국정원, 공공 클라우드 보안기준 개정…해외 CSP 진입 문턱 낮춘다

정부가 해외 클라우드 운영 사업자의 국내 공공시장 진입 기준을 완화한다. 국가정보원은 ‘국가 클라우드 컴퓨팅 보안 가이드라인’ 개정안을 마련해 정부와 업계 의견수렴에 들어갔으며, 이르면 이달 중 공식 발표한 뒤 유예기간을 거쳐 내년 하반기 시행할 계획인 것으로 전해졌다. 개정안의 핵심은 클라우드 운영·관제 시스템에 대한 물리적 분리 요건을 논리적 분리로 바꾸는 것이다. 다만 공공기관 데이터가 저장·처리되는 서버 영역은 기존처럼 국내 물리적 분리를 유지한다.

이번 조치는 인공지능(AI) 확산으로 공공 부문의 클라우드 수요가 급증한 데다, 국내 보안 기준이 미국 등과의 디지털통상 갈등으로 번져온 상황을 반영한 것으로 풀이된다. 그동안 국내 공공 클라우드 시장은 서버와 운영체계까지 국내에 두도록 하는 엄격한 기준이 적용돼 해외 클라우드서비스제공사(CSP)의 진입이 쉽지 않았다. 개정안은 운영·관제는 해외 리전에서도 가능하도록 길을 열되, 데이터 자체는 국내에 묶어두는 방식으로 기준을 조정했다.

보안장비와 암호화 방식에 대한 인증 기준도 넓어진다. 기존에는 국정원의 검증을 받은 국내 CC 인증 장비와 KCMVP 인증 암호화 방식만 공공 클라우드에 사용할 수 있었지만, 개정안은 국제 CC 인증 장비와 AES 등 국제 표준 암호화 방식도 허용하기로 했다. 이에 따라 해외에서 국제 인증을 받은 보안 솔루션의 활용 폭이 커질 전망이다.

이번 개정은 미국이 국내 클라우드 보안 기준을 비관세장벽으로 지목하며 물리적 분리 완화와 인증 범위 확대를 요구해온 흐름과도 맞닿아 있다. 업계 반응은 엇갈린다. 외국계 기업은 가장 민감한 데이터 처리 영역의 물리적 분리가 그대로 남아 있어 여전히 제약이 크다는 입장인 반면, 국내 기업들은 공공시장에 해외 CSP가 본격 진입할 수 있는 길이 열릴 수 있다며 우려하고 있다. 김승주 국가AI전략위원회 보안특위 위원은 공공 정보시스템의 클라우드 전환 속도가 필요한 만큼 공급자와 수요자의 의견을 폭넓게 반영한 세부 가이드가 중요하다고 말했다.