[단독]국정원, 클라우드 보안 개정…해외 CSP 공공 진입 문턱 낮춘다

단독국정원, 클라우드 보안 개정…해외 CSP 공공 진입 문턱 낮춘다 ⓒ게티이미지뱅크 정부가 해외 클라우드 운영 사업자의 국내 공공 시장 진입 기준을 대폭 완화한다. 국내 클라우드 보안 정책이 미국 등과의 디지털통상 갈등으로 번진 데다, 인공지능(AI) 전환에 따른 클라우드 수요가 대폭 늘어나면서 개방 쪽으로 가닥을 잡았다. 2일 관련업계에 따르면 국가정보원은 '국가 클라우드 컴퓨팅 보안 가이드라인' 개정안을 수립하고 정부, 관련업계를 대상으로 의견수렴에 들어갔다. 국정원은 이르면 이달 중 개정 가이드라인을 공식 발표하고, 유예기간을 거쳐 내년 하반기 본격 시행할 예정인 것으로 전해졌다. 이번 개정안은 크게 세 가지 축으로 구성됐다. 핵심 변화는 물리적 분리 원칙의 완화다. 기존에는 클라우드 서비스를 구성하는 모든 영역, 즉 실제 공공기관 데이터가 저장·처리되는 서버 영역뿐 아니라 클라우드 운영에 필요한 컨트롤플레인(관제·운영시스템)까지도 물리적으로 국내에 분리해 두도록 요구해왔다. 개정안은 이 중 컨트롤플레인에 대한 요건만 물리적 분리에서 논리적 분리로 완화한다. 논리적 분리란 물리적으로 같은 시설이나 해외 시설에 위치하더라도, 접근권한 통제·암호화·가상화 등 소프트웨어적 방식으로 영역을 구분해 보안을 확보하는 방식이다. 이에 따라 클라우드서비스제공사(CSP)가 관제·운영시스템을 해외 리전(복수의 데이터센터)에 두고도 국내 공공 클라우드 사업을 수행할 수 있는 길이 열린다. 다만 데이터 자체가 저장·처리되는 영역은 이번 개정에서도 손대지 않았다. 데이터는 이를 처리하는 서버와 함께 국내에 물리적으로 분리해 두는 원칙(테넌트 분리)이 그대로 유지된다. 즉 운영·관제는 유연화하되, 데이터는 국내에 묶어둔다는 것이 이번 개정의 기본 틀이다. 보안장비(하드웨어·솔루션) 인증 범위도 확대한다. 그동안 국정원의 보안 검증필을 받은, 즉 국내 공통기준(CC) 인증을 통과한 장비만 공공 클라우드에 사용할 수 있었다. 개정안은 이 인증 범위를 국제 CC 인증까지 확대해, 해외에서 국제 CC 인증을 받은 보안장비도 국내 공공 클라우드에 사용할 수 있도록 허용한다. 암호화 방식(프로토콜) 인증도 마찬가지다. 국정원이 운영하는 국가 암호모듈 검증제도인 암호모듈 검증제도(KCMVP) 인증을 받은 암호화 방식만 인정하던 것에서 고급 암호화 표준(AES) 등 국제 표준 암호화 방식을 함께 허용하기로 했다. 이번 개정은 미국이 그동안 국내...