정부가 공공 클라우드 보안 검증 체계를 국가정보원 중심의 단일 검증으로 통합하고 기존 ‘클라우드 보안 인증(CSAP)’은 민간 자율 인증으로 개편해 정보보호 관리체계(ISMS)에 통합한다. 민간 영역은 과학기술정보통신부, 공공 영역은 국정원이 맡는 구조로 재편되는 것이다.
20일 과기정통부와 국정원은 기업들의 공공 클라우드 시장 진입 시 필요한 검증 절차를 국정원 단일 검증체계로 일원화하는 정책을 공동 발표했다. 과기정통부 중심으로 운영되던 CSAP는 민간 자율 인증으로 전환하고 공공 클라우드 보안검증은 국정원 주도로 통합·운영한다.
그간 클라우드 서비스 기업이 공공 시장에 진입하려면 과기정통부의 CSAP를 취득한 후 국정원의 클라우드 보안검증도 거쳐야 했다. 국정원 관계자는 17일 기자들과 만난 자리에서 “민간 인증을 획득한 상태에서 공공 클라우드 검증을 신청하면 동일한 항목은 인정할 예정”이라며 “CSAP와 국정원 보안검증 간 중복 문제를 해소하고 인증 비용도 상당히 경감될 것”이라고 말했다.
신규 검증 정책은 1년간의 유예 기간을 거친 뒤 2027년 하반기부터 본격 시행된다. 제도 전환 과정에서 혼란을 줄이기 위해 단일 검증체계를 시행하기 전 CSAP 인증을 받은 제품은 유효기간 5년을 그대로 인정한다. 정부는 클라우드 기술 특성에 맞게 검증항목을 개선해 공공 클라우드의 보안 수준은 강화하고 기업의 부담은 낮춘다는 방침이다.
관련 제도는 올해 상반기 중 ‘국가 클라우드컴퓨팅 보안 가이드라인’ 개정을 통해 구체화된다. 산업계 의견 수렴도 병행한다. 국정원은 과기정통부 추천인사 등 관계기관 및 산·학·연 전문가로 ‘민관 검증심의위원회’를 구성해 검증결과의 공정성·타당성 여부를 평가할 예정이다. 기존 CSAP 평가기관의 전문성을 새 제도에 연계해 행정의 연속성도 확보한다.
민간 영역에서의 클라우드 보안 인증도 간소화된다. CSAP에서 공공 요건을 제외하고 상·중·하 등급제를 폐지한 뒤 ISMS로 통합한다. 과기정통부는 연내 세부 방안을 마련해 행정 절차의 효율성을 높이고 기업이 핵심 서비스 혁신에 전념할 수 있는 최적의 비즈니스 환경을 조성할 계획이다.
류제명 과기정통부 2차관은 “국정원과 협력해 부처 간 칸막이를 과감히 허물고 기업들이 보안의 문턱을 쉽고 빠르게 넘을 수 있도록 지원하겠다”며 “특히 기존 기업들의 투자가 헛되지 않도록 제도 전환 기간을 부여해 산업 생태계의 안정적 성장을 돕겠다”고 말했다.
김창섭 국정원 3차장은 “이번 정책으로 그간 이중 규제로 불편을 겪어온 기업들의 애로 사항을 해결하되 공공용 클라우드의 보안 수준을 높이는 데 주안점을 뒀다”며 “기업들의 부담을 완화하는 방향으로 안착할 수 있도록 업계와 지속 소통할 것”이라고 밝혔다.
다만 국정원 중심으로 공공 클라우드 보안 검증 체계가 일원화되는 것을 두고 우려의 목소리도 나온다. 한 업계 관계자는 “국정원이 보안·안보에 중점을 둔 기관이다 보니 과기정통부가 담당할 때에 비해 사업 진흥이 침체될 수 있지 않겠나”라며 “특히 담당자와의 소통이 원활하게 진행될지가 걱정된다”고 말했다.