정부 클라우드 보안인증 완화 공식화에 업계 우려 여전

현행 CSAP→상·중·하 세 등급으로 개편 예고

"내부 검토 원안 강행한 셈"…후속 논의 필요

[사진=게티이미지뱅크]

윤석열 정부가 국가기관 등에 민간 클라우드 서비스를 제공하는 기업 부담을 덜어 준다는 취지로 공공 시장에서 필수 자격인 '클라우드 보안인증(CSAP)' 제도 문턱을 낮춘다. 단일 체계인 현행 CSAP 제도 평가기준을 세 등급(상·중·하)으로 나눠 최저 등급으로 인증을 평가할 때 '물리적 망 분리'와 같은 요건을 빼는 식으로 완화한다는 방침이다. 그간 국내 클라우드 산업계 관계자들에게 이런 정책에 대한 여러 부정적 의견을 들었음에도 "아직 결정된 것이 아니다"며 안심시켰지만 당초 알려진 개편 방향의 틀을 그대로 확정한 셈이 됐다.

정부는 18일 한덕수 국무총리 주재로 열린 제5회 국정현안점검조정회의에서 CSAP 등급제를 도입하고 등급별로 완화한 평가기준을 차등 적용하겠다는 계획을 담은 '정보보호 규제개선 추진 상황 및 계획'을 논의했다. 과학기술정보통신부 등 관계기관과 대통령 직속 디지털플랫폼정부위원회가 협업하고 이해관계자 의견 수렴을 거쳐 세부적인 CSAP 제도 개편 방안을 마련하고 지속적인 현장 적용 모니터링과 추가 개선 사항 발굴을 통해 규제 개선 효과를 극대화해 나갈 예정이라고 강조했다.

홍진배 과기정통부 네트워크정책실장은 이날 브리핑을 통해 "클라우드는 디지털 대전환 필수 서비스이자 디지털 플랫폼을 성공적으로 구현하기 위한 핵심 요소인데 공공에서 민간 클라우드 이용 시 한 규제만 이용해야 해 어려움이 있었다"고 말했다. 그는 이어 "상·중·하 세 가지로 구분한 CSAP 등급에 따라 평가기준을 차등화하면서 보안성을 유지해 기업 부담을 완화하는 제도를 만들겠다"며 "등급을 나눴을 때 (현행 CSAP 평가기준이 요구하는) 물리적 망 분리를 완화하는 것도 같이 검토될 것"이라며 "관련 기관, 업계와 더 논의할 계획"이라고 덧붙였다.

이달 초까지 과기정통부가 비공개로 산업계 의견을 수렴해 왔지만 앞으로는 공식적으로 디지털플랫폼정부위원회 차원에서 CSAP 등급제 도입과 평가기준 완화 방침 세부 내용이 논의된다. 신설될 CSAP '하(下) 등급' 평가기준에서 물리적 망 분리 요건을 완화하는 방안이 검토될 예정인데, 이 방안이 실현되면 윤석열 정부가 현행 CSAP 제도를 따르면서 '디지털 주권(digital sovereignty)'을 수호하는 자국 기업보다 물리적 망 분리를 '무역장벽'으로 규정하고 완화를 촉구해 온 미국 정부와 기업 이익을 더 챙기려고 했다는 비판을 면하기 어려워진다.

홍 실장은 "인증제도(개편안)가 구체적으로 나와 봐야 알겠지만 민간 클라우드 시장을 확대하는 방향으로 갈 것"이라며 "클라우드 이전 대상 자체가 넓어져 인프라(IaaS)뿐 아니라 소프트웨어(SaaS)도 공공에 제공하는 여건이 마련되고 민간 시장에 활력을 불어넣을 수 있다"고 주장했다. 예를 들어 현행 CSAP와 동등한 '중(中) 등급' 평가기준을 구성하고 이 등급을 받은 민간 클라우드에 지금보다 훨씬 많은 공공 정보시스템을 이관할 수 있도록 국가기관 등 시스템을 재분류하는 정책이 추진된다면 이런 주장의 근거가 될 수 있다.

하지만 국내 업계는 대체로 CSAP 등급제 도입과 평가기준 완화 추진에 부정적이다. 클라우드업계 관계자는 "지금처럼 공공의 민간 클라우드 시장 확대가 정체된 상황에 CSAP(평가기준)를 세분화하는 목적이 불분명하다"면서 "우선 과거 CSAP로 이관하지 않은 행정·공공기관 내 모든 정보시스템이 민간 클라우드로 이전될 수 있다는 전제가 있어야 한다"고 지적했다. 다른 관계자는 "등급제 도입 시 관련 업계와 충분한 협의가 필요하다"며 "공공부문 클라우드 전환 활성화 정책이 함께 논의되길 바란다"고 말했다.

한국클라우드산업협회 관계자는 "결국 정부가 검토 단계에 갖고 있던 원안을 유지한 것"이라며 "정부가 제도 개편 방침을 공식화한 만큼 앞으로 디지털플랫폼정부위원회에서 이해관계자들과 산업 발전을 위한 심도 깊은 논의가 이뤄지길 바란다"고 말했다.