 면제). 휴·폐업, 부도, 파산으로 계약 이행이 어렵다고 판단되는 경우도 결격이다.
• 신청일 기준으로 부정당업자 제재 중인 자는 결격이다.

디지털서비스 제공 역량(별표 4)

세 영역을 '적정/부적정'으로 평가하며, 서비스 성격상 해당 없는 항목은 뺄 수 있다.

• 보안성 - 클라우드 보안인증서 제출(클라우드컴퓨팅서비스에 한하고 교육 목적 제공 확약 시 면제), 침해사고 대응 절차, 개인정보·데이터 관리정책, 안전한 코딩, 취약점 점검·조치. 보안인증서를 내면 나머지 보안 항목 검토는 생략한다.
• 운영 안정성 - 가용률, 모니터링 정보, 백업·복구 정책
• 지원 체계 - 조직·인력과 이용자 지원 체계, 고객대응 관리체계

가용률 기준

가용률은 정해진 서비스 운영 시간(예정된 가동시간)에 대해 서비스에 접속할 수 있었던 시간의 비율이다. 신청인은 산정 근거와 함께 보상 조건을 포함한 가용률 보장 정책을 내야 한다.

서비스 유형	보장해야 하는 가용률
IaaS	99.9% 이상
PaaS	99.9% 이상
SaaS	99.5% 이상
그 밖의 서비스	수치 기준 없음. 보상 조건을 포함한 가용률 보장 정책을 낸다

• IaaS 와 PaaS 가 같은 99.9% 이고 SaaS 가 그보다 낮은 99.5% 이다. "IaaS 99.5%", "SaaS 99.9%" 는 둘을 뒤바꾼 것이다.
• 그 밖의 서비스에 99.9% 같은 수치를 요구하지 않는다.
• 99.9% 는 1년(8,760시간)에 약 8.76시간, 99.5% 는 약 43.8시간까지 서비스가 멈출 수 있다는 뜻이다(가용성).

모니터링과 백업

• 모니터링 - IaaS 는 자원 사용량(CPU, 메모리, 디스크, 트래픽), 장애 정보와 알림 기능, API 제공 여부를, PaaS·SaaS 는 모니터링 정보와 그 제공 주체·절차를 낸다.
• 백업·복구 - IaaS·PaaS 는 평균 서비스 회복시간과 백업 주기, 백업 준수율, 복구 시간·시점, 보관 기간, 데이터 반환·폐기를, SaaS 는 백업 주기·방법·대상·보관 장소와 추가 과금 여부를 낸다.

사후관리

• 정보 변경 - 규격이 바뀌면 제공자가 변경을 신청한다. 선정기준과 관련된 변경이면 재심사로 넘어갈 수 있다(제6조).
• 재심사 - 휴·폐업·부도·파산, 선정기준 미달, 제출 서류와 실제 기능의 차이, 보안인증 범위 이탈, 보안인증 취소·만료가 생기면 장관이 심사위원회에 재심사를 요청해야 한다. 부적합 판정을 받은 서비스의 명칭과 사유는 이용지원시스템에 20일 이상 게재한다(제7조).
• 품질관리 - 연 1회 이상 품질관리를 해 선정기준을 계속 충족하는지 확인할 수 있다(제8조).
• 계약정보 제출 - 제공자는 반기별로 국가기관등과의 계약정보를 제출한다(제9조).
• 고시는 2021년 1월 1일 기준으로 3년마다 타당성을 검토한다(제11조).

비슷한 제도와 구별하기

구분	이 고시의 디지털서비스 선정	클라우드 보안인증
근거	클라우드컴퓨팅법 시행령 제15조의2	클라우드컴퓨팅법의 클라우드컴퓨팅서비스 정보보호 기준(고시는 법 제23조제2항으로 적는다)
판단하는 것	공공 이용 적합성(해당 여부, 적격성, 제공 역량)	정보보호 기준 준수
관계	제공 역량의 보안성 항목에서 보안인증서를 요구한다	인증서가 있으면 보안성 세부 검토를 생략한다

같이 보기

• 디지털서비스 전문계약제도
• 가용성
• 클라우드 보안