클라우드 업계 “CSAP 하등급도 실증 진행해야”

AWS 등 외산 진입하는 하등급도 데이터 안전성 담보돼야
협회, 10일에는 SaaS와 MSP 회원사 대상으로 의견 수렴

[파이낸셜뉴스] 클라우드컴퓨팅(클라우드) 업계는 정부가 추진하는 ‘클라우드 서비스 보안인증(CSAP) 등급제’ 개정 관련, 상중하 등급을 동시 진행하고 하등급에 대해서는 실증을 해야 한다고 요구했다. CSAP는 이용자가 클라우드를 안전하게 이용할 수 있도록 서비스 정보보호 기준 준수 여부를 평가 및 인증하는 제도다. CSAP는 물리적 망분리 요건 이외에도 국가정보원이 규정하는 제품안전성기준(CC 인증) 등 고도의 안전성 기준을 맞춰야 한다.

클라우드컴퓨팅서비스 보안인증(CSAP)에 관한 고시 개정안.

6일 한국클라우드산업협회에 따르면 국내 대·중소 클라우드 서비스 제공사업자(CSP)들은 전날 모여 CSAP 등급제 고시 개정안에 대해 논의했다.

협회는 회의 결과 △CSAP 상·중·하등급 동시 시행 △CSAP 모든 등급에 대한 시범 및 실증 진행 △CSAP 적용범위 명확화 △유관부처 및 사업자가 참여하는 공론의 장 마련 등이 요구됐다고 밝혔다.

과학기술정보통신부는 이달 중 CSAP 등급제(상·중·하) 도입을 위한 고시 개정안을 공포한다. 개정안의 핵심은 CSAP 체계를 △민감 정보를 포함하거나 행정 내부업무 운영 시스템(상등급) △비공개 업무자료를 포함 또는 운영하는 시스템(중등급) △개인정보를 포함하지 않고 공개된 공공 데이터를 운영하는 시스템(하등급)으로 나누는 것이다. 이때 하등급에 대해서는 ‘논리적 망 분리’까지 허용, 아마존웹서비스(AWS) 등 빅테크가 공공 클라우드에 진입할 수 있도록 했다. 논리적 망 분리는 가상 클라우드 서버를 활용해 서버 안에서 망을 분리시켜 놓는 것을 의미한다
정부는 또 하등급 시스템에 대한 클라우드 보안인증은 고시 공포 이후 시행하고, 상·중등급 시스템은 안전성과 활용성 등을 고려해 디지털플랫폼정부위원회와 관계부처 공동 실증·검증을 통해 세부 평가기준을 보완한 뒤, 연내 시행할 예정이다.

이와 관련 업계는 상·중등급은 실증을 진행하면서 하등급을 먼저 시행하는 부분이 역차별이란 입장이다. 또 하등급에 개인정보 뿐만 아니라 신용정보를 포함하는 시스템도 제외할 필요가 있다는 점을 피력했다.

업계는 CSAP 전등급에 대한 실증 필요성도 제기했다. 하등급도 부처 및 공공기관 데이터에 대한 안전성이 담보 되어야하기 때문에 실증이 필요하다는 지적이다.

이와 함께 공공 클라우드 시장수요가 불확실한 상황에서 등급제 추진에 따른 상·중·하 등급별 시장 비율에 대한 세부 정보 및 등급제 추진 세부계획을 발표해야 한다고 강조했다.

한국클라우드산업협회 측은 “클라우드 보안인증 고시 개정안에 대해서 회원사 대상으로 의견 수렴을 진행 중”이라며 “기술적·정책적으로 세밀하게 검토한 후 의견을 제출할 예정이다”라고 전했다.

협회는 오는 10일 서비스형소프트웨어(SaaS)와 클라우드관리서비스 기업(MSP) 등 다른 회원사 대상으로 추가 간담회를 열어 고시 개정안에 대한 의견을 수렴할 예정이다.

한편 한국클라우드산업협회 회장사는 KT클라우드다. 부회장사로는 네이버클라우드, NHN클라우드, 카카오엔터프라이즈, 더존비즈온, 한글과컴퓨터, 티맥스클라우드, 영림원소프트랩 등이 참여하고 있다.
#클라우드컴퓨팅 #클라우드 #SaaS #CSAP #보안인증