국정원 클라우드 보안 기준 개정 논란…공공 데이터 미·중 클라우드 기업 해외서 관리하나

국가정보원이 클라우드 컴퓨팅 보안 규정 개정을 추진하는 가운데 개정안이 시행되면 국내 공공 데이터에 대한 실질적 통제권이 해외로 넘어갈 수 있다는 지적이 나왔다. 데이터 저장 위치는 국내로 유지되지만, 이를 처리하고 접근하는 운영 권한을 해외에서 행사할 수 있게 되면서 사실상 데이터를 국외에서 다루는 것과 마찬가지 효과가 생길 수 있다는 것이다. 7일 한국인공지능클라우드산업협회 클라우드서비스사업자(CSP) 분과는 언론과 간담회를 갖고 국정원의 '공공 클라우드 컴퓨팅 보안 가이드라인' 개정안에 대한 업계 우려를 전달했다. 이 자리에는 국내 주요 CSP 기업 관계자들이 참석해 개정안의 세부 쟁점을 짚었다. ◇컨트롤플레인 해외 이전…데이터 통제력 상실 우려 현재 국정원은 기존 클라우드 서비스 보안인증(CSAP) 상·중·하 등급 체계를 국제 표준 격인 기밀(C)·민감(S)·공개(O) 등급 체계로 전환하는 개정안을 마련 중이다. 이 과정에서 물리적 영역 분리 기준이 완화돼 데이터 서버는 한국에 두되 운영부에 해당하는 컨트롤플레인은 해외에 둘 수 있게 된다. 암호화 인증 범위도 기존 국정원 검증필 암호(KCMVP)에서 국제 표준 암호(AES)까지 확대되고, 보안 장비 인증 역시 국내 CC 인증에서 국제 CC 인증까지 넓어진다. 업계가 가장 민감하게 반응하는 대목은 해외 컨트롤플레인의 허용이다. 미국, 중국 등 클라우드 기업이 해외에서 클라우드 서비스를 관리하는 과정에서 데이터 이동을 막을 수 있냐는 것이 핵심 쟁점이다. A사 관계자는 “데이터플레인과 컨트롤플레인을 칼로 자르듯 나눌 수 있느냐가 근본적인 의문”이라며 “데이터가 메모리나 캐시에 올라가는 순간까지 명확히 통제할 방법이 아직 제시되지 않았다”고 지적했다. 데이터가 물리적으로 국내에 저장돼 있더라도, 처리·연산 과정에서 해외에 있는 컨트롤플레인을 거치면서 사실상 데이터가 해외로 넘어가는 것과 다름없는 상황이 발생할 수 있다는 의미다. B사 관계자도 “컨트롤플레인이 해외에 있으면 국내 데이터센터의 서버, 스토리지는 물론 가상머신(VM)까지 해외에서 원격으로 생성하고 삭제하는 게 가능해진다”며 “데이터는 국내에 남아 있을 뿐, 그 데이터를 다루고 인프라를 관리하는 권한, 즉 통제권 자체가 해외에 있게 되는 구조로 관리 인력 또한 외국인이 된다”고 말했다. 인공지능(AI) 인프라 핵심 자원인 그래픽처리장치(GPU)를 둘러싼 분류 기준도 쟁점으로 떠올랐다. GPU 서버를...