공공 클라우드 빗장 푼 정부… 해외 사업자, 시장 장악 우려↑

정부가 공공기관 시스템 및 데이터 중요도에 따라 3등급(가·나·다)으로 나눠 하위 등급의 보안 규제를 풀어주는 클라우드 보안인증(CASP) 등급제를 내년부터 시행한다. /사진=이미지투데이

정부가 보안 규제를 완화해 공공 클라우드 시장을 활성화할 예정이다. 그동안 진입이 어려웠던 해외 클라우드 업체들이 급속히 시장을 장악할 수 있다는 우려가 나온다.

과학기술정보통신부는 '클라우드컴퓨팅서비스 보안인증에 관한 고시' 개정안을 다음달 18일까지 행정예고한다고 지난 29일 밝혔다. 고시 개정안은 지난 8월18일 현안점검회의에서 결정한 클라우드 보안인증 등급제 세부 실행방안이다.

현재 국가·공공기관에 서비스를 제공하는 클라우드 사업자는 클라우드 서비스 보안인증(CSAP)을 획득해야 한다. 정부는 CASP를 개정해 국가·공공기관의 중요도에 따라 상·중·하로 나눈 후 이 중 '하'등급으로 분류된 클라우드 서비스는 완화된 보안기준을 적용할 방침이다.

이는 정부가 공공 클라우드 영역을 민간 클라우드 관련 업계에 열어 산업 활성화를 노리겠다는 구상에서 비롯됐다.

구체적으로 상등급은 민감 정보를 포함하거나 행정 내부업무 운영 시스템, 중등급은 비공개 업무자료를 포함한 운영시스템, 하등급은 개인정보가 없고 공개된 공동 데이터 운영 시스템으로 나눴다. 상등급은 평가 기준을 강화하고 중등급은 현행수준을 유지한다.

하등급의 경우 평가 기준을 대폭 완화했다. 특히 국내 서비스형SW(SaaS) 사업자가 공공 시장에 신규 진입할 수 있도록 기존 '물리적 분리' 요건을 낮춰 '논리적 분리'도 허용한다.

클라우드 사업자들은 물리적 분리 요건으로 인해 공공기관 전용 서버를 국내에 설치하고, 공공용 서버를 민간용 서버와 분리해야만 했다. 때문에 외국 사업자는 국내 공공시장 진출이 어려웠다. 아마존웹서비스(AWS), 마이크로소프트(MS), 구글 등은 그동안 이를 고쳐달라고 한국 정부에 수차례 요구했다.

업계는 클라우드 보안 인증 완화가 외국 클라우드 기업들이 공공 영역마저 차지하는 결과를 낳을 수 있다고 우려한다. 이미 민간시장은 AWS, MS 등이 장악한 상황이다. 정치권 역시 데이터 주권이 훼손될 수 있다고 지적한다.

이에 정부는 클라우드 서버위치를 국내로 제한하는 등 데이터 주권 훼손 우려에 따른 보완장치를 갖출 계획이다. 클라우드 시스템 및 데이터의 물리적 위치를 국내로 한정하는 요건을 검증하기 위한 평가항목을 추가하도록 했다.

시행 시기는 등급별로 다르다. 하등급 시스템에 대한 클라우드 보안인증은 고시 공포한 다음 시행하고 상·중 급 시스템은 안전성, 활용성 등을 고려해 디지털플랫폼정부위원회와 관계부처 공동 실증·검증을 통해 세부 평가기준을 보완한 후 내년 안으로 시행할 예정이다.

양진원 기자 newsmans12@mt.co.kr
<저작권자 ⓒ '성공을 꿈꾸는 사람들의 경제 뉴스' 머니S, 무단전재 및 재배포 금지>