글로벌 클라우드 사업자들은 클라우드 보안인증제도의 몇 가지 조항이 과도해 한국시장 진입 장벽으로 작용하고 있다고 주장하고 있다. 이에 대해 한국인터넷진흥원(KISA)은 초기 투자를 피하면서 수익을 위한 영업만 하겠다는 심보라며 불쾌한 기색을 드러냈다.

임채태 KISA 클라우드보안관리 팀장은 “설비를 갖추고 투자해야 하는 부분이 존재하는데, 그들은 기존 센터를 통해 국내 공공시장에 그대로 진출하고 싶어한다”며 “시장규모가 미국만큼 크지 않기 때문에 하나의 센터를 짓고 민간과 공공 서비스를 제공하도록 하는 대신, 각 영역을 분리하라고 요구하고 있다”고 말했다.

이어 “트럼프 정권이 들어선 후 글로벌 벤더들의 입장을 대변하는 의견들이 다시 제기되고 있다”며 “아마존과 MS 등은 한국에 투자하지 않고 기존 설비를 통해 영업만 해서 매출을 올리고 싶다는 것이 실제 본심”이라고 덧붙였다.

클라우드 보안인증 제도는 클라우드컴퓨팅서비스 사업자가 제공하는 서비스에 대해 정보보호 기준의 준수여부 확인을 인증기관에 요청하는 경우 인증기관이 이를 평가·인증해 클라우드 서비스를 이용할 수 있도록 지원하는 제도다. 현재 KT, 네이버, 가비아가 이 인증을 받았으며 5개 사업자로 확대할 예정이다.

현재 클라우드 보안인증제도와 관련해 이슈가 되고 있는 부분은 이렇다. 아마존·MS 등 글로벌 클라우드 사업자는 클라우드 정보보호 기준 고시에 따라 적용되는 공공기관용 민간 클라우드 보안기준 중 물리적 위치 및 분리 조항이 과도해 한국시장 진입장벽으로 작용할 수 있다고 주장하고 있다.

이 조항은 공공기관에서 사용하는 클라우드 시스템 및 데이터에 한해 물리적 위치를 국내로 제한하고 민간영역과 분리하는 조항이다.

이에 대해 KISA는 검토결과 공공데이터를 해외에 저장하는 경우 해외 유출사고 때 본국 행정권 및 사법권 행사가 곤란해 데이터 복구 및 피해 구제가 어렵다고 답했다. 또, 공공데이터 중요성과 기밀성을 감안한다면 국내 위치 한정이 타당하고 이는 세계적 추세라는 설명이다.

아울러, 공공데이터 보안 유지를 위해서는 민간과 분리된 데이터 센터가 필요하고 민간과 혼재돼 보관되는 경우 사후 관리 ·감독 과정에서 민간분야 감시 등의 우려 가능성이 있다.

실제로, 미국에서는 아마존과 MS 등은 공공부문 전용 클라우드 데이터센터를 운영하고 있다. 미국은 연방정부를 위한 민간 클라우드 데이터센터를 미국 내 구축하고 자국 내 위치제한 및 물리적 분리를 적용하고 있다.

영국, 독일 등 해외 클라우드 선진국에서도 공공기관용 클라우드 시스템의 자국 내 위치 제한은 필수 사항이다. 공공부문에서 수집 생산 관리되는 개인정보는 정보주체의 권리 자유를 적절한 수준으로 보호하지 않는 유럽연합(EU) 이외 제3국으로의 이전을 금지하고 있다.

영국에서도 적절한 수준으로 보호하지 않으면 개인정보를 이전금지하고 있고, 독일에서는 지굼 관련 공공데이터는 독일 내에서만 처리토록 하고 있다. 러시아는 국민의 개인정보를 러시아 내 위치한 서버에 저장하도록 하는 취지의 개인정보보호법을 개정했다.

정보보호관리체계(ISMS)와 클라우드보안인증 간 일정부분 기준에서 중복된다는 점도 지적되고 있다. 이에 대해 KISA는 중복 부분에 대한 간소화 방안에 대해 인증 기준 및 범위 등을 고려해 상호 검토중이라고 답변했다. 클라우드 인프라 서비스를 제공하기 위해서는 국내 CC 인증뿐 아니라 국제 CC 인증까지 허용하고 있다.

임 팀장은 “미국은 국내보다 엄격한 편이고, 싱가포르나 영국 등은 한국과 거의 유사한 형태로 진행되고 있다”며 “글로벌 클라우드 사업자들이 한국에서만 자꾸 문제제기를 하는 것은 국내에 투자를 진행하기 꺼려하는 것으로 해석된다”고 전했다.

<최민지 기자>cmj@ddaily.co.kr