국가 클라우드 보안개편에 국내 CSP 우려…“기존 투자·인증 인정해야” 작성일 09-02 17 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="U1QNnP3GCY"> <figure class="figure_frm origin_fig" contents-hash="ed61aec14ae5ceb105f6410f797ec5e315397d3e74e53715585ef5a0df75f940" dmcf-pid="um0fb3IkvW" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202609/02/552796-pzfp7fF/20260902131947124juhn.png" data-org-width="640" dmcf-mid="p4iwAJqFTG" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202609/02/552796-pzfp7fF/20260902131947124juhn.png" width="658"></p> </figure> <p contents-hash="a6560bce81439b8e90c5064903a0945c319590fd1afef7ee510f1ecf96936a8f" dmcf-pid="7sp4K0CEWy" dmcf-ptype="general">[디지털데일리 이안나기자] 국가정보원이 국가망보안체계(N²SF)에 맞춰 국가 클라우드 컴퓨팅 보안 가이드라인 개정을 추진하자 국내 클라우드서비스제공사(CSP)들이 기존 투자와 인증을 새 제도에서도 인정해야 한다고 요구했다.</p> <p contents-hash="e2c21c4d86ec4bf220ba6b3f63aa22a3cb23278950d90e479acbbe9987b2ca8c" dmcf-pid="zOU89phDlT" dmcf-ptype="general">국제기준과 다양한 클라우드 운영방식을 수용하는 과정에서 외국계 사업자 진입 부담은 낮아지는 반면, 정부 기준에 맞춰 공공 전용 인프라를 구축해 온 국내 사업자에는 재투자와 재검증 비용이 발생할 수 있다는 우려다.</p> <p contents-hash="8a892197803844d315a8b1510fa6468d0d94ba5efce08135fada13fe7daa5c61" dmcf-pid="qIu62Ulwlv" dmcf-ptype="general">2일 한국인공지능클라우드산업협회에 따르면 협회 산하 CSP분과위원회는 지난달 26일 국내 주요 CSP가 참석한 가운데 가이드라인 개정과 관련한 회의를 열었다. 이후 참여기업을 대상으로 개정안이 서비스 제공과 운영에 미칠 영향에 대해 서면 의견도 수렴했다.</p> <p contents-hash="82af4fa0bee2255e6f32882af854a5ecc4092954af9bb2b0e947439fff2fabc2" dmcf-pid="BC7PVuSrlS" dmcf-ptype="general">국내 CSP들은 데이터 중요도와 위험 수준에 따라 보안조치를 차등 적용하고 공공부문 클라우드와 인공지능(AI) 활용을 확대한다는 정책 방향에는 대체로 동의했다. 다만 기존 보안정책을 준수하며 구축한 인프라와 인증체계를 어떻게 새 제도와 연결할지가 먼저 정해져야 한다는 입장이다.</p> <p contents-hash="8368838d3f7d498c0a2b1b0b8de96cb2bc9f39b8b59b73365a8b1e943e60fc60" dmcf-pid="bhzQf7vmWl" dmcf-ptype="general"><strong>◆“물리적 분리 맞춰 투자”…기존 인증 연계 요구</strong></p> <p contents-hash="69442ce52eb4df996080b0c53f69a387452f86ff2c057cc447a1de47b9aec9f2" dmcf-pid="Klqx4zTsSh" dmcf-ptype="general">국내 CSP들은 국가·공공기관에 서비스를 제공하기 위해 국내 데이터센터와 보안설비, 운영인력, 전용 관리체계에 투자해 왔다. 일반 민간 서비스 영역과 물리적으로 분리한 공공 전용 환경도 별도로 구축했다.</p> <p contents-hash="4f33d4f67e448d9f64ec70dfac632c60fa77b36aac21f26f53bbc272280efea3" dmcf-pid="9qosELKplC" dmcf-ptype="general">기존 클라우드 보안인증과 구축·운영체계를 새 제도에서 인정하지 않으면 동일하거나 유사한 항목을 다시 검증받고 시스템도 추가로 구축해야 한다. 이에 따라 비용 부담이 늘고 기존 서비스를 새 체계로 전환하는 기간도 길어질 수 있다는 게 업계 주장이다.</p> <p contents-hash="becb138e1bac5a9c3c1d65021479e502e8c6fda7c8983aade8ce425bfc3c03c7" dmcf-pid="2BgODo9UCI" dmcf-ptype="general">현행 제도가 외국계 사업자를 명시적으로 배제했던 것은 아니다. 한 국내 CSP 관계자는 “기존 제도에도 외국계와 국내 사업자를 국적에 따라 차별하는 요소는 없었다”며 “외국계도 물리적 분리 요건을 충족하면 공공시장에 진입할 수 있지만 그동안 이를 위한 별도 환경을 구축하지 않았을 뿐”이라고 설명했다.</p> <p contents-hash="be8cd7fc0b2b7d4b916ba641582892a8fc9cf51467343c784b38df8a220a75c3" dmcf-pid="VbaIwg2ulO" dmcf-ptype="general">국내 업계가 제기하는 형평성 문제는 외국계 진입 허용 여부보다 기존 정책에 따라 집행한 투자와 인증 비용을 새 제도에서 어떻게 인정할지에 가깝다. 국내 CSP가 물리적 분리 환경을 구축한 뒤 제도가 바뀌어 다른 운영방식이 허용될 경우 기존 투자가 오히려 비용 부담으로 남을 수 있기 때문이다.</p> <p contents-hash="101739efca0d6d2b55ebf5366199fb53833f481aa3cbcaf6feacb1e5475f3cb7" dmcf-pid="fKNCraV7Cs" dmcf-ptype="general">협회는 기존 인증 결과와 구축·운영체계를 최대한 인정하고 가이드라인 개정으로 변경되거나 추가되는 항목을 중심으로 검증하는 방안을 제안했다. 사업자 국적이나 규모가 아니라 실질적인 보안 수준과 서비스에 대한 관리·통제 가능성을 기준으로 동일하게 제도를 적용해야 한다는 요구도 내놨다.</p> <p contents-hash="146d76ebfb47f782b7254de479bb83c47ebaeca0799ef9427329a2d14ddca923" dmcf-pid="49jhmNfzTm" dmcf-ptype="general"><strong>◆ </strong>“<strong>GPU·AI 서비스까지 적용범위 구체화해야</strong>”</p> <p contents-hash="b6878f1c4fbc7d68f5e2b00337715c34acbaeb75370196fd55039727bcfaeae2" dmcf-pid="82Alsj4qhr" dmcf-ptype="general">보안요건이 적용되는 시스템과 구성요소의 범위를 명확히 해달라는 의견도 나왔다. 서버와 스토리지, 네트워크, 보안, 가상화 등 기존 클라우드 인프라뿐 아니라 GPU 기반 AI 인프라와 AI 서비스 환경까지 고려해 구성요소별 보안요건과 분리·보호 기준을 구체적으로 제시해야 한다는 것이다.</p> <p contents-hash="b5ce07cf64440ed527f985343e15b9a37e7320845953b230d015b972b4f3fcec" dmcf-pid="6VcSOA8Bvw" dmcf-ptype="general">세부 기준이 명확하지 않으면 공공기관과 검증기관, CSP마다 해석이 달라질 수 있다. CSP가 기준에 맞춰 서비스를 설계했는데도 검증 과정에서 다른 해석이 적용되면 시스템을 변경하거나 서비스를 다시 개발해야 할 가능성도 있다.</p> <p contents-hash="09556618e3644a09d88e628c245b1ae8d3418262abdfed5f5b59d6f4b095dcbc" dmcf-pid="PfkvIc6byD" dmcf-ptype="general">국내 CSP 관계자는 “공공부문 AI 활용을 확대하려면 기관 자체 인프라에만 의존하기보다 S등급 영역에서 검증된 민간 클라우드와 GPU·AI 서비스를 활용할 수 있어야 한다”고 말했다.</p> <p contents-hash="0a72fd519a40a97a725dcd612012be42590d04ca05b1d3de9936933455356126" dmcf-pid="Q4ETCkPKTE" dmcf-ptype="general">협회는 다양한 클라우드·AI 서비스의 기술과 운영환경을 반영한 세부 지침을 마련하고, 지침 수립 과정에 서비스를 직접 구축·운영하는 CSP의 의견을 반영해야 한다고 요청했다.</p> <p contents-hash="803c19899a87bd658982a073ba52d83e8dd8afa9f5dabf5106004747d7eb2cf4" dmcf-pid="xuiwAJqFCk" dmcf-ptype="general"><strong>◆세부 지침과 함께 단계적 전환방안 마련 요구</strong></p> <p contents-hash="f36a6696f7dd9eee62c6846011ea5830291f7d69e0213cab7537fdb1cb3a06ea" dmcf-pid="ycZBUXDgvc" dmcf-ptype="general">업계는 개정된 기준을 현장에 적용하기 전 충분한 준비기간도 보장해야 한다고 강조했다. 세부 적용기준이 정해지지 않은 상태에서 제도가 시행되면 CSP가 서비스 구조와 운영체계를 확정하기 어려워지고 상품 출시도 늦어질 수 있다.</p> <p contents-hash="f5adf7cb410912e4e05ad707baeb6a3fa5a91ab72d53fafae2555c087b74db44" dmcf-pid="Wk5buZwayA" dmcf-ptype="general">이에 개정안과 함께 세부 해설과 검증절차를 안내하고 기존 인증과 운영체계를 새 제도에 연계하는 단계적 전환방안을 마련해야 한다고 제안했다. 신규 클라우드·AI 서비스를 개발한 뒤 보안요건 부적합 판정을 받아 재개발하는 일을 막기 위해 개발 초기 단계에서 요건을 확인할 수 있는 사전 검토나 컨설팅 절차도 필요하다고 봤다.</p> <p contents-hash="5e65aa204d9b6340299447f2435d0218c1964db5bf9c6d325e9c1e61e7b3e9ce" dmcf-pid="YE1K75rNWj" dmcf-ptype="general">협회는 지난달 CSP 분과위원회 회의와 서면 의견수렴에 이어 후속 분과위원회 회의와 참여기업별 심층 간담회를 진행할 예정이다. 기존 인증 연계방안과 보안요건 적용범위, 서비스 운영에 미칠 영향, 적정 준비기간, 국내외 사업자 간 형평성을 중심으로 업계 의견을 구체화할 계획이다.</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p> 관련자료 이전 [서울데이터랩]9월 2일 암호화폐 시총 상위종목 동향 09-02 다음 정재헌 SKT CEO "AI 시대, 통찰·공감 갖춘 인재 필요" 09-02 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
