[ICT 2023 결산⑨] 클라우드보안인증(CSAP) 등급제 시행...'토종 vs 외산' 경쟁

상대적 민감도 낮은 '하 등급' 우선 시행…6개 기업 인증 절차 진행 중
중·상 등급 실증 마무리 단계…정부, "조속히 가이드라인 마련할 것"

[아이뉴스24 박진영 기자] 클라우드 업계의 최대 화두인 클라우드보안인증(CSAP) 등급제가 올해 첫 발을 내디뎠다. 업계에서는 CSAP 등급제 시행으로 국내 시장의 경쟁력 악화를 우려하는 한편 선택의 폭이 넓어짐에 따라 클라우드 생태계가 확장될 것이란 전망도 제기되고 있다.

올해 국내 클라우드 업계에서 주요 화두는 단연 클라우드보안인증(CSAP) 등급제 시행이다. [사진=픽사베이]

◇상대적 민감도 낮은 '하 등급' 우선 시행…"인증 절차 진행 중"

과학기술정보통신부는 지난 1월 CSAP 등급제를 골자로 한 '클라우드 컴퓨팅서비스 보안인증에 관한 고시 일부 개정안'을 공포했다. CSAP는 국내 공공기관·지방자치단체 등에 퍼블릭 클라우드 서비스를 제공하기 위해 필요한 자격 인증이다.

'CSAP등급제'는 국가‧공공기관의 중요도 분류 기준과 절차에 따라 시스템을 상‧중‧하 등급으로 자체 분류하는 것이다. △하등급은 개인정보를 포함하지 않고 공개된 공공 데이터를 운영하는 시스템 △중등급은 비공개 업무자료를 포함 또는 운영하는 시스템 △상등급은 민감정보를 포함하거나 행정 내부업무 운영 시스템으로 분류한다.

27일 업계에 따르면, AWS, 구글 등 외국계 기업을 포함해 6개 기업이 CSAP '하' 등급 인증을 신청하고, 인증 평가절차가 진행 중이다. 일반적으로 CSAP 취득까지 6개월 이상 기간이 소요됐던 점을 고려하면 내년 초는 돼야 CSAP 하등급 취득 기업이 나올 것으로 예상된다.

지금 상황에서는 논리적 분리를 허용한 '하등급'에서 외국계 클라우드 기업도 CSAP 인증을 받을 수 있다. 논리적 분리는 서버 가상화와 네트워크 가상화 기술을 기반으로, 논리적으로 분리된 가상 네트워크상에 구성할 수 있다. 국내 민간 클라우드 시장의 70%를 독점하고 있는 AWS도 공공 시장에 진출할 수 있는 기회가 열린 것이다.

◇중·상 등급 실증 마무리 단계…"가이드라인 조속히 마련할 것"

과학기술정보통신부, 한국인터넷진흥원(KISA) 등은 CSAP 중·상 등급 실증을 마무리하고, 제도 개선안을 조속히 발표할 방침이다. 이 실증 사업은 '공공부문 클라우드 활용 선도과제 발굴 지원 사업'으로 진행됐고, KT클라우드·NHN클라우드 등 국내 클라우드서비스사업자(CSP)들이 참여한 것으로 알려졌다. 민간 클라우드 서비스를 중·상등급의 공공 시스템에 적용할 수 있는 지 등을 검증하는 과정이다.

과기정통부 관계자는 "현재 실증 과정을 차질없이 진행 중이고, 연내에 중·상 등급에 대한 가이드라인을 내놓을 것"이라고 밝혔다. 정부 가이드라인이 발표되면, 내년 초부터는 중·상 등급 인증 신청도 받을 것으로 기대된다.

업계에서는 CSAP 등급제 시행으로 국내 시장 경쟁력 악화를 우려하는 한편 선택의 폭이 넓어짐에 따라 클라우드 생태계가 확장될 것이란 의견도 나온다.

업계 관계자는 "공공시장 매출 비중이 높은 국내 클라우드제공기업(CSP)들은 대규모 자본력과 기술력을 갖추고 있는 글로벌 CSP들의 진출을 우려하고 있다"며 "글로벌 CSP들이 국내 공공 진출을 위한 CSAP 신청을 받으면 국내 업체의 설 자리가 좁아질 수 있다"고 우려했다.

또 다른 업계 관계자는 "CSAP 인증으로 클라우드 시장이 개방되는 것은 소비자 입장에서는 선택의 폭이 넓어진다는 장점이 있다"며 "안정성과 신뢰성이 입증이 된 CSP가 증가하게 되면서 클라우드 생태계가 확장될 것으로 기대한다"고 밝혔다.

/박진영 기자(sunlight@inews24.com)