국정원, 3단계로 요건 구체화
내용 정합성·일관성여부 주목
과기정통부 고시 실효성 우려
내용 정합성·일관성여부 주목
과기정통부 고시 실효성 우려
![[단독] 클라우드 보안기준, CSAP와 합 맞을까](http://contents.dt.co.kr/images/202403/2024033102109931081001[1].jpg "[단독] 클라우드 보안기준, CSAP와 합 맞을까")
국정원은 현재 '국가 클라우드 컴퓨팅 보안 가이드라인' 개정 작업을 하고 있다. 가이드라인에 포함된 '민간 클라우드 컴퓨팅 이용 보안기준'은 각 항목이 해당되는 보안요건을 상·중·하 3단계로 구분해 표시하는 등 내용이 보다 구체화된다. 공개 시기나 망분리 개선 관련 내용 포함 여부는 확인되지 않았다.
앞서 국정원은 CSAP 제도의 등급제 개편에 따라 지난해 1월 말 '국가 정보보안 기본지침'을 개정, CSAP 등급 분류 근거가 되는 시스템 중요도 분류 기준을 마련했다. 또한 행정·공공기관이 클라우드를 구축·운영하고자 할 경우 '국가 클라우드 컴퓨팅 보안 가이드라인'에 명시된 기준에 따라 보안대책을 수립·시행하도록 했다.
새로운 가이드라인의 '민간 클라우드 컴퓨팅 이용 보안기준' 중 일부는 행정안전부 산하 국가정보자원관리원의 대구센터 클라우드 서비스 민관협력사업(PPP)에 먼저 적용된다. 지난 29일 개찰된 이 사업은 대구센터 일부 공간을 민간 CSP(클라우드서비스제공사)들에 빌려주는 상면임대 형태의 사업이다.
사업공고 내용을 살펴보면 각급기관 내부망·인터넷망과 연동된 공공 전용 민간클라우드는 해당 내부망·인터넷망으로 간주하고(상등급), 사용자 접속위치·접속수단에 따른 보안통제 대책을 수립·적용해야 한다(중등급 이상). 이용기관 OS(운영체제) 및 가상화 솔루션 내 기본 보안 기능 항시 활성화와 설정 점검 자동화 및 감사로그 저장·분석(하등급 이상) 등 여러 내용이 추가됐다. 세부 보안기준에는 SaaS(서비스형 소프트웨어)에도 적용되는 공급망 보안이 포함됐다.
사업은 이 '민간 클라우드 컴퓨팅 이용 보안기준' 문서의 공통항목과 서비스 유형별 보안요건 '상' 및 수요기관이 별도 제시한 보안대책을 준수할 것을 규정한다. 참여자격 외에는 CSAP와 관련 없고, 낙찰 받은 사업자들은 국정원의 보안성 검토를 거쳐야 한다. 이는 과기정통부의 CSAP 고시 개정안이 올해 중순에야 시행될 것으로 예상돼 취해진 조치로 풀이된다. 지난해 실증사업 결과를 바탕으로 지난달 행정예고된 이 개정안은 이제 규제 심사에 들어간다.
![[단독] 클라우드 보안기준, CSAP와 합 맞을까](http://contents.dt.co.kr/images/202403/2024033102109931081001[2].jpg "[단독] 클라우드 보안기준, CSAP와 합 맞을까")
때문에 일각에선 CSAP 실효성에 대한 우려가 있어왔다. 당초 제도 취지에는 보안성 검토 등 절차 간소화가 포함됐지만, 종국에 양측의 기준이나 적용에 차이가 있다면 기업들로선 인증비용만 들이고 검토절차는 늘어나는 셈이다. 이번 대구센터 사업의 경우 해당 보안요건 '상'과 CSAP '상'을 두고 업계에 적잖은 혼선이 발생한 바 있고, 그 뒤로도 보안성 검토만 받으면 되니 CSAP가 유명무실해지는 것 아니냐는 의문이 제기되기도 했다.
과기정통부에 따르면 국정원의 해당 '민간 클라우드 컴퓨팅 이용 보안기준' 내용은 이번 CSAP 고시 개정안과 정합성을 갖춘 것으로 확인됐다. 대구센터 사업에 참여한 CSP들이 향후 각사 데이터센터 등과 연계해 클라우드 서비스를 제공하려면 CSAP 고시 개정 시행 이후 상등급 인증을 획득해야한다. 국정원은 CSAP 인증을 획득한 경우에는 가이드라인과 중복된 요건을 제외하고 보안성 검토를 할 계획이라고 재차 밝혔다.
CSAP 등급제가 자리잡으려면 공공 클라우드 수요와 그에 상응하는 예산이 충분히 뒷받침돼야 하는 것은 물론, 관계부처 간 원활한 소통과 협업으로 제도의 실효성이 담보돼야 한다. 지난해 등급제 개편 이후 글로벌 CSP들이 지속적으로 제기 중인 논리적 망분리 확대 적용 요구에도 여전히 클라우드 업계는 흔들리는 모양새다. 돈 들여 획득해도 별 이점 없는 인증으로 전락한다면 공공 클라우드 네이티브 전환과 디지털플랫폼정부 구현도 덩달아 멀어질 것으로 보인다.
한 클라우드 업계 관계자는 "이번 대구센터 사업은 상등급에 준하는 첫 사례란 점에선 긍정적이나 현재로선 민간 클라우드 역량이 제대로 쓰이지 못한다는 한계도 있다". CSAP 전 등급 시행과 공공 클라우드 시장 활성화까지의 가교 역할을 맡는 일시적 형태로 보인다며 "정부에서 CSAP를 비롯한 클라우드 네이티브 전환에 대해 하나의 목소리를 내고 사업현장에서도 그에 맞춰 민간 클라우드 도입이 적극적으로 이뤄지기를 바란다"고 말했다.
팽동현기자 dhp@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
