클라우드 보안 개편에 국내 CSP “투자 매몰 위기...업계 의견 정책 반영”

국가정보원이 국가망보안체계(N2SF)에 맞춰 「국가 클라우드 컴퓨팅 보안 가이드라인」 개정을 추진하는 가운데 국내 CSP(클라우드서비스제공사)들이 우려의 목소리를 쏟아냈다. 새로운 기준이 도입되는 과정에서 기존 투자와 인증체계가 충분히 인정되지 않을 경우 추가적인 시스템 구축과 재검증 부담이 발생하고, 결과적으로 국내 사업자가 해외 사업자에 비해 상대적으로 불리해질 수 있다는 지적이다. 한국인공지능클라우드산업협회(이하 '협회')는 2일 보도자료를 내고 국정원의 개정 작업에 대한 입장을 밝혔다. 협회 산하 CSP분과위원회는 이번 가이드라인 개정이 국내 CSP의 기존 투자와 공공 클라우드 사업환경에 미칠 파급효과가 큰 사안으로 보고, 지난 8월 26일 국내 주요 CSP가 참석한 가운데 관련 회의를 개최했다. 회의에서는 가이드라인 개정이 국내 CSP의 서비스 제공·운영과 산업 생태계에 미칠 영향, 정책 변화에 따른 투자 부담 및 국내외 사업자 간 제도 적용의 형평성 등이 주요 현안으로 논의됐다. 국내 CSP 업계는 데이터 중요도와 위험 수준에 따라 보안조치를 차등 적용하고, 공공부문의 클라우드 및 AI 활용을 확대하려는 정책 방향에는 대체로 공감하고 있다. 다만 기존 정부 정책과 보안기준에 따라 추진한 투자가 새 제도에서 인정되지 않을 경우 국내 사업자가 불리해질 수 있다는 우려를 제기했다. 협회는 회의 이후 추가 서면 의견수렴을 실시했다. 이를 통해 △기존 투자 및 인증체계와 새로운 제도의 연계 △보안요건 적용대상의 명확화 △국내외 사업자 간 제도 적용의 형평성 확보 △충분한 준비기간과 단계적 전환방안 마련 등의 의견이 제시됐다. 국내 CSP들은 국가·공공기관에 클라우드서비스를 제공하기 위해 국내 데이터센터와 보안설비, 운영인력, 전용 관리체계 및 물리적 분리환경 등에 지속적으로 투자해 왔다. 기존 클라우드 보안인증과 구축·운영체계가 새로운 제도에서 충분히 인정되지 않으면 동일하거나 유사한 항목에 대한 재투자와 재검증이 발생해 기업의 비용 부담과 서비스 전환기간이 증가할 수 있다는 것이 업계의 우려다. 이에 업계는 기존 인증 결과와 구축·운영체계를 최대한 인정하고, 개정으로 변경되거나 추가되는 항목을 중심으로 검증하는 방안을 검토할 필요가 있다고 제안했다. 가이드라인 개정 시 클라우드서비스를 구성하는 시스템별 보안요건과 적용범위를 명확하게 제시해야 한다는 요구도 나왔다. 서버·스토리지·네트워크·보안·가상화 등 주요...