과학기술정보통신부가 '클라우드 보안인증(CSAP)'의 상·중등급의 기준을 마련 중인 가운데 오라클과 아마존웹서비스(AWS)는 각각 중등급과 하등급 취득을 1차 목표로 삼고 있다.
CSAP 등급제는 공공 부문의 민간 클라우드 이용 활성화를 통해 공공서비스를 혁신하고 클라우드 산업의 경쟁력을 강화하기 위해 지난 2023년 1월 도입됐다. 그전에는 등급 구분없이 하나의 CSAP로 시행됐다. 과기정통부는 CSAP를 상·중·하 등급제를 시행하며 등급별로 보안인증 평가기준을 차등화했다. 당시 상등급은 기존 평가기준을 보완‧강화, 중등급은 현행 수준 유지, 하등급은 합리적으로 완화하기로 하고 하등급을 먼저 시행했다. 상·중등급은 관계부처와 함께 실증‧검증을 거쳐 보안인증 평가기준을 마련하기로 했다.
이에 AWS·마이크로소프트(MS)·구글·오라클 등 글로벌 클라우드서비스제공사업자(CSP)들은 CSAP에 대한 검토와 준비에 들어갔다. 그들은 글로벌 기업이 충족하기 어려운 단일 등급의 CSAP를 취득할 수 없어 국내 공공 클라우드 시장에는 진입하지 못하고 있었다. 하지만 기존 기준보다 완화된 하등급은 도전할 수 있었다. 이에 MS와 구글은 CSAP 하등급을 취득했다.
오라클과 AWS는 아직이다. 오라클은 CSAP의 상등급과 중등급을 우선적으로 바라보고 있다. 오라클은 클라우드 시장에서는 후발주자이지만 데이터베이스관리시스템(DBMS) 시장에서는 절대 강자다. 상당수의 공공기관들도 오라클의 DBMS를 이용하고 있다. 이에 오라클은 기존 공공기관 시스템에 반영된 DBMS와 클라우드를 함께 제공하는 방안을 검토 중이다. 하지만 이는 CSAP 하등급으로는 불가능하다. 오라클의 DBMS가 적용된 중요한 시스템의 데이터를 클라우드로 옮기려면 중등급 이상의 CSAP 등급이 필요하다. 김성하 한국오라클 사장은 11일 서울 강남구 그랜드 인터컨티넨탈 서울 파르나스에서 열린 '오라클 클라우드 서밋 2025 기자간담회'에서 "오라클 DBMS에서 공공기관들의 민감한 기간계 업무 데이터가 운영되고 있다"며 "CSAP 하등급만으로는 공공기관의 기간계 업무까지 커버하기가 어렵다고 보고 정부의 상·중등급 기준 발표를 기다리고 있다"고 말했다.
글로벌 1위이자 한국 민간 클라우드 시장 1위인 AWS는 우선 하등급을 우선적으로 노린다. AWS는 지난해 하반기 과기정통부에 CSAP 하등급 신청을 했고 현재 결과를 기다리고 있다. MS와 구글은 AWS에 앞서 신청을 한 가운데 CSAP 하등급을 획득했다. KT클라우드·네이버클라우드·NHN클라우드 등 토종 CSP들은 등급제 시행 전에 CSAP를 획득해 공공 시장에 클라우드 인프라를 제공하고 있다.
과기정통부는 국가정보원이 지난 1월 공개한 '국가 망 보안체계(N2SF: National Network Security Framework)' 가인드라인을 참고해 CSAP 상등급과 중등급의 기준을 마련할 계획이다. 국정원은 N2SF 가이드라인을 올해 하반기부터 시행할 계획이다. 이 가이드라인은 정부 전산망을 업무 중요도에 따라 △기밀 △민감 △공개 등 3가지로 분류한다. 등급에 따라 보안 통제 항목을 차등 적용한다. 보안 통제 항목은 △권한 △인증 △분리 및 격리 △통제 △데이터 △정보자산 등이다.
국정원이 N2SF 가이드라인을 공개하면서 과기정통부의 CSAP와 중복되는 부분이 있는지, CSAP가 N2SF로 흡수되는 것은 아닌지 등에 대한 궁금증이 제기됐다. 이에 과기정통부는 CSAP에 N2SF를 반영하기로 했다. 과기정통부 관계자는 "국정원의 N2SF가 발표되면서 CSAP의 상등급과 중등급 기준 내용도 보완하고 있다"며 "보완되는 내용이 담긴 행정고시가 완료되어야 CSAP 상등급과 중등급이 시행될 것"이라고 말했다.
박현준 기자
