韓 보안인증 따낸 MS…공공 클라우드 '빅테크 공습'

인증 장벽 넘어선 빅테크
공공기관에 서비스 제공 가능
구글·아마존도 진출 '초읽기'
민간 시장, 이미 외산이 점령
업계 "공공 영역도 잠식 우려"

마이크로소프트(MS)가 클라우드 보안인증(CSAP)을 통과하며 국내 공공 분야 클라우드 시장에 진출할 채비를 마쳤다. MS를 필두로 아마존웹서비스(AWS), 구글 등 해외 빅테크가 본격적으로 국내 공공 시장을 공략할 것이란 전망이 나온다.

 빅테크, 한국 인증 돌파

MS는 한국인터넷진흥원(KISA)으로부터 CSAP ‘하’ 등급을 획득했다고 2일 발표했다. 해외 클라우드 서비스 제공사업자(CSP) 중 최초다. 유현경 한국마이크로소프트 공공사업본부 부문장은 “MS가 보안인증을 획득한 선도 사례를 마련해 뜻깊게 생각한다”며 “국내 공공기관의 높은 보안 요구를 충족할 것”이라고 말했다.

CSAP는 국내 공공기관에 클라우드 서비스를 공급하기 위해 필요한 인증이다. 시스템 보안 수준에 따라 상·중·하 등급으로 나뉜다. MS는 이번에 가장 낮은 하 등급 인증을 받았다. CSAP는 한국 업체에 유리한 인증으로, 그간 국내 시장의 방파제 역할을 해왔다. 데이터센터를 한국에 둬야 한다는 게 가장 큰 특징이다. 최근 완화되긴 했지만 국제 표준인 AES 알고리즘 대신 아리아, 시드 등 국내 암호화 알고리즘 기반의 암호 모듈을 사용한다는 규정도 빅테크에 ‘허들’로 작용했다. 미국 정부와 싱크탱크 등이 2021년부터 CSAP의 문제점을 지적한 보고서를 꾸준히 내놓은 배경이다.

MS의 이번 인증 획득으로 국내 공공 분야 클라우드 시장을 해외 기업이 잠식할 것이라는 우려가 커진다. 행정안전부가 지난 2월 발표한 ‘2024년 행정·공공기관 클라우드컴퓨팅 수요 예보’에 따르면 클라우드 전환 대상인 국내 공공·행정기관 시스템 1만6504개 중 2022년까지 클라우드로 전환 완료된 시스템은 2959개(17.9%)에 그쳤다. 아직 개척되지 않은 시장이 상당한 만큼 외산 CSP의 시장 선점 경쟁이 치열해질 것이라는 전망이 나온다. 업계 관계자는 “전체 공공·행정기관 시스템의 20%가량이 CSAP 하 등급 전환 대상으로 추산된다”며 “현재 인증만으로도 침투할 수 있는 시장이 상당하다”고 설명했다.

다른 빅테크의 시장 진입도 시간문제다. 과학기술정보통신부에 따르면 현재 AWS와 구글은 인증 절차를 밟고 있다. 특히 구글은 인증 작업이 마무리 단계에 접어든 것으로 전해졌다.

 외산 클라우드 입김 강해져

국내 민간 클라우드 시장은 해외 CSP의 놀이터가 된 지 오래다. 지난 7월 과기정통부가 발표한 ‘2023년 부가통신사업 실태조사’에 따르면 국내 민간 회사 중 AWS의 클라우드 서비스를 이용하는 기업 비중은 60.2%(중복 응답)에 달했다. MS와 구글을 이용하는 기업 또한 24.0%, 19.9%에 달했다. 국내 기업 중 두 자릿수 이용률을 기록하는 곳은 네이버클라우드(20.5%)뿐이다.

업계는 클라우드 정책을 수립하는 과정에서 해외 기업의 요구가 더 많이 반영되는 흐름을 우려하고 있다. 지난해 1월 CSAP 등급제가 도입될 때 국내 업계는 하 등급에서 논리적 망 분리를 허용하는 데 반대했으나, 결국 논리적 망 분리가 허용됐다. 망 분리는 네트워크를 물리적으로 분리해 외부 위협을 차단하는 것을 의미한다. 논리적 망 분리는 소프트웨어로도 구현할 수 있어 해외 기업에 유리하다. 업계 관계자는 “암호화 알고리즘 역시 기존 국내 표준만 인정되던 것에서 해외 표준까지 확대되는 추세”라고 지적했다.

정책 환경의 빈번한 변화로 국내 기업들의 시장 대응이 어려워진 점도 문제로 지적된다. 지난해 1월 CSAP 등급제가 도입됐지만 중·상 등급 시행은 지연되고 있다. 세부 지침을 놓고 논란이 끊이지 않아서다.

황동진 기자 radhwang@hankyung.com