국가 클라우드 보안 개편 움직임에 국내 CSP 우려

국가망보안체계(N2SF)에 맞춘 국가 클라우드 보안 기준 개편 움직임을 두고 국내 클라우드 서비스 제공사(CSP)들이 기존 투자와 인증체계의 연속성을 보장해달라고 요구했다. 새로운 기준에서 기존 보안 설비와 인증을 충분히 인정하지 않으면 재투자와 재검증 부담이 생길 수 있다는 이유다.

한국인공지능클라우드산업협회 산하 CSP분과위원회는 지난달 26일 국내 주요 CSP가 참석한 가운데 관련 회의를 열었다. 협회는 최근 언론 보도를 근거로 국가정보원이 국가망보안체계에 맞춰 ‘국가 클라우드 컴퓨팅 보안 가이드라인’ 개정을 추진하고 있다고 설명했다.

회의에서는 가이드라인 개정이 CSP의 서비스 운영과 기존 투자에 미칠 영향, 국내외 사업자 간 제도 적용의 형평성 등이 논의됐다. 협회는 회의 이후 국내 CSP를 대상으로 서면 의견도 수렴했다.

업계가 우선 요구한 것은 ‘기존 투자와 인증체계의 연계’다. 국내 CSP는 공공기관에 서비스를 제공하기 위해 데이터센터와 보안 설비, 운영인력, 전용 관리체계, 물리적 분리 환경 등에 투자해왔다. 기존 클라우드 보안인증과 구축·운영체계를 새 기준에서 인정하지 않으면 유사한 항목에 대한 재투자와 재검증이 필요할 수 있다는 주장이다.

이에 업계는 기존 인증 결과와 구축·운영체계는 최대한 인정하고 가이드라인 개정으로 새로 추가되거나 변경되는 항목을 중심으로 검증하는 방안을 제안했다.

보안요건의 적용 범위를 구체화해야 한다는 의견도 나왔다. 서버와 스토리지, 네트워크, 보안, 가상화 등 기존 클라우드 인프라뿐 아니라 그래픽처리장치(GPU) 기반 인공지능(AI) 인프라와 AI 서비스까지 구성요소별 보안요건과 분리·보호 기준을 제시해야 한다는 것이다.

국내외 사업자에게 동일한 원칙을 적용해야 한다는 요구도 제기됐다. 업계는 사업자의 국적이나 규모보다는 실제 보안 수준과 서비스에 대한 관리·통제 가능성을 기준으로 제도를 적용해야 한다는 입장이다.

충분한 준비기간과 단계적인 전환 절차도 요구했다. 개정된 기준의 세부 해설과 검증 절차를 사전에 안내 운영체계를 새 제도로 옮길 하고, 기존 인증과수 있는 전환 방안을 마련해야 한다는 것이다. 서비스 개발 초기 단계에서 보안요건을 확인할 수 있는 사전 검토나 컨설팅 절차를 마련하자는 제안도 나왔다.