공공 클라우드 보안 검증 체계가 국정원 중심으로 바뀝니다. 지금까지 민간 클라우드 기업이 공공 시장에 들어가려면 과기정통부의 클라우드 보안인증(CSAP)을 받고, 다시 국가정보원의 보안검증까지 따로 받아야 했거든요. 업계에서는 사실상 “보안 인증을 두 번 받는다”는 불만도 꽤 많았습니다.
정부도 이런 부담을 줄이겠다고 나섰는데요. 앞으로 공공기관 대상 서비스는 국정원 검증 체계를 따르고, 민간 영역의 클라우드 인증은 ISMS 안에 클라우드 특화 모듈을 추가하는 방식으로 재편됩니다. 쉽게 말하면 “공공용 보안”과 “민간용 보안”을 아예 분리해서 관리하겠다는 거예요.
정부는 올해 상반기 중 관련 가이드라인 개정을 예고했고, 약 1년 유예기간을 거쳐 2027년 하반기부터 새 체계를 적용할 계획입니다.
정부는 이번 개편이 새로운 규제를 추가하는 건 아니라고 설명합니다. 기존 CSAP 안에 있던 공공 보안요건을 국정원 체계로 다시 정리하는 수준이라는 거죠. 기존 인증도 남은 유효기간은 그대로 인정되고, 현재 평가기관 전문성 역시 새 체계에 연계될 예정입니다. 쉽게 말해 “기존에 준비했던 것들 다 무효 아닙니다”에 가까운 메시지예요.
근데 업계 반응은 살짝 복잡해요. 이름은 “단일 체계”인데, 실제 기업 입장에서는 준비해야 할 게 완전히 하나로 합쳐진 건 아니거든요. 민간 서비스를 운영하려면 여전히 ISMS 기반 인증이 필요하고, 공공 시장에 들어가려면 또 국정원 검증을 받아야 합니다. 결국 “이중 인증”은 줄어들었지만, “이중 준비”는 남아 있다는 이야기예요.
특히 앞으로 국정원이 검증을 맡게 되는 만큼 평가 기준이나 질의응답 과정이 얼마나 투명하게 공개될지도 중요한 포인트로 꼽힙니다. 기준이 불명확하면 기업 입장에서는 규제가 줄었다기보다 “새로운 대응 방식이 생겼다”는 느낌에 가까울 수도 있거든요.
이번 개편은 국가망보안체계(N2SF) 전환과도 연결됩니다. N2SF는 공공 업무정보와 시스템 중요도에 따라 서로 다른 수준의 보안을 적용하는 새로운 체계인데요.
이제 공공 클라우드 논의도 단순히 “클라우드를 허용할까 말까”를 넘어, 어떤 데이터를 어떤 수준으로 통제할 것인가의 단계로 넘어가고 있습니다. 결국 이번 개편의 핵심은 절차를 줄이는 것 자체보다, 기업들이 예측 가능한 기준 안에서 준비할 수 있도록 만드는 데 있어 보입니다. 절차는 단순해졌는데 기준은 여전히 모호하다면, 업계가 기대하는 ‘이중 규제 해소’ 효과도 생각보다 제한적일 수 있으니까요.
특히 앞으로 국정원 검증 체계가 실제 현장에서 어떤 방식으로 운영될지에 따라 기업들의 체감도도 크게 달라질 전망입니다. 인증 절차가 정말 간소화될지, 아니면 이름만 바뀐 새로운 대응 체계가 될지는 아직 조금 더 지켜봐야 할 것 같네요.
콘텐츠 제공 : 바이라인네트워크(byline.network)
