AWS·MS·구글, 공공 클라우드 진출 좌초되나…CSAP 하등급에도 포함된 '국정원 요구'

3사는 공공 클라우드 시장 진입에 필수적인 '클라우드 보안 인증(CSAP)'을 획득하기 위해 2023년 한국인터넷진흥원(KISA)에 관련 서류를 제출했다. 3사가 도전한 것은 CSAP의 상·중·하 중 하등급이다. CSAP는 2023년 이전에는 등급이 분류되지 않았다. 하지만 글로벌 CSP들과 국내 SaaS(서비스형 소프트웨어) 기업들이 규제 완화를 요구하면서 과학기술정보통신부(이하 과기정통부)가 CSAP를 상·중·하 등급으로 구분하는 등급제를 시행하기로 결정하고 2023년 1월부터 보안 인증 기준이 가장 낮은 하등급부터 시행했다. 과기정통부에 따르면 CSAP 하등급의 대상은 개인정보를 포함하지 않고 공개된 공공 데이터를 운영하는 시스템이 대상이다. 중등급과 상등급은 비공개 업무자료나 민감정보가 포함된 시스템이 해당된다. 

 

한국에서는 높은 CSAP의 문턱에 막혀 민간 클라우드 시장에서만 사업을 펼치던 AWS·MS·구글은 공공 클라우드 시장에 진출하기 위해 CSAP 하등급을 취득하고자 했다. 하지만 하등급의 조건에 '국내 보안성 적합성 검증'과 '국내 암호화 알고리즘 아리아(ARIA)와 시드(SEED)를 사용할 것'이 포함되면서 제동이 걸렸다. 이 조건들은 국가정보원(이하 국정원)이 요구하는 것으로 CSAP가 3등급제가 아니던 시절에도 포함됐다.

3사는 국정원의 요구사항이 CSAP 하등급의 조건에도 포함되면서 난색을 나타내고 있다. 글로벌 기업 입장에서는 충족시킬 수 없는 조건이기 때문이다. 사실상 '글로벌 CSP들은 공공 클라우드 시장에 들어오지 말라'는 메시지로 해석된다는 반응이 나오는 이유다. CSAP 인증에 대한 실무를 맡고 있는 KISA 관계자는 "CSAP 하등급 조건에도 국정원의 요구사항이 포함됐다"며 "이밖에 개별기업의 CSAP 신청 관련 진행 상황에 대해서는 알려주기 어렵다"고 말했다. 

국정원이 글로벌 기업들에게 한국의 보안 규정을 충족할 것을 요구하는 것에 대해서는 국가간의 협의가 필요하다는 지적도 나온다. 국내 기업들이 다른 국가의 공공 시장에 진출하려고 해도 해당 국가는 자국의 보안 규정을 충족할 것을 요구하기 때문이다. 염흥열 순천향대 정보보호학과 교수는 "현재로서는 글로벌 CSP들이 한국 공공 시장에 진출하려면 국정원의 요구사항을 충족하거나 한국과 미국 정부가 양국의 보안 규정을 서로 인정해주도록 협의하는 수밖에 없다"며 "각국의 데이터 및 보안 주권과 관련된 것이므로 당장 풀어내기는 어려운 문제"라고 말했다. 

이런 가운데 AWS·MS·구글은 KISA에 CSAP 하등급 획득을 위한 서류를 각각 제출한지 최대 3~8개월이 흘렀지만 KISA로부터 아무런 의견을 듣지 못하고 있다. 통상적으로 기업이 CSAP 획득을 위한 서류를 제출하면 KISA가 보완을 요구하거나 제출된 자료에 대한 질문을 하는데 이마저도 없어 3사는 속앓이를 하고 있다. 

한편 NHN클라우드·네이버클라우드·KT클라우드 등 토종 CSP들은 현재 상황을 예의주시하고 있다. 이들은 CSAP를 획득하고 공공 클라우드 시장에서 사업을 펼치고 있다. 글로벌 CSP들이 공공 클라우드 시장에 진출할 경우 타격을 받을 수도 있다. 

김동훈 NHN클라우드 대표는 <블로터>와의 통화에서 "글로벌 CSP들이 공공 클라우드 시장에 당장 진입하는 것은 쉽지 않을 것으로 보고 있다"며 "NHN클라우드가 주력하는 것은 행망시스템쪽인데 (글로벌 CSP들이 도전 중인)CSAP 하등급과 관련된 시장도 아직 커지는 단계가 아니다"고 말했다. 김 대표는 이달 1일부로 회사의 단독대표가 됐다. NHN클라우드는 지난 2023년까지 김 대표와 백도민 전 대표가 공동대표로 함께 회사를 이끌었다.