과기부·국정원, CSAP 이원화 해소..공공시장 진입 부담 완화
상반기 지침 개정 후 1년 유예..2027년 본격 시행
금융 SaaS 허용·망보안 개편..클라우드 개방 확산
사진=국가정보원
공공 클라우드 시장에 진입하려는 기업이 거쳐야 했던 이중 보안 절차가 국정원 단일 검증체계로 재편된다.
과학기술정보통신부와 국가정보원은 20일 공공 클라우드 서비스 검증 절차를 일원화하는 개선 방안을 발표했다.
그동안 클라우드 서비스 기업은 공공 부문에 진출하기 위해 과기정통부의 클라우드 보안인증(CSAP)을 취득한 뒤 다시 국정원의 보안 검증까지 받아야 했다.
정부는 이런 이원 구조가 기업 부담과 행정 비효율을 키운다고 보고 공공 영역 보안 검증을 국정원 기준의 단일 체계로 묶기로 했다.
이번 개편으로 중복된 인증과 검증 절차가 통합되면서, 보안 수준을 유지한 채 기업 부담은 낮아질 전망이다.
과기정통부와 국정원은 올해 상반기 중 '국가 인터넷 기반 자원 공유 컴퓨팅 보안 지침', 이른바 국가 클라우드컴퓨팅 보안 가이드라인 등을 개정하고 1년 유예기간을 거쳐 2027년 하반기부터 새 제도를 본격 시행할 계획이다.
신규 체계 시행 전까지 기존 클라우드 보안인증(CSAP)을 받은 제품의 유효기간은 그대로 인정된다.
기존 인증을 준비하거나 이미 획득한 기업의 투자 부담을 덜고 제도 전환 과정의 혼선을 줄이기 위한 조치다.
정부는 이번 개편으로 공공 클라우드의 보안 신뢰성을 높이는 동시에 기업의 공공시장 진입 문턱을 낮출 수 있을 것으로 기대하고 있다.
새 검증체계의 운영 과정에서는 과기정통부 추천 인사와 관계기관, 산·학·연 전문가 등이 참여하는 '민관 검증심의위원회'가 검증 결과의 공정성과 타당성을 살피게 된다.
기존 클라우드 보안인증(CSAP) 평가기관의 전문성도 새 제도에 연계해 행정의 연속성을 확보한다는 방침이다.
민간 영역의 인증체계도 손질된다.
과기정통부는 공공 영역은 국정원 중심 단일 검증으로 정리하고, 민간 범용 클라우드 영역은 정보 보호 관리체계 인증(ISMS) 안으로 통합 조성할 계획이다.
기존 클라우드 보안인증(CSAP)이 사실상 공공 조달의 필수 관문처럼 작동해왔다면, 앞으로는 민간 영역에서 자율 보안인증 성격으로 재편되는 셈이다.
인증 간 유사한 보안 기준을 하나로 묶어 절차 중복을 줄이고 기업이 서비스 개발과 사업 확장에 더 집중할 수 있는 환경을 만들겠다는 것이 정부 설명이다.
류제명 과기정통부 2차관은 "국정원과 협력해 부처 간 칸막이를 과감히 허물었다. 이를 통해 우리 기업들이 보안의 문턱을 쉽고 빠르게 넘을 수 있도록 지원하겠다"며 "기존 기업들의 투자가 헛되지 않도록 제도 전환 기간을 부여해 산업 생태계의 안정적 성장을 돕겠다"고 밝혔다.
김창섭 국정원 3차장은 "그간 이중 규제로 불편을 겪어온 기업들의 애로를 해소하되 공공용 클라우드의 보안 수준을 높이는 데 주안점을 뒀다"며 "기업 부담을 완화하는 방향으로 안착할 수 있도록 업계와 지속 소통할 것"이라고 말했다.
이번 조치는 최근 정부 전반에서 나타나는 클라우드·인공지능(AI) 인프라 개방 흐름과도 맞물린다.
금융당국은 이날 금융회사 내부 업무망에서도 일정한 보안 통제를 전제로 서비스형 소프트웨어(SaaS) 활용을 허용하는 망분리 규제 예외 적용에 나섰다.
공공 영역에서는 공급 측면의 진입 규제를 손보고, 금융권에서는 수요 측면의 활용 규제를 푸는 방식으로 클라우드 확산 기반이 동시에 넓어지는 모습이다.
국정원이 최근 공개한 국가 망보안 체계(N2SF) 개편 방향도 이번 정책과 맞닿아 있다.
국정원은 5월 시행을 목표로 기존 획일적 망분리 조항을 삭제하고 정보의 중요도에 따라 기밀(C), 민감(S), 공개(O) 등으로 구분해 차등 보안을 적용하는 내용을 담은 '국가 사이버보안 기본 지침' 개정을 추진 중이다.
인공지능(AI) 시스템 구축과 민간 클라우드 도입에 관한 보안 대책도 함께 신설해 공공 부문의 업무 효율성과 기술 활용도를 높이겠다는 구상이다.
댓글
0