"공공 부문 민간 클라우드 활용, 제도 정비가 먼저...불확실성 제거해야"

[디지털투데이 황치규 기자]국가정보자원관리원 화재 이후 공공 부문에서 민간 클라우드를 활용할 필요가 있다는 목소리가 커지고 있다. 하지만 공공 부문에서 민간 클라우드를 활용하려면 제도적인 정비가 먼저 필요하다는 지적이다.

국회 입법 조사처가 최근 국가정보자원관리원 화재, 민간클라우드에 남긴 과제를 주제로 개최한 세미나에서도 공공부문에서 민간클라우드를 활용하기 위한 요건들이 충분히 정비되지 않았다는 점이 부각됐다. 요건들 간 관계도 모호한 부분이 있어서 민간클라우드 사업자뿐만 아니라 서비스 도입을 고려하는 공공부문 담당자에게도 불확실성이 존재한다는게 업계 설명이다.

이번 행사에선 공공부문에 서비스를 제공하는 민간클라우드 사업자 중 하나인 네이버클라우는 정부 중앙집중식 정보자원관리 방식은 사고 발생 시 ‘단일 장애 지점’으로 작용할 수 있다고 보고, 민간클라우드를 활용해 사고 위험을 분산시키고 재해 복구(Disaster Recovery, DR) 탄력성을 강화할 필요가 있다고 제안했다.

하지만 공공부문은 중요하고 민감한 정보를 다루고 있어 민간클라우드가 공공부문에 진입하기 위해서는 크게 두 가지 요건을 충족해야 한다.

하나는 과학기술정보통신부 ‘클라우드 서비스 보안인증(Cloud Security Assurance Program, CSAP)’을 받아야 한다. CSAP는 IaaS, SaaS, DaaS 등 클라우드 서비스 유형별 보안 적합성을 인증하는 것으로, 2023년 인증 등급을 상·중·하로 구분하는 방식이 추가됐다. 현재 ‘하’ 등급 기준만 마련되어 있고,‘중·상’ 등급 기준은 향후 마련될 예정이다.

그때까지 기존에 각 유형별로 받은 CSAP 인증은 유효기간 내에서 ‘중’ 등급으로 간주된다.

다른 하나는 국가정보원 ‘국가 망 보안체계(National Network Security Framework, N2SF)’ 요건을충족해야 한다. N2SF는 정보 내용을 기밀 (Classified)·민감(Sensitive)·공개(Open) C·S·O 등급으로 분류하고, 이를 처리하는 정보시스템 역시 동일한 등급 체계를 적용하는 방식이다.

‘C’ 등급 정보시스템은 업무영역에 위치하고 외부 인터넷 연결이 엄격히 통제된다. ‘S’ 등급 정보시스템은 업무영역에 위치하지만, 일정 조건을 충족할 경우 외부 인터넷 접근이 허용되기 때문에 민간클라우드도입이 제한적으로 가능하다. ‘O’ 등급은 인터넷영역에 위치해 민간클라우드 이용이 자유롭다.

이런 가운데 CSAP가 ‘민간클라우드 보안 등급’을, N2SF는 ‘공공 정보자원 보안 등급’을 규정하고 있어서 그 목적과 적용 대상이 다르고, 아직 CSAP와 N2SF 세부 기준이 정립되지 않아 두 제도 간 연계가 완벽하지 않다는 지적이 나오고 있다.

예를 들어, IaaS에 대한 CSAP 인증은 ‘중’ 등급 보안 수준이 인정되는상황에서, 해당 인증이 N2SF ‘S’ 등급 정보시스템까지 포괄할 수 있는 것인지 ‘O’ 등급만 가능한지가 명확치 않다. 그 결과 민간클라우드 공급을 준비하는 사업자와 도입을 고려하는 공공부분 담당자 모두에게 제도적 불확실성이 있다.

이에 입법조사처는 단기적으로는 CSAP의 ‘중·상’ 등급 기준을 마련하고, N2SF C·S·O 등급별 요구사항도 명확히 제시하는 등 규정을 정비해야 한다고 주문했다. 이를 통해 제도 간 정합성을 확보하고, 민간과 공공 모두 민간클라우드 확대에 대한 예측 가능성을 높일 수 있도록 해야 한다는 설명이다.

중장기적으로는 입법 조사처는 공공부문 DR 전략을 마련해야 한다고 강조했다. 지금까지 DR은 예산과 정책에서 후순위에 있었고, 개별 부처에서도 DR 도입 유인이 부족했다. 이러한 국면을 전환하기 위해서는 DR 필요성과 부처별·시스템별 요구사항을 명확히 설정하고, 공공클라우드와 민간클라우드를 효과적으로 활용하는 DR 전략을 마련할 필요가 있다고 전했다.

국회입법조사처는 이번 간담회를 계기로 민간클라우드 사업자, 과학기술정보통신부·국가정보원 등 관계 부처, 학계 전문가와의 논의를 통해 공공부문에서 민간클라우드를 안전하고 효율적으로 활용할 수 있는 방안을 지속적으로 모색해 나갈 계획이다.