국가정보원이 클라우드 컴퓨팅 보안 규정 개정을 추진하는 가운데 개정안이 시행되면 국내 공공 데이터에 대한 실질적 통제권이 해외로 넘어갈 수 있다는 지적이 나왔다. 데이터 저장 위치는 국내로 유지되지만, 이를 처리하고 접근하는 운영 권한을 해외에서 행사할 수 있게 되면서 사실상 데이터를 국외에서 다루는 것과 마찬가지 효과가 생길 수 있다는 것이다.
7일 한국인공지능클라우드산업협회 클라우드서비스사업자(CSP) 분과는 언론과 간담회를 갖고 국정원의 '공공 클라우드 컴퓨팅 보안 가이드라인' 개정안에 대한 업계 우려를 전달했다. 이 자리에는 국내 주요 CSP 기업 관계자들이 참석해 개정안의 세부 쟁점을 짚었다.
◇컨트롤플레인 해외 이전…데이터 통제력 상실 우려
현재 국정원은 기존 클라우드 서비스 보안인증(CSAP) 상·중·하 등급 체계를 국제 표준 격인 기밀(C)·민감(S)·공개(O) 등급 체계로 전환하는 개정안을 마련 중이다. 이 과정에서 물리적 영역 분리 기준이 완화돼 데이터 서버는 한국에 두되 운영부에 해당하는 컨트롤플레인은 해외에 둘 수 있게 된다. 암호화 인증 범위도 기존 국정원 검증필 암호(KCMVP)에서 국제 표준 암호(AES)까지 확대되고, 보안 장비 인증 역시 국내 CC 인증에서 국제 CC 인증까지 넓어진다.
업계가 가장 민감하게 반응하는 대목은 해외 컨트롤플레인의 허용이다. 미국, 중국 등 클라우드 기업이 해외에서 클라우드 서비스를 관리하는 과정에서 데이터 이동을 막을 수 있냐는 것이 핵심 쟁점이다.
A사 관계자는 “데이터플레인과 컨트롤플레인을 칼로 자르듯 나눌 수 있느냐가 근본적인 의문”이라며 “데이터가 메모리나 캐시에 올라가는 순간까지 명확히 통제할 방법이 아직 제시되지 않았다”고 지적했다. 데이터가 물리적으로 국내에 저장돼 있더라도, 처리·연산 과정에서 해외에 있는 컨트롤플레인을 거치면서 사실상 데이터가 해외로 넘어가는 것과 다름없는 상황이 발생할 수 있다는 의미다.
B사 관계자도 “컨트롤플레인이 해외에 있으면 국내 데이터센터의 서버, 스토리지는 물론 가상머신(VM)까지 해외에서 원격으로 생성하고 삭제하는 게 가능해진다”며 “데이터는 국내에 남아 있을 뿐, 그 데이터를 다루고 인프라를 관리하는 권한, 즉 통제권 자체가 해외에 있게 되는 구조로 관리 인력 또한 외국인이 된다”고 말했다.
인공지능(AI) 인프라 핵심 자원인 그래픽처리장치(GPU)를 둘러싼 분류 기준도 쟁점으로 떠올랐다. GPU 서버를 데이터플레인으로 볼지, 컨트롤플레인으로 볼지에 따라 물리적 위치 규제 여부가 갈리기 때문이다. C사 관계자는 “GPU를 운영 관리 영역, 즉 컨트롤플레인으로 분류하면 위치 제약이 사라져 해외에 둬도 무방하다는 해석이 가능해진다”며 “핵심 시장인 GPU 시장 또한 해외에 그대로 개방될 수 있다”고 봤다.
◇인증 문턱 낮추며 국내 기업 역차별 우려
업계는 개정안이 그간 국내 규정에 맞춰 투자해 온 기업에 대한 역차별로 이어질 수 있다고 우려한다. 국내 CSP는 물리적 망분리 등 기존 CSAP 규정에 맞춰 인증을 받고 막대한 투자를 이어왔다. 개정안이 시행되면 이 투자가 매몰비용이 되는 반면, 해외 기업은 별다른 투자 없이 자사 표준 그대로 국내 공공 시장에 진입할 길이 열린다는 게 업계의 문제의식이다.
D사 관계자는 “물리 망분리 요건에 맞춰 10년간 투자하고 사업을 해왔는데, 다 새로운 아키텍처로 바꿔야 하는 건지 판단조차 서지 않는다”며 “이미 시장에 들어와 조건을 다 갖춘 기존 사업자와, 아무 투자 없이 새로 진입하려는 사업자에게 같은 문턱을 낮춰주는 건 형평에 맞지 않는다”고 말했다.
정부가 소버린 AI를 앞세워 산업 경쟁력 강화를 강조하면서도, 정작 그 기반이 되는 클라우드 인프라 정책은 거꾸로 해외에 문을 여는 모순적 상황이라는 지적도 나왔다. 또 다른 기업 관계자는 “국가 AI 경쟁력을 위해 국산 모델과 GPU 인프라에 막대한 예산을 투입하면서, 정작 그 기반인 클라우드는 반대로 개방하겠다는 것”이라면서 “국내 업계가 무작정 개정을 반대하는 것이 아니라 산업 보호와 형평성 차원에서 충분한 대안을 검토했는지가 이번 논의의 핵심”이라고 말했다.
협회 관계자 또한 “아직 세부안이 확정되지 않은 상황에서 큰 방향만 전달받은 단계”라며 “보안, 데이터 주권, 소버린 AI라는 정책 기조에 부합한 개정안을 수립할 수 있도록 충분한 소통을 해야 한다는 게 업계 입장”이라고 말했다.
최호 기자 snoop@etnews.com
