'클라우드 보안 인증' 개편 … 美빅테크 공공시장 문턱 낮아질듯

정부, 개편방안 내년 7월 시행
클라우드 사업자 공공 진출때
국정원 단일 검증으로 일원화
AWS 등 외국기업 진출 가능성

정부가 그동안 민간 클라우드 사업자의 공공시장 진입 시 이중 규제로 여겨지던 '클라우드 보안인증(CSAP)'과 '국가정보원 클라우드 보안검증'을 내년 7월부터 국정원 단일 검증 체계로 일원화한다.

클라우드 서비스 제공사(CSP)가 공공시장에 들어가기 위해 과학기술정보통신부의 CSAP와 국정원의 보안 기준 충족이라는 심사를 두 차례 받아야 했던 번거로움을 없애고 검증 주체를 하나로 합치기로 했다. 정보기술(IT)업계에선 절차 간소화를 환영하면서도 이번 개편이 외국 기업의 진입장벽을 낮추는 '빗장 풀기' 신호탄이 될지, 아니면 안보를 명분으로 토종 클라우드 보호를 강화하는 계기가 될지 예의 주시하는 분위기다.

20일 과기정통부와 국정원은 내년 하반기부터 국정원 검증으로 통합·운영되는 '공공 클라우드 보안인증 개편 방안'을 발표했다. 기존에는 유사한 보안 항목에 대해 두 부처의 검증을 각각 통과해야 했으나, 앞으로는 국정원이 올 상반기 중 개정할 예정인 '국가 클라우드 컴퓨팅 보안 가이드라인'에 맞춰 한 번의 검증으로 공공시장 진출 여부가 결정된다.

국정원은 "필수 보안 요건 위주로 평가 기준을 최소화하는 등 불필요한 행정 부담을 낮출 것"이라고 강조했다. 다만 구체적인 가이드라인은 아직 베일에 가려져 있다. 현행 체계에선 2023년 CSAP에 시스템 중요도에 따른 상·중·하 등급 체계가 만들어지면서 외국 기업 중 아마존웹서비스(AWS), 마이크로소프트(MS), 구글 클라우드 등이 CSAP '하' 등급을 받아 공공시장에 일부 진출할 수 있는 길이 열린 상태다. 하 등급은 소프트웨어적으로 가상의 망분리 효과를 내는 '논리적 망분리'를 허용해 외국 기업의 진입이 가능하지만, 중·상 등급은 정부망과 외부 인터넷망을 철저히 분리해야 하는 '물리적 망분리'까지 충족해야 한다. 그동안 중·상 등급 시장은 국내 클라우드 사업자들이 주도해왔다.

지난달 미국 무역대표부(USTR)는 2026년 무역장벽보고서에서 한국의 CSAP가 자국 기업의 참여를 제한한다고 지적한 바 있다. 이번 개정이 통상 마찰을 해소하고 외국산 클라우드의 국내 공공시장 점유율을 확대하는 신호탄이 될 수 있다는 전망이 나온다.

이와 관련해 국정원은 이르면 다음달 공공기관 데이터와 국가 정보 시스템의 중요도에 따라 등급화하는 '국가망보안체계(N2SF)' 시행을 앞두고 있다. 국정원의 N2SF는 시스템 중요도를 기밀(C)·민감(S)·공개(O) 등급으로 구분해 현재 업계가 주목하고 있는 논리적 망분리를 어디까지 허용할지는 아직 명확해지지 않았다. 국정원 관계자는 "N2SF와 CSAP 등급이 달라 혼선이 있던 부분은 제도 마련 과정에서 정책의 정합성을 맞춰갈 계획"이라고 설명했다.

[고민서 기자]