국정원이 준비중인 다층보안체계
도입땐 과기부 CSAP도 영향받아
평가대상·목적 등 달라 별도 작동
MLS 검토만 받는 경우의 수 가능
CSAP '제도 실효성' 흔들릴 수도
도입땐 과기부 CSAP도 영향받아
평가대상·목적 등 달라 별도 작동
MLS 검토만 받는 경우의 수 가능
CSAP '제도 실효성' 흔들릴 수도
한국인터넷진흥원(KISA)의 CSAP 발급현황 웹사이트에 따르면 이달까지 발급돼 유지되고 있는 CSAP 인증서는 총 152건이다. 올해만 72건이 발급됐으며, 지난달과 이달에 인증받은 클라우드 서비스는 20건이다.
이 20건 가운데 70%(14건)는 내년 시행을 앞둔 AI디지털교과서 관련 솔루션들이다. 나머지도 도서관리 솔루션 2종을 비롯해 공공용 전사자원관리(ERP), 공공 근로관리 솔루션 등이다. 그 외 민간 클라우드 서비스 기업들의 CSAP 신청과 인증은 사실상 멈춘 상태다.
CSAP는 국가·공공기관에 공급할 민간 클라우드 서비스의 보안성을 검토해 부여하는 인증으로, 공급 대상 '시스템' 중요도에 따라 상·중·하 3개 등급으로 나누는 등급제가 지난해 시행됐다. MLS는 국가·공공기관 '데이터' 중요도에 따라 기밀(C)·민감(S)·공개(O) 3개 등급으로 분류해 적합한 보안정책을 적용하는 게 골자로, 내년 초 시행을 목표로 준비 중이다.
과기정통부 CSAP와 국정원 MLS는 평가 대상과 목적부터 다르고 근거법령도 상이한 별개의 제도라, MLS 도입 후에도 CSAP가 폐지·흡수되는 일은 없다는 게 두 기관의 설명이다. 문제는 CSAP 제도 또한 분류기준 등을 국정원의 '국가 정보보안 기본지침'과 '국가 클라우드 컴퓨팅 보안 가이드라인'에서 준용하는 만큼, MLS 전환에 따른 영향을 받을 수밖에 없다. 내년 MLS 발표 뒤 그에 맞춰 CSAP 개편도 이뤄져야 하는 상황이다.
업계에서는 CSAP 획득 실익에 대한 의문도 제기된다. 현재도 국가·공공기관이 클라우드 서비스를 도입할 경우 국정원의 보안성 검토를 거쳐야 한다. CSAP를 획득한 서비스의 경우, 공통적인 인증 항목은 중복 심사·검토 없이 인정하되 나머지 보안기준은 검증한다. MLS 전환으로 이 범위가 늘어날 수 있는 데다, 과기정통부가 지난 4월 부담을 대폭 낮췄지만 여전히 인증비용이 들고 사후평가도 요구된다. 기대되는 공공 수요처가 충분치 않다면 고민될 수밖에 없다.
클라우드업계 한 관계자는 "여러 곳에 쓰일 만한 서비스형소프트웨어(SaaS)는 인증 실익이 있겠지만, 그 외에는 현재로선 애매하고 불투명하다. 결국 공공부문의 시장성 문제"라며 "클라우드법에 CSAP 획득 서비스의 우선 검토가 명시돼 있지만 강제성이 있는 것은 아니다. 만약 MLS 전환 이후 국정원 보안성 검토만 받았다는 사례가 나올 경우 CSAP 제도 실효성이 흔들릴 수도 있다"고 지적했다.
국정원은 MLS 발표를 내년 1월, 가이드라인 마련 등을 2월 말까지 마무리하는 것을 목표로 하는 것으로 전해졌다. 업계에 따르면 글로벌 클라우드 기업들은 이미 CSAP 하등급 취득을 완료하고 발표만 앞둔 상태다. 클라우드 분야의 혼선을 줄이기 위해선 빠른 정책 마련과 함께 정부 부처·기관 간, 업계와의 소통을 해야 한다는 목소리가 크다.
이와 관련해 과기정통부 관계자는 "과기정통부와 국정원은 MLS 도입과 관련해 수차례 회의를 갖는 등 협의를 이어오고 있고, 앞으로도 성공적인 전환을 위해 소통할 것"이라며 "CSAP를 획득한 기업들이 최대한 편의를 얻을 수 있도록 제도 실효성을 유지하겠다. 필수적인 보안 요구사항에 중점을 둔 개편안도 준비하고 있다"고 설명했다.
팽동현기자 dhp@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
