[단독] "韓 공공 클라우드 빗장 풀라"···암참까지 거센 압박

◆과기부에 CSAP 관련 개정 건의
최상위 보안기관 외 요건완화 요구
의료 등 일상업무엔 아예 면제 제안
글로벌 기업, 공공영역 진출 노려
"외국산 클라우드, 민간 80% 장악"
국내 업계 "데이터 주권 상실 우려"

사진제공=이미지투데이

[서울경제]

주한미국상공회의소(AMCHAM·암참)가 과학기술정보통신부에 클라우드 보안 인증 제도(CSAP) 완화를 국방부, 외교부 등 일부를 제외한 전체 공공기관으로 확대해 달라는 것은 물론, 공공 의료·교육·금융 등 일상 영역에서 아예 인증을 면제해 달라고 요청한 사실이 드러났다. 모든 공공기관에 일괄적으로 적용돼 온 CSAP에 대해 최근 정부는 가장 낮은 데이터 보안 수준이 요구되는 기관에 한해 보안 요건을 완화하는 정책을 추진하고 있다. 국내 사업자들은 글로벌 클라우드 공급 사업자(CSP)의 공공 진출 길을 열어주는 것이라며 거세게 반발해 왔다. 암참의 이번 요청은 알려진 정부 추진안보다 훨씬 더 폭넓은 빗장 해제를 주문하는 것이어서 진통이 예상된다.

31일 업계에 따르면 지난 7월 AMCHAM은 과기정통부에 CSAP 제도 개선과 관련한 건의안을 송부했다. 이를 통해 최고 등급의 보안을 요구하는 국방부, 외교부 등과 같은 기관을 제외한 모든 공공 영역에서 클라우드 보안 인증 요건을 완화해야 한다고 주장했다. 데이터 보안 중요도 따라 공공기관을 상·중·하로 나눠 상 등급을 제외한 나머지에 해당하는 기관은 논리적 망 분리만으로 클라우드를 도입할 수 있게 하자는 것이다. 게다가 공공 의료·금융·교육·연구개발(R&D) 등을 일상적인 업무로 분류하고 이것들에 대해서는 아예 CSAP를 면제해 달라고 요구했다. 또한 인증 제도 적용 범위를 중앙행정기관으로 한정해 공사나 공단 등 기관에 대해서는 인증을 면제하는 방향도 제안했다.

논리적 망 분리란 통신망을 가상화 기술을 통해 분리해 보안성을 확보하는 기술이다. 이와 대치되는 개념은 물리적 망 분리이다. 물리적으로 업무용 통신망과 비업무용 통신망을 별도로 구분하는 것이다. 기존 CSAP 제도 아래에서는 공공 영역에 클라우드 서비스를 제공하려면 물리적 망 분리가 필수적이었는데, 글로벌 CSP는 국내에서 물리적 망 분리 요건을 만족하지 못해 공공 영역 진출이 어려웠다. 만약 정부 추진 방향대로 일률적 적용되던 기준을 단계화하고, 그 중 일부 단계에 대해서 논리적 망 분리만으로 요건을 완화한다면 글로벌 기업들의 공공 영역 진출 길이 열리는 셈이다.

그간 국내 클라우드 사업자들은 이러한 정부의 제도 개정 움직임에 대해 강하게 반발해 왔다. 글로벌 CSP에 비해 후발 주자인 국내 CSP는 공공 시장을 주요 무대로 삼아왔기 때문이다. 정부도 그간 행정안전부를 중심으로 국내 CSP 육성을 목적으로 이를 장려해왔고 이러한 정책 방향에 발맞춰 국내 기업들도 국내에 관련 투자를 활발히 해왔다.

한 업계 관계자는 “물리적 망 분리를 위해서는 공공기관을 위한 별도의 서버 확보는 물론이고 이를 위한 보안 프로그램 개발, 운용하고 위한 인력 채용 등 추가 투자가 필요하다”며 “이런 식의 정책 변화는 기존 업계로서도 예측하기 어려울 뿐 아니라 그간의 막대한 투자를 무력화하는 것이기도 하다”고 말했다. 이번 건의안을 통해 드러난 암참의 요구는 그간 하 단계 등급에 대해서 논리적 망분리를 추진한다는 정부의 방향보다 더 많은 빗장을 해제해달라는 안이어서 국내 CSP 업계와 데이터 주권을 우려하는 측의 거센 반발이 불가피할 것으로 보인다.

과학기술정보방송통신위원회 소속 윤영찬 더불어민주당 의원은 “이미 민간 클라우드 시장의 82%를 장악한 글로벌 사업자들에게 그나마 남은 시장이 공공시장”이라며 “여기서 국내 클라우드 사업자들이 영역을 늘리지 못하면 사실상 정보보안, 데이터 주권을 잃을 수 있다는 우려가 있다”고 지적했다.

윤영찬 더불어민주당 의원이 지난 4일 국회 과학기술정보방송통신위원회 국정감사에서 발언하고 있다.국회방송 캡쳐

그간 미국 정부는 국내 공공 클라우드 시장 진출에 어려움을 겪는 글로벌 CSP를 대변해 국내 CSAP 제도에 대한 불편한 기색을 드러내 왔다. 지난 2017년으로 거슬러 올라가 미국 정부는 당시 한국의 클라우드컴퓨팅법에 근거한 가이드라인으로 인해 자국 기업이 공공 시장에서 차별을 받고 있다고 주장하는 등 CSAP에 대한 불만을 표했다. 그러다 지난해엔 한국 공공 클라우드 시장에 자국 기업의 진출이 막혀 있다고 표현하며 CSAP를 처음으로 직접 언급했다. 그러다 올해 발간한 ‘2022년 국별무역장벽보고서’에선 한국의 무역 장벽을 서술하는 대목에서 공공 클라우드 시장과 관련된 부분의 분량을 대폭 추가했다.

미국무역대표부(USTR)이 발간한 ‘2022년도 국별무역장벽보고서’ 내 CSAP와 관련된 대목

허진 기자 hjin@sedaily.com