마당

아마존웹서비스(AWS)·마이크로소프트(MS)·구글클라우드 등 해외 클라우드 사업자들이 국가정보원의 보안적합성(국내 CC)검증과 암호모듈검증의 벽을 넘지 못하고 클라우드보안인증(CSAP) 포기를 검토하고 있다. 이들 세 업체는 기존에 클라우드 무역장벽 역할을 하던 '물리적(하드웨어) 망 분리'는 완화됐지만 국정원의 인증 요구가 새 무역장벽이라며 반발할 조짐을 내비쳤다. 내년 한국·미국 간 무역분쟁의 새로운 주제로 떠오를 가능성이 점쳐진다.

13일 아주경제 취재를 종합하면 최근 AWS코리아·한국MS·구글클라우드코리아 등 글로벌 클라우드 기업 한국 법인이 약 반년 전에 신청한 CSAP 하(下)등급 인증절차가 모두 멈췄다. 인증절차가 재개될 가능성은 희박하다.

세 업체가 CSAP 하등급이 요구하는 '논리적(소프트웨어) 망 분리' 요건을 충족했음에도 심사가 멈춘 이유는 국정원이 CSAP 인증을 위해 국내 CC검증을 받은 서버 장비를 이용하고, 한국에서 개발한 암호화 알고리즘인 '아리아(ARIA)'와 '시드(SEED)'를 기반으로 네트워크를 암호화할 것을 요구했기 때문이다.

AWS·MS·구글클라우드는 현재 국내 CC 인증에 준하거나 이를 넘어서는 보안을 갖춘 해외 CC 인증 서버 장비를 이용하고 있고, 국제 표준 암호화 알고리즘인 'AES(Advanced Encryption Standard)'로 네트워크를 보호하는 만큼 국정원의 요구가 사실상 무역장벽이나 다름없다고 불만을 토로했다. 한국 정부가 공공 클라우드 시장을 외국 기업에 개방할 뜻이 없음을 우회적으로 드러낸 것 아니냐는 주장이다.

한 해외 클라우드 업체 관계자는 "(정부 정책에 따라) 현지 표준인 국내 CC 인증이나 아리아·시드 암호화를 요구할 수는 있다"고 말했다. 그러면서 "하지만 국정원의 지침은 반드시 해당 표준을 따르라고 강제하고, 그에 준하는 글로벌 표준 기술을 전혀 인정하지 않는 점에서 문제가 있다"고 지적했다.

해외 업체 관계자는 "전 세계에서 유례를 찾기 힘든 강력한 규제다"라며 "사실상 한국 공공 클라우드 시장에서 사업을 하지 말라는 것"이라고 말했다. 

반면 국내 클라우드 기업은 해외 업체들의 이러한 주장에 반발하고 있다. 한국 정부가 요구하는 보안 규정을 모두 충족하며 국내 사업을 진행하는 업체들이 있는 상황에서 정부가 규제를 완화하는 것은 해외 업체들에 대한 특혜라는 것이다.

한 국내 클라우드 업체 관계자는 "냉정하게 평가해 공공 클라우드 시장은 민간에 비하면 규모가 한참 작다"며 "정부가 (보안 등과 관련해) 무리한 요구를 했다면 국내 기업들이 먼저 반발했을 것"이라고 말했다.

https://www.ajunews.com/view/20231213132709517