국정원, 클라우드 보안인증 전면 개편…국내 CSP "해외 사업자만 유리해진다" 반발 작성일 09-07 47 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">계정 생성·삭제와 서버·스토리지 조작 권한 등 데이터 통제권 상실 우려도</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="PWK9YRu5lR"> <figure class="figure_frm origin_fig" contents-hash="2559c0f2e0612c3f77bde28dc894fae4e75832d28a5edd10ca13df0c31c67d35" dmcf-pid="QY92Ge71CM" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202609/07/552796-pzfp7fF/20260907155717345puys.jpg" data-org-width="640" dmcf-mid="6szqvP3Gve" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202609/07/552796-pzfp7fF/20260907155717345puys.jpg" width="658"></p> </figure> <p contents-hash="4004f57c5317e6069c32deed9d7d8437e140000651c98299e65738ccd72db65d" dmcf-pid="xG2VHdztCx" dmcf-ptype="general">[디지털데일리 박재현기자] 국가정보원이 클라우드 보안인증 체계를 CSAP에서 국가망보안체계(N2SF)로 전면 개편한다. 시행은 내년 9월부터다. 관제·운영시스템을 해외에 둘 수 있게 되면서 국내 CSP들은 해외 사업자의 공공 클라우드 시장 진입 문턱이 낮아졌다며 반발하고 있다.</p> <p contents-hash="01cd9b651b4acd8d050af62aa5a67024b5b317e2a51d4047f14353b7b396da1e" dmcf-pid="y2NjVIiPlQ" dmcf-ptype="general">7일 한국인공지능클라우드산업협회(KACI) CSP분과위원회가 개최한 국가 클라우드 컴퓨팅 보안 가이드라인 개정 관련 간담회에서 이 같은 내용이 공유됐다.</p> <p contents-hash="f2465f44a1121efa809c08c3906d773615a0571aedb26b05cee8ac51218b1236" dmcf-pid="WVjAfCnQWP" dmcf-ptype="general">CSAP는 공공기관에 클라우드를 공급하는 CSP가 반드시 받아야 하는 인증 제도다. 새 체계인 N2SF에서는 등급이 개방(O)·민감(S)·기밀(C)로 나뉜다.</p> <p contents-hash="bf14a6a78f3571c6c73440923cd01467c76785a4d1aa55ea1b1ce9eaa40de689" dmcf-pid="YfAc4hLxW6" dmcf-ptype="general">국내 CSP 업계가 가장 반발하는 지점은 물리적 영역분리 완화다. 물리적 영역분리는 공공기관 워크로드와 민간 고객 워크로드가 같은 인프라를 쓰지 못하도록, 공공 전용 서버·스토리지 존을 별도로 두라는 요건이다.</p> <p contents-hash="d8eb377d15db4dd0be49abaa8decda320d8e8dc796b319d504d1c551b3fa0455" dmcf-pid="G4ck8loMy8" dmcf-ptype="general">이번 개편에서 클라우드 관제·운영시스템, 이른바 '컨트롤플레인'에 한해 물리적 분리를 논리적 분리로 완화했다. 접근권한 통제나 가상화 같은 소프트웨어적 방식으로만 나눠도 되는 만큼, CSP는 관제·운영시스템을 해외에 두고도 국내 공공 클라우드 사업을 할 수 있게 됐다. 다만 실제 데이터가 저장·처리되는 서버는 여전히 국내에 물리적으로 분리해야 한다.</p> <p contents-hash="07c7e14b13f1efad8d01774e4b81c9c5a8f16f554e1cd7ad4c77f2567d3187b9" dmcf-pid="H8kE6SgRS4" dmcf-ptype="general">국내 CSP들은 이 완화가 해외 사업자에게 유리하게 작용한다고 보고 있다. 지금까지는 관제 영역까지 국내에 새로 구축해야 해서 한국 공공시장 규모 대비 투자 부담이 컸다. 관제·운영시스템을 해외 기존 인프라로 대체할 수 있게 되면 신규 투자 규모가 줄어든다. 반면 국내 CSP는 관제 영역까지 국내에 구축하는 데 이미 비용을 집행한 상태다.</p> <p contents-hash="9413ab63788fa8f5e5562ab8cb12f4835685a05371c4a1943e5e3ca033a62743" dmcf-pid="X6EDPvaevf" dmcf-ptype="general">컨트롤플레인 논리적 분리를 인정하는 것에 대해서는 데이터 통제권 우려도 제기된다. 계정 생성·삭제와 서버·스토리지 조작 권한이 관제·운영시스템에 있는 만큼, 이 영역이 해외에 있으면 데이터를 국내에 둬도 통제력이 약해질 수 있다는 지적이다.</p> <p contents-hash="e39ef7489f3b5c8dc87a5a90e4835e8d1298f4aeb40e2b1130212640dc1da070" dmcf-pid="ZPDwQTNdlV" dmcf-ptype="general">기존 인증·투자와의 연계 문제도 핵심 요구 사항으로 꼽힌다. 국내 CSP는 그동안 국내 데이터센터와 보안설비, 운영인력, 물리적 분리환경 등에 투자해왔다. 가이드라인 개편안이 이런 기존 투자와 인증 결과를 충분히 인정하지 않으면 유사한 항목을 다시 구축·검증해야 하는 부담이 생긴다는 지적이다.</p> <p contents-hash="e3f19046cea121f7886e856571a87080957feaebeb8423f60df96ff139bbf214" dmcf-pid="5QwrxyjJS2" dmcf-ptype="general">GPU 기반 AI 인프라에 대한 보안기준도 구체화해야 한다는 요구도 나왔다. 서버·스토리지·네트워크·가상화 등 기존 클라우드 인프라뿐 아니라 GPU와 AI 서비스 환경까지 아우르는 구성요소별 분리·보호 기준이 필요하다는 것이다. 기준이 모호하면 공공기관과 검증기관, CSP마다 해석이 갈려 서비스 설계·구축 과정에서 혼선이 빚어질 수 있다는 우려에서다.</p> <p contents-hash="7660c29e390ab2feb7dd90e167edd88a3f54466c7684790b25a5ea040daed8f7" dmcf-pid="1xrmMWAiS9" dmcf-ptype="general">미국 클라우드법(CLOUD Act)에 대한 우려도 나온다. 관제·운영시스템이 해외에 있을 경우, 미국 정부가 안보를 이유로 데이터 제출을 요구하면 해당 기업은 이를 거부할 수 없다. 국내 공공데이터가 미국 정부에 넘어가는 상황을 국내 기관이 통제할 방법이 마땅치 않다는 지적이다.</p> <p contents-hash="bd2737af78c785e2c028c49297464ae5ffc67b8fcb1a6659b74301653cb91005" dmcf-pid="tMmsRYcnvK" dmcf-ptype="general">장애 발생 시 대응 공백에 대한 우려도 있다. CSP 업계 관계자는 "장애 원인이 해외 관제시스템에 있을 경우 국내 대응이 어려울 수 있다"고 말했다.</p> <p contents-hash="905ee5e0668ca2b43dbcbefb3fe45ddd1b0b32ab815d7a790f046eb345a0714d" dmcf-pid="FUeduc6bvb" dmcf-ptype="general">정부는 개편될 가이드라인과 관련해 충돌 여지가 있는 상위법에 대한 개정도 추진한다는 방침이다. CSAP·N2SF는 법률이 아닌 행정 가이드라인 성격이어서, 클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률과 전자정부법 등 상위 법령과 배치될 소지가 있다. 정부는 관련 법령도 함께 개정하겠다는 방침을 전달한 것으로 확인됐다. 다만 구체적으로 어느 조항을 어떻게 개정할지에 대한 세부 설명은 없었다는 게 참석자들의 전언이다.</p> <p contents-hash="c7cbd66fca4283669e4898e6565dc2b4c45612aa1c28d3dc5375d0727bd76df7" dmcf-pid="3udJ7kPKhB" dmcf-ptype="general">준비 기간에 대해서는 발표부터 시행까지 약 1년의 기간이 짧다는 의견도 나왔다. CSP 업계 관계자는 "아키텍처 전면 재설계에 1년은 물리적으로 빠듯하다"며 "단계적 시행과 유예기간 확보가 필요하다"고 말했다.</p> <p contents-hash="de604bf79644e5ef38df2e1d1f8aa2f4f6b4405e277fdfcd1ff47d7ece0314b7" dmcf-pid="07JizEQ9Cq" dmcf-ptype="general">KACI 관계자는 "보안요건의 합리화와 함께 기존 투자·인증체계의 연속성, 명확한 적용기준, 충분한 준비기간, 국내 클라우드 산업의 경쟁력이 함께 고려돼야 한다"고 말했다.</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p> 관련자료 이전 얼마나 대박내고 싶은지 감도 안 온다… 마케팅부터 급이 다른 GTA6 [게임 인더스트리] 09-07 다음 인도 시장 힘주는 크래프톤 장병규 의장, 크래프톤 장병규 의장, 나렌드라 모디 인도 총리와 회담 09-07 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
