국가정보원이 클라우드 보안 기준 개정을 추진한다. 물리적 분리 기준, 보안·암호화 인증 기준 등 핵심 내용이 해외 클라우드 사업자가 국내 시장에 진출하는 데 한층 유리하게 완화되는 것이 골자다. 국내 클라우드서비스제공사(CSP)는 비상이 걸렸다. 이번 개정이 기존 투자의 효과를 반감하고 형평성 측면에서도 해외 사업자에 유리하게 마련돼 사업에 차질이 예상된다고 우려했다.
◇물리적 영역분리 완화에 토종 CSO 허탈
이번 개정은 국가 클라우드 보안 체계의 전환과 맞물려 진행됐다. 기존 클라우드보안인증(CSAP) '상·중·하' 3단계 체계는 폐지되고, 국정원의 새 보안체계인 N2SF에 따라 개방(O)·민감(S)·기밀(C) 등급으로 재편된다. CC 인증 확대, 암호화 인증 확대, 물리적 영역분리 완화라는 이번 개정의 세 가지 축은 특정 등급에만 적용되는 게 아니라 등급 전반에 공통으로 적용되는 원칙이다.
O 등급은 물량 자체는 가장 크지만 별도 규제 없이 민간 영역에서 자유롭게 경쟁이 가능한 시장이고, 국가안보에 해당하는 C 등급은 애초에 폐쇄망 안에서만 작동해 이번 개방 논의와는 거리가 있다. 반면 공공·민간 데이터가 혼재하는 시스템 상당수가 결국 S등급으로 수렴하는 구조여서 S등급이 공공 시장의 핵심이다. 이번 개정안이 S등급에도 적용되는 만큼 국내외 CSP 모두 민감한 반응을 보이고 있다.
특히 양측의 입장이 극명하게 엇갈리는 곳은 물리적 영역분리 분야다. 물리적 영역분리는 공공기관 워크로드와 민간 고객 워크로드가 같은 인프라를 공유하지 못하도록, 공공 전용 서버·스토리지 존을 별도로 구축해 두 영역을 격리하라는 요건이다. 국정원은 이번 개정에서 클라우드 운영에 필요한 컨트롤플레인(관제·운영시스템)에 한해 물리적 분리를 논리적 분리로 완화했다. 접근권한 통제나 가상화 같은 소프트웨어적 방식으로만 영역을 나눠도 되기 때문에, CSP는 관제·운영시스템을 해외에 두고도 국내 공공 클라우드 사업을 할 수 있게 됐다. 다만 실제 데이터가 저장·처리되는 서버는 여전히 국내에 물리적으로 분리해 둬야 한다.
국정원은 과거 요구했던 강도 높은 망분리에 비하면 상당히 완화된 조건이라는 입장이지만, 해외 CSP는 요건을 충족하려면 데이터 서버를 별도로 둬야 하고 결국 별도의 전용 인프라 투자가 불가피하다고 반박하고 있다.
한 외국계 CSP 관계자는 “공공과 민간 워크로드가 섞이지 않도록 서버 단위로 아예 갈라 전용 존을 지으라는 것인데 신규 투자가 필요한 부분이라 사실상 장벽으로 보고 있다”고 전했다. 그는 “국정원은 에어갭 수준의 망분리를 요구하는 게 아니라 저장·운영 영역만 분리하면 된다는 취지지만, 실제로 맞추기는 쉽지 않은 조건”이라고 덧붙였다.
국내 CSP의 시각은 다르다. 컨트롤플레인을 해외에 두고 국내 격리 인프라와 인터넷망으로 연동하는 방식이 이미 가능해진 만큼, 물리적 영역분리 요건이 사실상 큰 의미가 없다는 것이다. 한 국내 CSP 관계자는 “해외 기업은 이미 분리 운영 중인 기관 전산실과 컨트롤플레인을 활용해 S등급에도 클라우드 서비스를 제공할 수 있다”며 “물리적 영역분리를 문제로 지적하는 것은 이해가 가지 않는다”고 말했다.
나아가 국내 업계는 이번 조치로 기존 제도에 맞춘 투자 효과가 크게 떨어지고 형평성에도 어긋난다고 지적했다.
이날 한국인공지능클라우드산업협회는 보도자료를 내고 “국적이나 사업자 규모와 관계없이 실질적인 보안 수준과 서비스 관리·통제 가능성을 기준으로 제도가 적용돼야 한다”고 강조했다. 그동안 정부 정책에 맞춰 국내 데이터센터와 전용 관리체계, 물리적 분리환경 등에 투자해온 국내 CSP가 제도 변경 이후 오히려 불리한 위치에 놓이지 않도록, 보안성과 함께 국내 클라우드산업의 경쟁력을 고려해야 한다는 취지다.
이와함께 서버·스토리지·네트워크·가상화 등 기존 인프라뿐 아니라 GPU 기반 AI 인프라와 AI 서비스 환경까지 아우르는 구성요소별 보안요건과 분리·보호기준을 구체적으로 마련해야 한다고 요청했다. 기준이 모호하면 공공기관과 검증기관, CSP마다 해석이 갈려 서비스 설계·구축·검증 과정에서 혼선이 빚어질 수 있다는 우려에서다. 이와 함께 세부 지침 없이 제도가 시행되면 서비스 설계와 상품화가 지연될 수 있는 만큼, 충분한 준비기간과 단계적 전환방안이 필요하다는 의견도 덧붙였다.
◇커지는 공공 클라우드 시장…명확한 기준·로드맵 제시해야
이번 개정 배경에는 두 갈래 압력이 있다. 하나는 미국의 통상 압박이다. 미국은 국내 클라우드 보안 기준을 비관세장벽으로 지목하며 CC 인증, 암호화 인증, 물리적 분리 요건의 완화를 지속적으로 요구해왔다. 다른 하나는 공공 부문의 클라우드 전환 수요 급증이다. AI 전환에 따라 공공기관의 클라우드 이용이 늘면서, 기존 CSAP 체계로는 다양해진 수요를 감당하기 어렵다는 지적이 커졌다.
이 과정에서 행정안전부는 최근 공공 정보시스템 1만5000여개의 중요도 등급을 재분류하고, N2SF의 C·S·O 등급에 맞춰 재정합하는 작업에 착수한 것으로 알려졌다. 지금까지 기관별로 제각각이던 기준을, 국정원의 통일된 체계로 다시 줄을 세우는 작업이다.
한 시스템 안에 S등급과 O등급 데이터가 섞여 있으면 전체가 S등급으로 분류된다. 공공기관 시스템은 대체로 대국민 서비스(개방형 성격)와 행정 처리를 위한 내부 데이터(민감 성격)가 함께 얽혀 있는 경우가 많아, 재분류 과정에서 대다수가 S등급 판정을 받을 가능성이 크다는 게 업계의 대체적인 전망이다. 결국 재분류가 끝나면 클라우드로 전환 가능한 핵심 공공 시장은 S등급으로 좁혀지고, 이를 둘러싼 국내외 CSP 경쟁도 본격화할 전망이다.
전문가들은 명확한 세부 기준과 정책 일관성을 제공해야 한다고 지적했다.
김승주 국가인공지능전략위원회 보안특위 위원은 “AI 시대에 데이터 활용을 극대화하려면 결국 S등급까지 개방이 이뤄지는 것이 불가피하다”면서도 “데이터와 운영 등의 명확한 세부 기준을 제시하는 동시에 통상압박과 국내 기업의 육성 관점에서 제도의 변화를 예상할 수 있는 로드맵이 필요하다”고 말했다.
최호 기자 snoop@etnews.com
