정부가 해외 클라우드 운영 사업자의 국내 공공 시장 진입 기준을 대폭 완화한다. 국내 클라우드 보안 정책이 미국 등과의 디지털통상 갈등으로 번진 데다, 인공지능(AI) 전환에 따른 클라우드 수요가 대폭 늘어나면서 개방 쪽으로 가닥을 잡았다.
2일 관련업계에 따르면 국가정보원은 '국가 클라우드 컴퓨팅 보안 가이드라인' 개정안을 수립하고 정부, 관련업계를 대상으로 의견수렴에 들어갔다. 국정원은 이르면 이달 중 개정 가이드라인을 공식 발표하고, 유예기간을 거쳐 내년 하반기 본격 시행할 예정인 것으로 전해졌다.
이번 개정안은 크게 세 가지 축으로 구성됐다. 핵심 변화는 물리적 분리 원칙의 완화다. 기존에는 클라우드 서비스를 구성하는 모든 영역, 즉 실제 공공기관 데이터가 저장·처리되는 서버 영역뿐 아니라 클라우드 운영에 필요한 컨트롤플레인(관제·운영시스템)까지도 물리적으로 국내에 분리해 두도록 요구해왔다.
개정안은 이 중 컨트롤플레인에 대한 요건만 물리적 분리에서 논리적 분리로 완화한다. 논리적 분리란 물리적으로 같은 시설이나 해외 시설에 위치하더라도, 접근권한 통제·암호화·가상화 등 소프트웨어적 방식으로 영역을 구분해 보안을 확보하는 방식이다. 이에 따라 클라우드서비스제공사(CSP)가 관제·운영시스템을 해외 리전(복수의 데이터센터)에 두고도 국내 공공 클라우드 사업을 수행할 수 있는 길이 열린다.
다만 데이터 자체가 저장·처리되는 영역은 이번 개정에서도 손대지 않았다. 데이터는 이를 처리하는 서버와 함께 국내에 물리적으로 분리해 두는 원칙(테넌트 분리)이 그대로 유지된다. 즉 운영·관제는 유연화하되, 데이터는 국내에 묶어둔다는 것이 이번 개정의 기본 틀이다.
보안장비(하드웨어·솔루션) 인증 범위도 확대한다. 그동안 국정원의 보안 검증필을 받은, 즉 국내 공통기준(CC) 인증을 통과한 장비만 공공 클라우드에 사용할 수 있었다. 개정안은 이 인증 범위를 국제 CC 인증까지 확대해, 해외에서 국제 CC 인증을 받은 보안장비도 국내 공공 클라우드에 사용할 수 있도록 허용한다.
암호화 방식(프로토콜) 인증도 마찬가지다. 국정원이 운영하는 국가 암호모듈 검증제도인 암호모듈 검증제도(KCMVP) 인증을 받은 암호화 방식만 인정하던 것에서 고급 암호화 표준(AES) 등 국제 표준 암호화 방식을 함께 허용하기로 했다.
이번 개정은 미국이 그동안 국내 클라우드 보안 기준을 비관세장벽으로 지목하며 CC 인증 범위 확대, 물리적 분리 완화 등을 요구하며 통상 압박을 가해온 데 따라, 이 같은 요구 사항을 상당 부분 수용한 조치로 풀이된다.
개정안을 두고 국내외 CSP 간 입장은 크게 엇갈리고 있다. 외국계 기업은 조항이 일부 개정됐음에도 가장 민감한 데이터 처리 영역의 물리적 분리가 유지되는 데 대해 여전히 사업에 어려움을 겪을 수 있다는 입장이다. 반면 국내 기업들은 상당 부분이 개방되면서 갑작스럽게 해외 CSP의 공공 시장 진입 길이 열렸다고 우려한다.
김승주 국가AI전략위원회 보안특위 위원(고려대 정보보호대학원 교수)은 “국정원의 N2SF 보안체계에 맞춰 새로운 클라우드 기준을 수립하는 단계에서 국내외 기업의 요구가 상충하는 상황”이라며 “공공 정보시스템의 클라우드 전환에 속도가 필요한 상황에서 공급·수요자의 폭넓은 의견을 수렴하고 명확한 세부 가이드를 제공하는 것이 과제”라고 말했다.
최호 기자 snoop@etnews.com, 박진형 기자 jin@etnews.com
