공공 클라우드에 AWS·MS 들어오나…CSAP 등급제 행정예고

CSAP(클라우드 보안인증) 개편이 추진된다. 새로운 등급제에 따라 일부 공공영역에는 AWS(아마존웹서비스)나 MS(마이크로소프트) 등 외국계 거대 CSP(클라우드서비스제공사)들의 진출이 가능해졌다. 토종 클라우드에겐 시련이 닥친 셈이다.

과학기술정보통신부는 CSAP 등급제 세부실행방안을 담은 '클라우드컴퓨팅서비스 보안인증에 관한 고시' 개정안을 29일부터 1월 18일까지 행정예고한다고 밝혔다. 국내 클라우드 업계를 중심으로 반발이 예상되는 가운데, 과기정통부는 행정예고 기간 동안 간담회 등을 열어 의견을 수렴하고 그 결과를 반영해 1월 중 공포한다는 방침이다.

이번 개정안은 민간 클라우드 이용이 제한됐던 공공영역을 개방하고 상·중·하 등급제를 도입하는 것을 주요 내용으로 한다. 하등급 시스템에 대한 인증은 고시 공포 이후 시행하고, 상·중등급 시스템의 경우 디지털플랫폼정부위원회와 관계부처 공동 실증·검증을 통해 세부 평가기준을 보완한 뒤 내년 중 시행할 예정이다.

개정안에 따르면 민간 클라우드를 이용하고자 하는 국가·공공기관은 시스템 중요도 분류 기준 및 절차에 따라 시스템을 상·중·하 등급으로 자체 분류한다. 하등급은 개인정보를 포함하지 않고 공개된 공공 데이터를 운영하는 시스템, 중등급은 비공개 업무자료를 포함 또는 운영하는 시스템, 상등급은 민감정보를 포함하거나 행정 내부업무 운영 시스템이 해당한다. 행정 내부업무 운영 시스템의 경우 수요 창출과 서비스 품질을 위해 해당 시스템 중요도에 따라 중등급으로도 분류할 수 있도록 하고, 이를 위한 세부 평가기준을 보완할 계획이다.

클라우드 사업자에 대한 보안인증 평가기준은 등급별로 차등화한다. 기존 평가항목 기준으로 상등급 평가기준은 보완·강화하고, 중등급 평가기준은 현행수준을 유지, 하등급 평가기준은 합리적으로 완화한다. 특히 하등급 시스템에 대해서는 기존 민간·공공 영역 간 '물리적 분리' 요건을 완화, '논리적 분리'를 허용한다. 다만 클라우드 시스템과 데이터의 물리적 위치를 국내로 한정하는 요건을 검증하기 위한 평가항목은 추가한다.

과기정통부는 IaaS, SaaS표준, SaaS간편 등 기존유형에 대해서도 업계 애로사항을 반영해 상벌규정 등 불필요한 평가항목은 통폐합 또는 삭제했으며, 클라우드 멀티테넌트 특성(다중이용자 사용)을 고려해 이용기관별 테이블 분리 기준을 완화하는 등 합리적으로 규제를 간소화했다고 설명했다.

과기정통부 관계자는 "디지털플랫폼정부의 성공적인 구현을 위해서는 민간의 클라우드 서비스를 활용한 대국민 서비스 혁신과 국내 클라우드 산업 경쟁력 강화 측면이 함께 고려돼야 한다"면서 "하등급 시스템에 대해서는 글로벌 경쟁 환경조성과 보안성 측면을 고려하고, 상·중등급 시스템에 대해서는 신규 시장을 창출해 국내 클라우드 산업 전반의 성장을 위해 노력하겠다"고 전했다.팽동현기자 dhp@dt.co.kr