"외산에 시장 뺏길라"… 클라우드 빗장푸는 정부에 업계 첫 집단행동

과기정통부 이달 18일까지 CSAP 등급제 및 규제완화 등 고시 개정안 행정예고국내 CSP 기업 등 올해 첫 공동 성명서 발표공공클라우드 시장마저 외국계에 내줄 수 있다는 우려도

/사진=뉴시스

정부가 추진 중인 클라우드 보안인증 제도(CSAP) 등급제 개편 관련, 국내 업계의 첫 집단 행보가 개시됐다. 이대로라면 마이크로소프트(MS)·아마존웹서비스(AWS) 등 해외 기업들의 공공 클라우드 시장 진입이 용이해져 시장을 내줄 수 있다는 우려에서다.

5일 한국클라우드산업협회에 따르면 이날 7개 국내 대·중소 CSP(클라우드 서비스 제공 사업자) 기업들이 협회에 모여 클라우드 보안인증 등급제 고시 개정안에 대한 논의를 진행했다. 회의 결과 △ 클라우드 보안인증 상·중·하등급 동시 시행 △ 클라우드 보안인증 전등급에 대한 시범·실증 진행 △ 클라우드 보인인증 적용범위의 명확화 △ 유관부처 및 사업자가 참여하는 공론의 장 마련이 필요하다는 의견이 나왔다.

기업들은 특히 클라우드 보안인증 상·중·하등급 동시 시행 관련 상·중·하 등급의 형평성 있는 진행이 필요하다는 입장이다. 기업들은 "상·중등급은 실증을 진행하면서 하등급을 먼저 시행하는 부분은 역차별"이라며 "하등급에 개인정보 뿐만 아니라 신용정보를 포함하는 시스템도 제외가 필요하다"고 강조했다.

━

CSAP 규제완화, 최소한의 빗장마저 푼다

━

과학기술정보통신부는 '클라우드 컴퓨팅 서비스 보안 인증에 관한 고시' 개정안을 지난해 12월29일부터 이달 18일까지 약 3주간 행정예고를 진행 중이다.

현재는 국가·공공기관에 서비스를 공급하는 클라우드 사업자는 단일 기준에 따라 CSAP 인증을 받아야 한다. 그러나 향후에는 국가·공공기관의 중요도에 따라 상·중·하로 나눈 후 이 중 '하'등급으로 분류된 국가·공공기관에 납품되는 클라우드 서비스에 대해서는 완화된 보안기준을 적용하겠다는 게 이번 고시 개정안의 골자다.

특히 '하' 등급 클라우드에는 현행 물리적 망분리가 아닌, 논리적 망분리가 허용된다. 2011년 농협 전산망 해킹으로 사흘간 서비스가 전면 중단됐던 사건 이후로 공공 IT 시스템에는 물리적 망분리, 즉 하드웨어 자체의 별도 분리를 통한 보안원칙이 기본이었다. '하' 등급으로 분류된 국가·공공기관에 납품되는 클라우드에는 앞으로 논리적 망분리, 즉 망분리 효과를 내는 SW(소프트웨어)를 적용하더라도 CSAP 인증을 획득한 것으로 인정하겠다는 것이다.

이게 문제가 되는 이유는 물리적 망분리 원칙이 그간 국가·공공기관 클라우드 시장에 외국계 기업들이 진입하지 못하게 막는 최소한의 장벽이었다는 점에 있다.

이미 민간시장은 AWS(아마존웹서비스) 마이크로소프트 애저, 구글클라우드플랫폼 등 외국계 기업이 시장을 거의 장악하다시피 한 상태다. 이들 외국계 기업들은 자국이 아닌 해외에서 사업을 할 때는 물리적 망분리 조치를 취하지 않고 논리적 망분리만 활용한다. CSAP 규제 완화는 AWS 등 외국계 CSP들이 대거 공공시장에 진입할 수 있는 계기가 될 수 있다는 게 업계의 우려다.

━

"고시개정은 공표 후 즉시시행, 유관업계 공청회 등 마련돼야"

━

클라우드 보안인증 전등급에 대한 실증 필요성도 제기됐다. 등급제 추진·시행이 기술 및 보안 측면에서 초래할 결과를 담보할 수 없어 실증에서 굳이 하등급을 제외할 필요가 없다는 것이다. 하등급 또한 부처 및 공공기관 데이터에 대한 안전성이 담보돼야 해 실증이 필요하다고 밝혔다. 클라우드 보안인증은 사업자격이 아닌 보안 인증이므로 상·중·하 등급 안정성을 파악하고 시행하는 것이 등급제 도입 취지에 부합한다는 입장이다.

또 클라우드 보안인증 적용 범위의 명확화가 필요하다는 입장도 밝혔다. 기업들은 "공공 클라우드 시장 수요가 불확실한 상황에서 등급제 추진에 따른 상·중·하 등급별 시장 비율 세부 정보 및 등급제 추진 세부계획을 발표해야 한다"고 주장했다. 등급제 추진에 대한 행정예고가 발표됐음에도 적용 범위는 여전히 불확실하다는 의견이다.

이날 기업들은 "의견수렴기간을 거쳐 고시 공표 후 즉시 시행인 상황에서, 사업자가 준비할 수 있는 부분은 없는 것이 산업계의 어려움"이라고 강조했다. 유관부처 및 사업자가 참여하는 위원회나 공청회도 마련돼야 한다는 게 업계 입장이다. 기업들은 업계와 관계기관 등이 참여하는 간담회를 공개적으로 개최해 클라우드 보안인증 등급제의 명확한 방향 등을 제시하고 의견을 수렴해줄 것을 요구했다.

한국클라우드산업협회 관계자는 "오는 10일 서비스형 소프트웨어(SaaS)·서비스형 플랫폼(PaaS)·클라우드 관리 서비스사(MSP) 회원사를 대상으로 간담회를 개최할 예정"이라며 "실질적 공공시장 참여 확대 측면 등 고시 개정안에 대한 의견을 수렴할 예정"이라고 밝혔다. 최종 취합된 의견은 과기부에 공식 입장으로 전달될 예정이다.

홍효진 기자 hyost@mt.co.kr

<저작권자 ⓒ '돈이 보이는 리얼타임 뉴스' 머니투데이, 무단전재 및 재배포 금지>