클라우드 전환 사업의 단계별 감리

1. 개요

가. 정의

클라우드 전환(마이그레이션) 사업이 목표·요구사항·보안·품질 기준에 부합하는지 사업 단계별로 점검·평가하여 위험을 통제하는 정보시스템 감리 활동.

클라우드 전환 감리가 일반 SW 감리와 다른 지점은, 통제 대상이 인프라의 소유·운영 주체가 바뀌는 데서 오는 위험이라는 점이다. 온프레미스에서는 발주기관이 모든 계층을 통제했지만, 클라우드로 옮기면 물리 인프라·보안 일부가 클라우드 사업자(CSP) 책임으로 넘어가는 책임공유모델이 적용된다. 감리는 이 경계에서 발생하는 데이터·보안·성능·비용 위험을 제3자 관점에서 독립적으로 검증해, 전환이 "일단 옮겨는 놨다"에 그치지 않고 목표 품질을 달성하도록 통제한다.

나. 필요성

전환 과정에는 데이터 이관 중 유실·훼손, 잘못된 보안 설정으로 인한 노출, 예상보다 큰 클라우드 비용 등 되돌리기 어려운 위험이 잠재한다. 특히 공공·대형 사업은 규모가 크고 국민 서비스와 직결되므로, 사업 종료 후가 아니라 각 단계에서 미리 적합성과 위험을 점검해 문제를 조기에 바로잡아야 한다. 감리의 독립성·전문성은 발주기관과 수행사 어느 한쪽에 치우치지 않는 객관적 품질 보증 장치가 된다.

2. 단계별 감리 방법·검토 항목

flowchart LR
  P[계획/분석] --> D[설계] --> M[전환/이행] --> O[운영/안정화]

감리는 사업 생명주기를 따라가며 단계마다 초점이 달라진다. 각 단계에서 무엇을, 왜 보는지를 서술한다.

가. 계획·분석 단계 — 이 단계의 핵심 질문은 "애초에 무엇을, 왜 클라우드로 옮기는가"이다. 현황·요구사항을 검토하고 담당자 인터뷰를 통해, 전환 대상 시스템의 선정이 타당한지, 각 시스템이 클라우드에 적합한지(6R 판단), TCO·ROI가 근거 있게 산정됐는지, 보안요건이 초기부터 반영됐는지를 본다. 여기서 방향이 틀어지면 이후 모든 단계가 어긋나므로 가장 상류의 통제점이다.

나. 설계 단계 — 산출물과 아키텍처를 리뷰해 "옮길 그림이 제대로 그려졌는가"를 검증한다. 클라우드 아키텍처와 망분리 설계, 데이터 이관 방식, 장애에 대비한 재해복구(DR) 설계, 관련 표준 준수 여부를 점검한다. 온프레미스 구조를 그대로 옮기면 클라우드 이점을 못 살리고 비용만 늘 수 있어, 아키텍처 적정성이 중요한 검토 대상이다.

다. 전환·이행 단계 — 실제 이행이 계획대로 되는지, 특히 데이터 무결성·정합성이 지켜지는지를 테스트 결과로 검증한다. 이관 전후 데이터 건수·값이 일치하는지, 목표 성능이 나오는지, 문제 발생 시 되돌릴 롤백 계획이 있는지, 보안 설정(CSAP 등)이 올바른지를 점검한다. 되돌리기 어려운 작업이 집중되는 단계라 리스크가 가장 크다.

라. 운영·안정화 단계 — 전환으로 끝이 아니라 "안정적으로 운영·인수되는가"를 본다. 가용성·성능 SLA 충족, 비용 최적화(FinOps), 운영 조직으로의 이관, 보안 관제 체계를 점검한다. 이 단계 감리를 생략하면 전환 직후 장애·비용 폭증이 방치될 수 있다.

3. 6R 전환 전략 (적합성 검토 기준)

감리는 각 시스템을 어떤 전략으로 옮길지가 타당한지를 6R로 판단한다. 이 선택이 중요한 이유는 비용·기간·클라우드 효과가 전략마다 크게 다르기 때문이다. Rehost는 빠르고 싸지만 클라우드 이점이 적고, Refactor는 이점이 크지만 비용·기간이 많이 든다. 예컨대 노후해 곧 폐기할 시스템을 값비싸게 Refactor하는 계획이 있다면 감리가 이를 지적해야 한다.

4. 핵심 점검 리스크

전환 감리에서 반복적으로 문제가 되는 영역은 데이터·보안·성능·비용이다. 데이터는 이관 중 유실·불일치가 서비스 신뢰를 직접 훼손하므로 무결성·정합성 검증이 최우선이다. 보안은 책임공유모델에서 발주기관 몫의 설정(접근통제·망분리)이 소홀해지기 쉬워, 공공은 CSAP 인증 요건 충족을 반드시 확인한다. 성능은 클라우드로 옮긴 뒤 오히려 지연이 늘 수 있어 부하 테스트로 SLA 충족을 검증한다. 비용은 종량제 특성상 방치하면 폭증하므로 FinOps 관점의 최적화와 TCO 검증이 필요하다.

5. 고려사항 및 시사점

• 독립성·전문성 기반의 조기 통제: 감리의 가치는 사업 종료 후 지적이 아니라 각 단계에서 위험을 앞당겨 발견하는 데 있다. 특히 되돌리기 어려운 전환·이행 단계 전에 설계 적정성을 확정해야 한다.
• 책임공유모델의 명확화: CSP와 발주기관의 보안 책임 경계를 문서로 명확히 하지 않으면 "서로 지키겠지" 하는 사각지대가 생긴다. 감리가 이 경계를 확인하는 것이 클라우드 감리 고유의 핵심이다.
• 운영·거버넌스까지 범위 확장: 전환은 끝이 아니라 시작이므로, 운영 이관·비용 거버넌스·지속적 보안 관제까지 감리 범위에 포함해 전환 후 안정성을 담보해야 한다.

한 줄 요약: 클라우드 전환 감리는 계획→설계→전환→운영 단계별로 적합성(6R)·데이터 무결성·보안(CSAP·책임공유)·성능·비용을 독립적으로 점검해, 되돌리기 어려운 전환 위험을 조기에 통제하고 전환 후 운영·거버넌스까지 품질을 보증하는 활동이다.