[팩트인뉴스=남하나 기자] 정부가 국내 업계의 반발에도 불구하고 클라우드보안인증(CSAP) 등급제 시행을 예고대로 시행한다. 최하위 등급('하') 등급부터 먼저 이달 말 시행한다.

국내 클라우드 업계는 지난 달 정부가 CSAP 등급제 시행을 강행하며 행정예고하자 상·중·하 등급을 동시에 시행해줄 것을 요구했지만 받아들이지 않았다. 자칫 시행 시기만 기약없이 늘어질 수 있다는 우려 때문이다. 다만, 보완할 세부 사항에 대해서는 업계와의 논의를 통해 지속 개선한다는 입장이다.
 
17일 과학기술정보통신부에 따르면, 정부는 당초 예고했던 '클라우드컴퓨팅서비스 보안인증에 관한 고시' 개정안을 예고대로 이달 중 시행하기로 가닥을 잡았다. 정부는 지난달 29일부터 이달 18일까지 행정예고 기간을 갖고 관계부처 및 업계 의견을 수렴해왔다.
 
이달 시행 클라우드 보안인증 등급제 어떤 내용 담겼나

클라우드 보안인증 등급제는 그동안 획일적으로 운영하던 공공부문 클라우드 보안인증 체계를 시스템 중요도에 따라 상·중·하 등급으로 나눠 각기 다른 보안 규제를 하겠다는 것이 골자다. 특히 '하'등급에 대해서는 보안 규제를 대거 풀어줌으로써 공공 클라우드 시장 확산의 마중물로 활용한다는 복안이다.

가령, 정부는 '하' 등급에 대해 기존 민간·공공 영역간 '물리적 분리' 요건을 완화해 '논리적 분리'를 허용하겠다는 것이 대표적이다. 다만 정부는 클라우드 시스템과 데이터의 물리적 위치를 국내로 한정하고 이를 검증하기 위한 평가항목을 추가했다. 이를 통해 우려되는 데이터 국외 유출 가능성을 차단하겠다는 것이 정부의 계산이다.

시행 시기는 하 등급은 고시 공포 이후, 상·중 등급은 연내 실시한다. 상·중 등급에 대해서는 안전성과 활용성 등을 고려해 디지털플랫폼정부위원회와 관계부처 공동 실증·검증을 거쳐 세부 평가기준을 보완할 계획이다.

'상중하 등급 동시 시행하자는 업계…정부는 '직구'

정부의 등급제 행정 예고에 국내 클라우드 업계는 신중론을 제기해왔다. 섣부른 제도 시행이 "글로벌 클라우드 기업들만 배불리는 상황을 연출한다"고 비판한다.

민간 시장에선 외산 클라우드가 차지하는 비중이 75% 수준이다. 공정거래위원회에 따르면 2021년 기준 아마존웹서비스(AWS)가 62.1%, 마이크로소프트(MS) 애저가 12%를 차지했다. 이러한 상황에서 시장을 열면 공공 시장마저 잠식당할 수 있다는 우려다.

국내 클라우드 업계는 차라리 등급제 개편이 불가피하다면 상중하 등급 시행 시기를 동시에 맞춰줄 것을 촉구했다. 기준과 시행방안, 적용 시스템이 명확하지 않은 상황에서 하 등급을 먼저 시행하면 특히 소프웨어서비스(SaaS) 기업 입장에서는 어느 등급을 받아야 하는지 비교·검토가 어렵다는 이유다. 아울러 '하' 등급에서도 실증이 필요하다고 입을 모았다. '하' 등급에서 보안이 제대로 작동할 검증이 필요하다는 것이다.

이같은 이의 제기에도 불구하고 정부가 이달 중 '하' 등급 우선 시행을 강행하는 이유는 전등급 동시시행을 할 경우 등급제 도입 시기가 한없이 늦춰질 수 있다는 정책적 판단이 깔려있다. 개정할 부분은 제도 도입 후 보완해 나간다는 방침이다.

과기정통부 관계자는 "하 등급에 대해 무조건 보안 기준을 완화하는 것 만은 아니다"며 "클라우드 업계 일부는 실증과 동시 시행을 원하지만, SaaS 업계에서는 빨리 해달라는 의견도 있다"고 설명했다.

실제 전날 국회 과학기술정보방송통신위원회 윤영찬 의원이 개최한 토론회에서도 예정된 시행 시기가 늦어지면 외국 기업이 국내 공공 시장을 더 장악할 수 있다는 주장이 제기됐다.

조영훈 한국소프트웨어산업협회 산업정책본부장은 "이제 클라우드 시장 활성화에 물꼬를 터주는 상황인데 완벽하게 만들려고 하면 내년이 될지, 언제가 될지 모른다"며 "민간 클라우드 도입을 늘리자는 취지인 만큼 고시 개정은 우선 시행하고 이후 더 보완해가면서 진행했으면 한다"고 말했다.

과기정통부 관계자는 "고시가 시행돼도 계속해서 업계 의견을 수렴해 보완해 나갈 계획"이라고 설명했다. 이어 "구체적인 가이드를 제시하거나, 실무적으로 풀 수 있는 부분들은 협의해 나갈 것"이라고 덧붙였다.