제품명보다 운영 이력을 보는 안정성 점검
서버와 WAS, DBMS 지표를 수집하고 임계치를 넘으면 알람을 받는 모니터링은 공공기관 정보시스템 운영에서 익숙한 방식입니다. 그래서 올해 처음 시행되는 정보시스템 안정성 점검을 앞둔 운영 담당자라면 이런 질문부터 하게 됩니다.
“지금 쓰는 모니터링으로 IRM에 충족이라고 등록할 수 있는 기준은 어디까지일까?”
이번 자체점검은 행정안전부가 2026년 4월 13일 시행한 ‘행정기관 및 공공기관 정보시스템 안정성 고시’에 따른 첫 점검입니다. 고시는 행정기관이 법령에 따라 정한 기준을 공식적으로 알리는 행정규칙으로, 안정성 고시에는 정보시스템이 지켜야 할 46개 기준이 담겨 있습니다. 점검 대상은 정보자원관리시스템(IRM)에 등록된 정보시스템 15,080개(8월 25일 기준)입니다.
다만 46개 기준의 충족 근거가 모두 같지는 않습니다. 모니터링 화면과 설정으로 충족을 보여 줄 수 있는 항목이 있고, 경보 확인 이력이나 점검 결과서 같은 별도 기록이 필요한 항목도 있습니다. 그래서 10월 30일까지 결과를 등록하려면 지금 모니터링에 남아 있는 자료로 충족할 수 있는 기준부터 가려내야 합니다.
행정안전부가 8월 19일 배포한 ‘정보시스템 안정성 점검 가이드’를 보면, 모니터링 운영으로 충족할 수 있는 기준은 모니터링 도구 적용, 임계치 관리, 시스템 상태 점검, 서비스 점검 4가지입니다. 이 4가지 기준에서는 어떤 제품을 쓰는지가 아니라 상태 수집, 임계치 설정, 경보 발생, 운영자 확인 기능을 실제로 운영한 기록이 충족 근거가 됩니다.
1. 기존 체크리스트를 올해 그대로 쓸 수 없는 이유
지금까지 예방점검의 실무 기준은 2024년 배포된 ‘범정부 정보시스템 예방점검체계’ 매뉴얼이었습니다. 올해부터는 이 점검도 안정성 고시의 46개 기준 안에서 이뤄집니다. 예방점검은 운영관리, 장애관리, 안정성 개선, 서비스 연속성과 함께 5개 분야 가운데 하나가 됐습니다. 이렇게 편입되면서 등급별 적용 범위와 충족 판단 방법도 달라졌습니다.
이와 함께 등급 체계는 1~4등급에서 A1~A4등급으로 바뀌었고, 등급별 필수 기준은 A1이 44개, A2와 A3가 41개, A4가 15개입니다. 예방점검 매뉴얼도 2026년판으로 개정됩니다. 행정안전부가 9월 운영관리 설명회에서 공개한 예방점검 매뉴얼의 주요 변경 사항은 다음과 같습니다.
구분 | 2024년 배포 매뉴얼 | 2026년 개정 기준 |
등급별 적용 범위 | 1등급 8개 항목 필수, 2등급 7개 필수, 3등급과 4등급 권고 | A1~A3등급 8개 항목 필수, A4등급 일상점검 3개 항목 필수 |
일상점검 세부항목 | 필수와 권고로 구분 | 상, 중, 하로 구분 |
구조진단 주기 | 3년 | 필요 시 |
매뉴얼 마련 | 제품별 점검 방법을 담은 표준 매뉴얼 제공 | 등급 확정 후 3개월 안에 기관별 매뉴얼 마련 |
앞서 발행한 예방점검체계 대응 전략에서는 2024년판 매뉴얼을 바탕으로 8개 점검 항목과 인프라 영역별 점검 지표를 다뤘습니다. 8개 점검 항목의 구성은 올해도 유지됩니다. 반면 당시 3년 주기였던 구조진단은 필요할 때 실시하는 방식으로 바뀌었고, 일상점검 세부항목도 필수와 권고 대신 상, 중, 하로 나뉩니다. 점검 대상은 같아도 적용 범위와 판단 방법이 달라졌기 때문에 2024년판 기준으로 만든 체크리스트는 새 매뉴얼과 다시 맞춰 봐야 합니다.
이때 점검 기준일도 함께 확인해야 합니다. 올해 충족 여부는 결과를 등록하는 날이 아니라 8월 31일 당시 운영 현황이 기준입니다. 행정안전부 설명회 자료의 예시를 보면 표준운영절차서를 9월에 만들었다면 기준일에는 없던 문서이므로 해당 기준은 미충족으로 등록해야 합니다. 점검 기간에 새로 만든 자료는 올해 충족 근거가 되지 않습니다. 체크리스트를 고치는 것과 별개로 8월 31일 당시 남아 있던 설정과 이력을 확인해 두어야 합니다.
2. 모니터링 운영으로 충족할 수 있는 4가지 기준
8월 31일 당시 운영하던 모니터링으로 충족할 수 있는 기준은 4가지입니다. 정보시스템 안정성 점검 가이드에 나온 기준별 점검 주기와 충족 조건은 다음과 같습니다.
안정성 기준 | 점검 주기 | 충족 조건 |
1.2.1 모니터링 도구 적용 | 별도 주기 없음 | 서버, WEB, WAS, DBMS, 스토리지, 네트워크에 상태 수집, 임계치 관리, 경보, 운영자 확인 기능을 갖춘 도구를 운영 |
1.2.2 임계치 관리 | 연 1회 이상 최적화 | 임계치를 2단계 이상으로 설정하고 최근 1년 안에 조정하거나 검토한 이력이 있음 |
2.1.1 시스템 상태 점검 | 일 1회 이상 | 점검 분야마다 자동 알람 기능을 갖춘 모니터링 도구를 운영 |
2.1.2 서비스 점검 | 일 1회 이상 | URL 접속, 응답시간, 가용성 또는 장애 알림 기능을 제공하고 운영자 확인 이력이 있음 |
4가지 기준 모두 도구에 필요한 기능이 있어야 하고, 그 기능을 실제로 운영한 기록도 남아 있어야 충족할 수 있습니다. 모니터링 도구 적용(1.2.1) 기준의 점검 방법에는 이 원칙이 한 문장으로 나와 있습니다.
제품명은 참고자료로만 기록하며, 제품의 종류 또는 제조사는 평가하지 않고 기능 중심으로 점검한다.
따라서 상용 제품이든 오픈소스든 자체 개발 도구든 충족 근거로 쓸 수 있습니다. 증적자료(점검 결과를 뒷받침하는 기록)도 제품 소개서가 아니라 운영 중인 시스템에서 가져와야 합니다. 모니터링 화면과 설정 정보, 임계치 설정 현황, 경보 발생 이력, 운영 기록이 여기에 해당합니다.
그래서 같은 제품을 쓰더라도 점검 결과는 기관마다 다를 수 있습니다. 경보를 메일로 받기만 하고 누가 언제 확인했는지 남기지 않았다면, 운영자 확인 기능이 있어도 그 기능을 썼다는 기록은 제출할 수 없습니다. 충족 여부는 제품이 아니라 도구에 남은 운영 이력에 달려 있습니다.
3. 모니터링을 운영해도 미충족이 되는 4가지 경우
모니터링을 운영하고 있어도 설정 범위와 운영 방식, 기록 수준에 따라 미충족이 나올 수 있습니다. 정보시스템 안정성 점검 가이드에는 기준마다 충족으로 볼 수 있는 경우와 볼 수 없는 경우가 함께 나와 있습니다. 이 내용을 우리 기관의 설정과 대조하면 도구는 갖췄지만 기록이 부족해 미충족이 되기 쉬운 부분을 미리 찾을 수 있습니다.
모니터링 관련 기준에서 미충족으로 이어지기 쉬운 경우를 나눠 보면 다음과 같습니다.
3-1. 임계치를 한 단계로만 설정한 경우
먼저 모니터링 관련 기준 중 임계치 관리(1.2.2)에 따르면 임계치는 제품 특성에 맞게 2단계 이상으로 나눠 설정해야 합니다. CPU 사용률 90% 하나만 설정해 두었다면 충족으로 보기 어렵습니다. 점검 가이드의 증적 예시에도 Down, Critical, Major, Minor, Info처럼 단계를 나눈 임계치 현황이 나옵니다.
점검할 때는 설정값만 볼 것이 아니라 도구에 직접 접속해 임계치를 넘었을 때 알람이 생성되는지, 이벤트가 기록되는지, 운영자에게 통보되는지도 확인해야 합니다. 여기까지 갖췄다면 다음으로 임계치 검토 이력을 챙깁니다.
3-2. 임계치 검토 이력이 없는 경우
임계치는 시스템 부하와 운영 환경이 바뀌면 함께 조정해야 하는 값입니다. 그래서 최근 1년 안에 조정 요청이나 승인, 개선 이력이 있어야 이 기준을 충족할 수 있습니다. ITSM(IT 서비스 관리 시스템)을 운영한다면 티켓이나 변경 이력을, ITSM이 없다면 임계치 조정 보고서나 운영회의 결과, 설정 변경 이력을 증적자료로 내면 됩니다.
값을 꼭 바꿔야 하는 것은 아닙니다. 조정할 필요가 없었다면 임계치 최종 조정일자와 조정하지 않은 사유를 남겨 두면 점검 예외로 처리할 수 있습니다. 다만 임계치를 오래 그대로 두면 오탐과 미탐이 늘어날 수 있는데, 이 문제는 AI 이상탐지 글에서 자세히 다뤘습니다.
3-3. 경보 확인 이력이 없는 경우
임계치를 잘 관리해도 경보를 처리한 기록이 없으면 미충족이 될 수 있습니다. 모니터링 도구 적용(1.2.1) 기준은 운영자 확인 기능이 있어야 하고, 서비스 점검(2.1.2) 기준은 운영자 확인 이력이 있어야 충족됩니다. 경보가 메일이나 문자로 전송되기만 하고 담당자와 처리 시각이 남지 않으면 점검을 수행했다는 사실을 보여 주기 어렵습니다. 도구가 작동했다는 사실만 남기 때문입니다.
실제로 정보시스템 안정성 점검의 현장점검에서도 이 부분을 확인합니다. 9월 21일부터 11월 30일까지 민관 합동 점검반이 A1~A3등급 정보시스템 200여 개를 방문해 증적자료를 확인하고 담당자를 인터뷰합니다. 경보 기록과 함께 누가 확인하고 어떻게 조치했는지 설명할 수 있도록 준비해 두는 것이 좋습니다.
3-4. 일부 영역이 모니터링에서 빠진 경우
경보 기록과 확인 이력을 잘 남겼더라도 점검 대상 일부가 모니터링에서 빠져 있으면 점수가 낮아집니다. 기준 하나에 여러 점검항목이 있으면 충족한 항목의 비율로 점수를 계산하기 때문입니다. 점검 가이드의 예시처럼 임계치 관리 12개 항목 가운데 5개를 충족하면 점수는 0.42점입니다. 모니터링 도구 적용 기준도 계산 방식이 같습니다. 서버와 WEB, WAS, DBMS만 수집하고 스토리지와 네트워크가 빠져 있다면 6개 항목 중 4개만 충족해 0.67점이 됩니다.
다만 통합 제품 하나로 모두 수집해야 하는 것은 아닙니다. 특히 스토리지와 네트워크 장비는 통합 모니터링이 아닌 제조사 관리도구로 따로 관리하기도 합니다. 이런 장비도 임계치와 경보가 설정되어 있다면 충족 근거가 되고, 스토리지는 제조사 전용 관리도구에 설정한 임계치로도 충족할 수 있습니다. 그래서 도구가 여러 개라면 영역별로 어느 도구의 어떤 화면을 증적자료로 제출할지 미리 정해 두는 것이 좋습니다.
정보시스템 안정성 점검에서 해당없음은 시스템 구조상 점검 대상 자체가 없을 때만 선택할 수 있습니다. 해당없음으로 등록한 항목은 평가에서 빠지지만, 점검 대상이 있는데 도구가 수집하지 못하는 영역은 미충족으로 등록해야 합니다.
4. 모니터링 도구만으로는 충족할 수 없는 기준
앞의 4가지 경우는 모니터링 설정과 운영 기록, 증적자료를 보완하면 해결됩니다. 반면 정지와 기동 절차를 직접 검증하거나 다중화 장비의 절체 결과를 남기는 것처럼 별도로 점검하고 결과를 남겨야 하는 항목도 있습니다. 정보시스템 안정성 점검의 예방점검 기준 가운데 모니터링과 따로 준비해야 하는 기준은 다음과 같습니다.
안정성 기준 | 점검 주기 | 충족에 필요한 것 |
2.1.3 유효성 점검 | 월 1회 이상 | 인증서, SW 라이선스, 도메인, NTP 현황을 관리시스템이나 관리대장으로 관리하고 월간 점검 결과를 남김 |
2.2.1 오프라인 점검 | 연 1회 이상 | 정지와 기동 절차를 검증한 점검 결과 |
2.2.2 다중화 점검 | 연 1회 이상 | 다중화 장비의 자동 절체와 정상 작동을 확인한 결과 |
2.2.3 성능점검 | 연 1회 이상 | WEB/WAS 또는 DBMS의 성능 저하 요인 분석과 개선 내용을 담은 결과서 |
2.2.4 업무집중기간 점검 | 집중기간 전과 기간 중 | 사전 점검과 조치, 기간 중 모니터링 |
2.3.1 구조진단 및 개선 | 필요 시 | 구조진단이 필요한지 판단하는 기준과 절차 |
6가지 기준 모두 별도 점검 결과가 필요하지만, 모니터링 데이터를 쓸 수 있는 정도는 서로 다릅니다. 모니터링 데이터를 가장 직접 활용할 수 있는 기준은 성능점검입니다. 정보시스템 안정성 점검 가이드에 따르면 성능점검 결과서에 시스템 응답시간과 자원 사용률, 성능 저하 요인 분석, 개선사항을 담으면 충족할 수 있습니다.
이때 부하시험은 필수 요건이 아닙니다. 평소 수집한 응답시간과 SQL 성능 추이로 저하 요인을 분석하고 개선 내용을 결과서로 정리해도 충족 근거로 인정됩니다. 성능점검 계획서와 결과서는 2025년 12월부터 2026년 11월까지의 실적을 평가하는 행정관리 역량평가에서도 증적자료로 쓰입니다. 그래서 매년 이어서 쓸 수 있는 양식으로 만들어 두는 것이 좋습니다.
한편 구조진단은 3년 주기가 사라지고 필요할 때 실시하는 방식으로 바뀌었습니다. 그 대신 구조진단이 언제 필요한지 판단하는 기준을 갖춰야 하고, 판단 기준이 없으면 미충족이 됩니다. 판단 기준의 예로는 최근 1년 안에 같은 장애가 3회 이상 발생한 경우가 나와 있습니다. 이런 조건을 적용하려면 장애와 이벤트 이력이 쌓여 있어야 하므로, 구조진단도 모니터링 이력과 이어집니다.
또한 예방점검 매뉴얼(1.6.2)도 따로 확인해야 합니다. 행정안전부 표준안을 그대로 보관만 해서는 충족할 수 없고, 기관 환경에 맞는 점검항목과 방법을 반영해야 합니다. 매뉴얼 내용이 실제 운영 환경과 다를 때도 미충족이 됩니다. 모니터링 도구에 설정한 임계치와 알람 규칙을 기관 매뉴얼의 점검 기준에 그대로 옮겨 두면 문서와 운영이 어긋나지 않습니다.
5. 정보시스템 안정성 점검 FAQ
결과를 등록하다 보면 도구 유형이나 운영 주체에 따라 판단하기 애매한 경우가 생깁니다. 판단하기 애매한 경우 3가지를 정보시스템 안정성 점검 가이드 기준으로 정리했습니다.
Q1. 오픈소스나 자체 개발한 모니터링 도구로도 충족할 수 있나요?
네, 충족할 수 있습니다. 점검 가이드는 상용 제품인지가 아니라 상태 수집과 임계치 관리, 경보 발생, 운영자 확인 기능을 갖췄는지를 봅니다. 다만 실제 운영 중인 화면과 설정, 이력으로 그 기능을 보여 줄 수 있어야 합니다.
Q2. 국가정보자원관리원에 입주한 시스템은 어떻게 점검하나요?
인프라 항목 가운데 국가정보자원관리원(국정자원)이 관리하는 부분은 국정자원이 일괄 점검합니다. 기관은 응용프로그램(AP) 항목과 나머지 인프라 항목을 점검하고, 두 결과를 합쳐 평가합니다. 일괄 점검 내용이 실제와 다르면 기관이 정정할 수 있습니다.
Q3. 인프라 운영사업자와 AP 운영사업자가 다르면 누구의 결과가 반영되나요?
점검항목마다 반영하는 분야가 정해져 있습니다. 모니터링 관련 기준에서 서버와 스토리지, 네트워크는 인프라 분야 결과만 반영합니다. 반면 WEB과 WAS, DBMS는 인프라와 AP 가운데 한 분야만 충족하면 됩니다. 행정안전부도 설명회에서 인프라 담당자와 유지보수 사업자의 협력을 공통 유의사항으로 꼽았습니다.
6. 평소 운영 이력으로 준비하는 자체점검
인프라 담당자와 유지보수 사업자가 함께 준비하는 자체점검은 올해 한 번으로 끝나지 않습니다. 안정성 고시 제9조에 따라 기관은 매년 자체점검을 하고 결과를 IRM에 등록해야 합니다. 제12조는 예방점검에서 수작업으로 인한 누락과 오류를 막기 위해 자동화된 점검 도구나 시스템을 활용하도록 노력해야 한다고 정하고 있습니다. 평소 운영에서 이력이 자동으로 쌓이게 해 두면 매년 돌아오는 정보시스템 안정성 점검의 부담이 줄어듭니다.
올해 결과를 등록하기 전에 모니터링 환경에서 아래 5가지를 먼저 확인해 두면 좋습니다.
IRM 등록 전 모니터링에서 확인할 것
- 서버, WEB, WAS, DBMS, 스토리지, 네트워크 6개 영역의 수집 여부
- 영역별 임계치의 2단계 이상 설정
- 최근 1년 안의 임계치 조정 이력 또는 미조정 사유
- 경보별 확인 담당자와 확인 시각 기록
- 성능점검 결과서의 응답시간, 자원 사용률, 저하 요인, 개선 내용
특히 첫 번째 항목은 모니터링이 영역별 도구로 나뉘어 있을수록 확인하기 어렵습니다. 도구마다 다른 화면에서 증적자료를 모으다 보면 특정 영역이나 기간의 기록이 빠졌는지 확인하는 데도 시간이 걸리기 때문입니다.
엑셈원(exemONE)은 네트워크와 서버, 애플리케이션을 하나의 플랫폼에서 모니터링하고 여러 영역의 알람을 통합해 관리합니다. 또한 엑셈원에서 보고서 형식과 발행 일정을 정해 두면 일간, 월간 점검 결과를 같은 형식으로 남길 수 있습니다. 엑셈원의 트랜잭션과 SQL 성능, 병목 구간 분석 결과는 성능점검 결과서의 근거로도 쓸 수 있습니다.
다만 도구 하나로 모든 기준을 충족할 수는 없습니다. 유효성 점검 관리대장과 특별점검 계획, 구조진단 판단 기준은 기관의 운영 절차로 따로 마련해야 합니다. 모니터링으로 남길 이력과 담당자가 따로 준비할 절차를 나눠 두면 빠진 기준이 없는지 확인하기 쉬워집니다.
올해 자체점검 마감은 10월 30일이지만, 내년 점검의 근거가 될 이력은 지금부터 쌓입니다. 지난달 발생한 경보 한 건을 골라 발생부터 확인, 조치까지의 과정을 따라가 보시기 바랍니다. 누가 언제 확인했는지, 조치 결과가 어디에 남았는지 설명할 수 없다면 그 부분이 내년 점검 전에 먼저 보완할 항목입니다.
안정성 점검에 필요한 모니터링 이력, exemONE으로 어떻게 관리할까?
👉🏻 exemONE의 주요 기능을 자세히 확인해보세요
출처
함께 보면 좋은 아티클
