[이슈플러스] “기존 투자 허사”…국내 CSP, 클라우드 보안 완화에 비상

생성형 AI 이미지 국가정보원이 클라우드 보안 기준 개정을 추진한다. 물리적 분리 기준, 보안·암호화 인증 기준 등 핵심 내용이 해외 클라우드 사업자가 국내 시장에 진출하는 데 한층 유리하게 완화되는 것이 골자다. 국내 클라우드서비스제공사(CSP)는 비상이 걸렸다. 이번 개정이 기존 투자의 효과를 반감하고 형평성 측면에서도 해외 사업자에 유리하게 마련돼 사업에 차질이 예상된다고 우려했다. ◇물리적 영역분리 완화에 토종 CSO 허탈 이번 개정은 국가 클라우드 보안 체계의 전환과 맞물려 진행됐다. 기존 클라우드보안인증(CSAP) '상·중·하' 3단계 체계는 폐지되고, 국정원의 새 보안체계인 N2SF에 따라 개방(O)·민감(S)·기밀(C) 등급으로 재편된다. CC 인증 확대, 암호화 인증 확대, 물리적 영역분리 완화라는 이번 개정의 세 가지 축은 특정 등급에만 적용되는 게 아니라 등급 전반에 공통으로 적용되는 원칙이다. O 등급은 물량 자체는 가장 크지만 별도 규제 없이 민간 영역에서 자유롭게 경쟁이 가능한 시장이고, 국가안보에 해당하는 C 등급은 애초에 폐쇄망 안에서만 작동해 이번 개방 논의와는 거리가 있다. 반면 공공·민간 데이터가 혼재하는 시스템 상당수가 결국 S등급으로 수렴하는 구조여서 S등급이 공공 시장의 핵심이다. 이번 개정안이 S등급에도 적용되는 만큼 국내외 CSP 모두 민감한 반응을 보이고 있다. 특히 양측의 입장이 극명하게 엇갈리는 곳은 물리적 영역분리 분야다. 물리적 영역분리는 공공기관 워크로드와 민간 고객 워크로드가 같은 인프라를 공유하지 못하도록, 공공 전용 서버·스토리지 존을 별도로 구축해 두 영역을 격리하라는 요건이다. 국정원은 이번 개정에서 클라우드 운영에 필요한 컨트롤플레인(관제·운영시스템)에 한해 물리적 분리를 논리적 분리로 완화했다. 접근권한 통제나 가상화 같은 소프트웨어적 방식으로만 영역을 나눠도 되기 때문에, CSP는 관제·운영시스템을 해외에 두고도 국내 공공 클라우드 사업을 할 수 있게 됐다. 다만 실제 데이터가 저장·처리되는 서버는 여전히 국내에 물리적으로 분리해 둬야 한다. 국정원은 과거 요구했던 강도 높은 망분리에 비하면 상당히 완화된 조건이라는 입장이지만, 해외 CSP는 요건을 충족하려면 데이터 서버를 별도로 둬야 하고 결국 별도의 전용 인프라 투자가 불가피하다고 반박하고 있다. 한 외국계 CSP 관계자는 “공공과 민간 워크로드가 섞이지 않도록 서버 단위로 아예 갈라 전용...