MSP·SaaS업계도 “CSAP 모든 등급 실증, 동시 시행 요구”

MSP(관리형서비스제공사)와 SaaS(서비스형 소프트웨어) 기업들도 CSAP(클라우드 보안인증) 등급제 개편에 대해 목소리를 냈다. 모든 등급이 실증 대상이 돼야하고 동시에 시행돼야한다고 요구, 이 점에 대해 앞서 입장을 밝혔던 CSP(클라우드서비스제공사)들과 의견을 같이했다.

한국클라우드산업협회는 국내 SaaS·MSP 회원사들과 CASP 개정안에 대해 회의한 결과 △상·중·하등급에 대한 기준, 시행방안 및 적용시스템의 명확한 가이드라인 제시, 하등급도 실증 필요 △CSAP 상·중·하등급 동시 시행 △SaaS와 IaaS(서비스형 인프라)의 차별화된 평가기준이 필요하다고 11일 밝혔다. 전날 열린 이 간담회에는 협회 SaaS·MSP 21개 회원사(서면 의견제출 기업 제외) 33명이 참석했다.

클라우드산업협회 회의결과에 따르면, 기존 SaaS 간편인증은 하등급으로 인정될 수 있다고 고시에 명시됐는데 이 중 개인정보를 포함하는 서비스의 경우 어느 등급에 해당되는지, 하등급으로 분류되지 않는다면 재인증 필요 여부와 그에 따른 비용 발생에 대한 부분 등 명확한 시행방안이 제시돼야 한다. 상·중·하 등급별 시장 비율과 각 등급의 레퍼런스도 제시할 필요가 있다. 세부 정보와 CSAP 등급제의 방향이 아직 불명확하기 때문에 SaaS기업 입장에서는 무엇을 준비해야 하는지 알 수 없다는 입장이다.

더불어 하등급도 실증이 필요하다는 데 CSP들과 의견을 같이했다. SaaS와 관련해 API(응용프로그램 인터페이스) 연동사업, 타서비스 결합 모델 등 다양한 사업이 진행된다. 이때 시스템에 연동돼 구축되는 경우 API로 제공하는 데이터는 상·중·하의 구분기준을 어떻게 마련할 것인지 명확하지 않기 때문이다.

마찬가지로 CSAP 상·중·하등급 동시 시행이 필요하다는 의견도 CSP들의 주장과 동일하게 냈다. 기준과 시행방안 및 적용범위가 명확화가 되지 않은 상황에서 하등급만 먼저 시행될 경우, SaaS 기업 입장에서는 어느 등급의 CSAP를 받아야 하는지 비교·검토가 어렵다. 모든 등급에 대한 기준이 명확해지고 기준이 마련됐을 때 시행하는 게 필요하다는 입장이다. 수요기관 또한 시스템 등급에 대한 명확한 검토가 불가능해 당분간 어떤 사업도 시행될 수 없는 상황으로 보인다고 우려를 표했다.

마지막으로 SaaS와 IaaS의 차별화된 평가기준이 필요하다고 지적했다. IaaS와 SaaS가 서비스 영역이 다른데 같은 잣대로 평가하는 것은 개선돼야 하며, SaaS·PaaS·IaaS 보안인증 분리가 먼저이고 등급제는 그 다음에 고려해야 할 사항이라는 의견이다. 보안인증 기준 130여개 중 간편인증에서 받아야 했던 것은 30여개였는데 하등급으로 나온 항목은 50여개로, SaaS 간편인증보다 하등급이 더 어렵게 돼있다는 점도 꼬집었다.

한국클라우드산업협회 관계자는 "이번 회의에서는 MSP 측보다는 주로 SaaS기업들의 의견 개진이 활발했다"면서 " 전 등급의 실증 필요성과 동시 시행을 골자로 국내 클라우드 업계 의견을 검토·정리해 제출할 예정"이라고 밝혔다.팽동현기자 dhp@dt.co.kr