[IT 소식] 클라우드 보안 인증제 개편 논의 수면위로...파장 관심집중

 

 

클라우드 보안 인증제 개편 논의 수면위로...파장 관심집중

[사진: 셔터스톡]

정부가 규제 개선 일환으로 클라우드 서비스 보안 인증(CSAP) 제도를 완화한다는 방침을 공식화하면서 공공 클라우드 시장을 둘러싼 업계 판세 변화가 관전포인트로 급부상했다.

과힉기술정보통신부는 최근 발표한 ‘정보보호 규제개선 추진상황 및 계획’을 통해 기존 지침이 산업 발전을 저해한다고 보고 클라우드 컴퓨팅 서비스 보안 인증 제도도 개선하기로 했다.

클라우드 업체들이 공공 시장에 서비스를 제공하기 위해 받아야 하는 클라우드 서비스 보안 인증(CSAP)을 현재 단일 등급에서 상, 중, 하 세등급으로 나누는 것이 변화의 골자.

과기정통부는 민감정보 등을 다루는 클라우드에 대해서는 보안성을 높이고, 보안 위험이 상대적으로 낮은 공개데이터를 다루는 클라우드에 대해서는 부담을 완화하는데 무게를 두고 있다. 이를 통해 공공 기관들에서 민간 클라우드 사용이 확대되는 발판이 마련될 것이란게 과기정통부 설명이다.

세부적인 방안은 디지털플랫폼정부위원회와 관계기관 등이 협업해 산학연관 등 이해관계자 의견 수렴을 거쳐 마련하고, 향후에도 디지털플랫폼정부위원회를 통해 현장 적용을 지속 모니터링하고, 추가 개선사항을 발굴해 나간다는 방침이다.

현재 CSAP 인증을 받으려면 공공 전용 공간을 국내에 두고 물리적 망분리, CC인증 등과 같은 요구사항에 맞춰야 한다. 망분리 등과 같은 조건들은 글로벌 클라우드 업체들이 따르기가 현실적으로 쉽지 않은 것들이다. 실제로 CSAP를 받은 글로벌 클라우드 서비스 업체들은 아직 한군데도 없는 상황이다.

하지만 정부 발표를 보면 일부 공공 시스템들에 대해선 물리적 망 분리 규정을 완화하는 방안이 적용될 가능성이 높아 보인다. 낮은 등급 CSAP에선 글로벌 회사들의 공공 시장 진입에 걸림돌이 됐던 결정적인 요소들이 제거될 수 있다.

아마존웹서비스(AWS), 마이크로소프트 등 글로벌 클라우드 업체들은 국내 CSAP 제도가 국제 관행해 비춰봤을 때 과도한 수준이라며 완화할 필요가 있다는 입장을 강조해왔다. 그런 만큼 정부가 추진하는 CSAP 제도 개편 논의에 촉각을 곤두세우고 있는 모습이다. 글로벌 클라우드 업체 한 관계자는 "AWS, 마이크로소프트, 구글 모두 CASP 인증 규제 완화에 대해서는 다 같은 입장"이라고 말했다.

공공 시장 진출을 위한 글로벌 클라우드 업체들의 행보도 꿈틀거리는 분위기다.

사이버 보안 업체  윈스는 최근 아마존웹서비스(AWS) 파트너 혁신 프로그램(PTP; Partner Transformation Program)을 통해 공공분야 클라우드 비즈니스 공식 파트너로 선정됐다고 밝혔다.

이와 관련해 윈스는 "현재 클라우드보안인증(CSAP) 제도 등급제 도입 등 시장 변화가 논의되는 시점에서 클라우드를 통해 다양한 혁신을 추진하는 공공 사례가 증가할 것으로 기대하고 있으며, 이번 프로그램을 계기로 공공분야 고객 클라우드 전환 수요에 발 빠르게 대응하기 위해 AWS와의 협력과 고객 지원을 강화해 나갈 것"이라고 강조했다.

과기정통부는 최근 CSAP 인증 제도 개편과 관련해 물밑에서 국내 업체들과 논의를 진행해온 것으로 전해진다. 하지만 앞으로는 디지털플랫폼정부위원회를 중심으로 CSAP 등급제 도입과 평가기준 완화 방침 등 세부 내용이 논의된다.

국내 업체들은  과기정통부가 발표한 대로 CSAP 제도가 3등급으로 나눠지면 해외 업체들에 국내 시장을 열여 줄 수 밖에 없고, 데이터 주권에도 영향을 미칠 수 있는 만큼 신중한 접근이 필요하다는 입장을 분명히 하고 있다.  분위기를 보면 향후 정책  논의 과정에서 국내 클라우드 업체들 목소리는 더욱 커질 가능성이 높다.

국내 클라우드 업체 한 관계자는 ""CSAP은 국가 공공 정보, 데이터 주권을 지키기 위한 합리적인 제도로 전 부처가 동일한 기준을 적용해서 민간 클라우드를 도입할 수 있는 통합적 기준으로 삼는 축이 되어야 한다"고 주장했다.

CSAP 인증 제도는 과기정통부 소관이지만 적용 대상인 공공 기관 시스템들을 관리하는 부처는 행정안전부다. 세등급으로 나쥔 CSAP 인증에 적용되는 공공기관 시스템들을 정하는 과정은 국가정보원 및 행정안전부와 의견 조율이 필요하게 마련이다. 

이 과정도 만만치 않을 수도 있다. 과기정통부와 행정안전부 간 CSAP 제도 변경을 둘러싸고 의견이 있다는 얘기도 이미 나오고 있다.



출처 : 디지털투데이
http://www.digitaltoday.co.kr/news/articleView.html?idxno=458402