AI·클라우드 시대 ‘망분리’ 개선 논의 활발…‘S’가 쟁점?

정부가 국가·공공기관에 적용되던 ′망분리′ 제도를 손본다. 정보 수준에 따라 논리적 망분리를 부분 적용하는 방안을 논의하고 있다. 대통령의 지시가 내려온 뒤 국가정보원이 주도하는 태스크포스(TF)는 구체적인 방안 마련에 골몰하는 상황이다. IT 업계에서는 새로운 사업 기회가 될 것으로 보는 가운데 향후 최종 방안에 관심이 쏠린다.

앞서 지난해 말 윤석열 대통령은 망분리 제도 개선을 지시한 바 있다. 클라우드 전환과 인공지능(AI) 기술의 확산 흐름 속에서 기존 방식으로는 효과적인 업무가 어렵다는 판단에서다.

현재 국가·공공기관은 물리적 망분리 방식을 따른다. 내부 업무망을 외부망과 완전히 단절시켜 침입을 원천 차단하는 게 핵심이다. 말 그대로 망을 따로 분리해 놓았기 때문에 해킹의 위험성이 낮다. 반대로 외부망과 단절된 터라 생기는 문제도 있다. 원격·재택근무가 제한되거나 클라우드 이용 불가 등 업무 효율성 저하 문제가 생긴다.

지금의 제도 개선 논의는 이처럼 현재의 흐름에는 맞지 않는 제도라는 공감대에서 시작됐다. 국가 시스템 전반을 플랫폼화하는 디지털플랫폼정부 추진에 걸림돌이 될 거라는 우려 또한 반영한 것으로 알려졌다. AI 학습 데이터를 연동하기 쉽지 않은 것도 망분리 제도 개선 필요성에 힘을 실었다.

망분리 정책이 시행된 2006년 이후 17년 만에 개편 논의에 불이 붙었다. TF 사정에 능통한 한 관계자는 “이제까지 명확한 제도 개선안이 없어 효율성을 높이고 싶어도 어려운 경우가 있었다”면서 “이에 대한 기준을 우선 제시하고 향후 확산하는 바탕을 마련해주자는 차원”이라고 말했다.

3등급 체계 가닥, 중간 등급은 쟁점

망분리 개선 TF는 데이터 보안 중요성에 따라 망분리 정도를 달리하는 쪽으로 가닥을 잡은 것으로 알려졌다. 이른바 ‘C·S·O’ 체제가 유력하다. 기밀을 뜻하는 ‘컨피덴셜(Confidential)’을 비롯해 민감한 개인정보가 포함된 ‘센서티브(Sensitive)’ , 공개 정보인 ‘오픈(Open)’까지 3등급으로 나누는 방안이다.

기밀 등급은 기존 물리적 망분리 체계를 유지한다. 반면 공개 등급은 망분리를 적용하지 않는 방식이 유력한 것으로 전해진다. 쟁점은 그 중간에 위치한 S 등급이다. 물리적 망분리로 가두기에는 정보의 기밀성이 낮지만, 또 개인정보가 일부 들어가 있어 아예 풀어버리기에는 애매한 등급이다.

TF 사정에 능통한 관계자들에 따르면 해당 등급에 논리적 망분리를 적용할지, 아니면 또 다른 방안을 만들지에 대한 논의가 심도있게 진행되고 있다. 한 관계자는 “대부분 (현재 상태인) 물리적 망분리를 유지하려고 하는 성향이 있어 정보 등급 분류부터가 제도 개선의 첫 단추가 될 것”이라고 언급했다.

현재 상태를 유지하려는 기관이 대부분일 거라는 게 이 관계자의 진단이다. 보안 사고에 대한 위험성 우려와 함께 새로운 제도 도입에 대한 반발이다. 이에 최대한 빠른 시일 내 데이터 분류 체계를 마련하고 시행에 나서야 한다는 게 그의 조언이다.

기관 평가가 해법이 될 수 있다. 매해 진행하는 공공기관 평가 단계에서 데이터 분류와 개선 노력을 지표로 담으면 현장의 분위기가 달라질 수 있다. 또 다른 관계자는 “예산도 있고 개선 의지도 있었음에도 구체적인 방안이 없어 행동(망분리 개선)에 나서지 못한 공공기관들도 많다”면서 “최소한 이러한 기관들부터라도 망분리 제도를 개선하면 점차 널리 확산될 것”이라고 기대했다.

IT·보안 업계 표정은?

이에 대해 IT·보안 업계에서는 긍정적인 기류가 관측된다. 이미 공공 분야 물리적 망분리 시장은 포화 상태에 가깝고, 제도가 바뀌면 자연스레 새로운 솔루션을 넣을 시장이 생긴다는 기대다.

가장 기대가 큰 건 서비스형데스크톱(DaaS) 공급 업체다. 특히 논리적 망분리가 확산하면 적용 사례가 늘어날 수 있다. 물리적 망분리 체계에서는 업무용 PC를 내부용과 외부용 2대씩 써야 하는 단점이 있다. PC 구매 비용이 2배가 된다. DaaS는 이같은 단점을 보완한다. 사용자는 클라우드 서버에 구현된 컴퓨팅 환경을 제공받아 PC 한 대로도 외부망과 내부망 모두 활용할 수 있다. 클라우드에서 서비스를 내려받기 때문에 적용도 쉽다.

DaaS 솔루션을 제공하는 국내 보안기업 임원은 “DaaS는 물리적인 하드웨어는 하나이면서 사용 편의성은 높일 수 있다”며 “데이터 자체는 중앙 업무망에 저장되기 때문에 공공기관에서 특히 중요시하는 보안 측면에서도 이점이 있다”고 말했다.

데스크톱가상화(VDI)도 마찬가지다. 클라우드에서 내려받는 DaaS와 달리 VDI는 온프레미스 구축형이다. 초기 비용은 상대적으로 DaaS보다 높지만, 익숙한 온프레미스를 선호하는 기관들은 DaaS보다 VDI에 눈길을 보낼 거란 기대도 나온다.

제로트러스트(ZeroTrust) 아키텍처의 확산 계기로도 작용할 수 있다는 전망도 나온다. 이중인증 시스템이나 아이덴티티(계정관리) 보안 솔루션을 넣는 등 인증 시장 확산도 기대해볼 수 있다. TF 또한 망분리 완화에 따른 보호 장치로 제로트러스트 적용 방안을 논의하고 있는 것으로 알려졌다.

글. 바이라인네트워크
<이진호 기자>jhlee26@byline.network