기사 이해를 돕기 위한 이미지 [사진=픽사베이]

[디지털데일리 김보민기자] 과학기술정보통신부와 국가정보원의 공공 보안인증 절차가 ‘국정원 단일체계’로 개편된다. 클라우드 서비스 기업이 공공 시장에 진입하기 위해 과기정통부와 국정원에 두 차례 인증 심사를 받아야 했던 불편을 줄이자는 취지다. CSAP 상·중·하 체계 또한 국정원 주도 국가망보안체계(N2SF) 등급제로 전환된다.

일각에서는 과기정통부 주도 클라우드보안인증(CSAP)가 사실상 유명무실해지는 것이 아니냐는 관측이 나온다. 과기정통부는 민간 클라우드 범용 영역에 대한 관리 체계를 새롭게 수립하고, 정보보호관리체계(ISMS)에 이를 모듈화해 자율적으로 활용할 수 있도록 개선할 계획이다.

◆ “두 번 검증, 한 번으로 줄인다”…클라우드 특성 맞게 항목 개선

20일 과기정통부와 국정원은 이러한 내용의 공공 클라우드 진입 개편사항을 발표했다. 국정원 담당관은 지난 17일 브리핑을 통해 “공공 분야에 민간 클라우드를 신속하기 도입하되 보안성을 확보할 수 있도록 이번 정책 개편을 추진하게 됐다” 며 “기존 이중 보안 인증 절차를 일원화해 민간 클라우드에 용이한 공공 진출을 지원하고 검증 항목 최적화로 이를 견고하게 하겠다”고 말했다.

그간 클라우드 서비스 기업은 공공 시장에 진입하기 위해 과기정통부 CSAP를 먼저 취득한 후 국정원 보안검증을 거쳐야 했다. 이 과정에서 기업은 민간 영역에 해당하는 공통 보안요건 106개와 공공 보안요건에 해당하는 11개 등 총 117개 조건을 맞춰야 했다. 기업이 공공 보안요건을 충족해야 CSAP 인증이 완수되는 형태였던 것이다.

이후 기업은 국정원이 CSAP 인증 결과를 보고 공공 클라우드 보안 기준을 충족했는지 다시 한번 검토하는 ‘보안검증’ 과정도 거쳐야 했다. 클라우드컴퓨팅서비스 보안대책이 적합한지 검증하는 절차이지만 이중 부담으로 작용할 요인이 있던 이유다. 국정원은 해당 검증을 통과한 기업에 문제가 없으면 홈페이지에 ‘국가 공공기관 민간 클라우드 도입 가능 목록’에 서비스를 게시해왔다. 올해 3월 기준 해당 홈페이지에 게시된 서비스는 총 198개다.

이번 개편은 CSAP 인증 과정에 해당했던 공공 보안요건을 국정원 보안검증으로 통합해 검증 한 번으로 절차를 마무리할 수 있도록 하는 것이 골자다. 단일 검증체계가 시행되기 전 CSAP 인증을 받은 제품의 경우 유효기간을 그대로 인정하며, 검증 항목도 클라우드 기술 특성에 맞게 개선된다.

국정원은 이미 CSAP 상·중·하 등급으로 인증을 받은 기업에 혼선이 없도록 이를 N2SF 등급으로 전환하는 안을 구상 중이라고 밝혔다. N2SF는 공공 시스템 내 업무 및 데이터 중요도에 따라 기밀(C), 민감(S), 공개(O) 등급으로 분류해 보안통제를 차등 적용하도록 하고 있다. 국정원 담당관은 “현재 민간 시장은 상·중·하로 설계돼 있는데 별도로 시장을 다시 혼란시킬 수 없다”며 “이에 준하는 C·S·O 등급을 인정받게끔 정책 설계를 할 예정”이라고 말했다. 이어 “과도기가 있겠지만 최소화하기 위한 설계를 하고 있다”고 부연했다.

◆ 사라지는 CSAP?…과기정통부 “ISMS 통합 후 모듈화해 운영”

정부는 이 같은 내용을 담아 올 상반기 ‘국가 클라우드컴퓨팅 보안 가이드라인’을 개정하고 1년 유예기간을 거쳐 2027년 하반기부터 본격 시행할 예정이다. 국정원 담당관은 “검증 항목이 줄어들기 때문에 완수까지 시간과 비용 모두 줄어들 것으로 예상한다”고 말했다.

정부는 신규 검증제도를 원활히 시행하기 위해 과기정통부 추천인사 등 관계기관 및 산·학·연 전문가로 구성된 ‘민관 검증심의위원회’가 공정성 및 타당성 여부를 평가하도록 할 방침이다. 기존 CSAP 평가기관 전문성을 새 제도에 연계하는 방안도 구상 중이다.

과기정통부는 공공 영역에 대한 보안인증이 국정원 업무로 단일화된 만큼, 민간 영역 관리 체계를 고도화하는 데 집중하겠다는 입장이다. 백대현 과기정통부 사이버침해대응과장은 “유예기간 동안 달라지는 점 없이 신규 발급을 진행하겠다”고 예고했다. CSAP가 사실상 유명무실해진 것이 아니냐는 질문에는 선을 그었다. 백 과장은 “CSAP가 없어지는 건 아니다”라며 “CSAP를 ISMS에 통합한 후 모듈화해서 운영할 예정”이라고 예고했다.

과기정통부는 기업 정보보호 관리 체계인 ISMS 및 ISMS-P에 클라우드 서비스 분야 자율 보안인증으로 통합할 계획이다. CSAP라는 명칭과 상·중·하 개념에도 변화가 있을 것으로 예고했다. 백 과장은 ISMS 제도 개편에 따라 등급제를 구현할 것이냐는 질문에는 “고민 중”이라고 답했다. 현재 정부는 ISMS 제도 실효성을 높이기 위해 인증 대상을 강화, 표준, 간편으로 구분하겠다고 예고한 상태다. 백 과장은 “일부 보안사고가 발생했거나 보호 필요성이 큰 기업을 강화인증으로 올리도록 하는데 구체적인 방안은 고민하고 있다”고 부연했다.

현장에서는 상·중·하 개념이 사라질 경우 외산 클라우드 기업 진입이 용이해질 수 있다는 관측도 제기된다. 이와 관련해 국정원 담당관은 “국내 사업자만 되고 해외는 안 된다는 항목은 없다”고 답했다. 통상 이슈에 대해서도 말을 아꼈다.