"클라우드 보안인증 완화, 해외사업자만 이득"

23일 국회정책토론회서 CSAP 등급제 개편 논의
"국내 사업자와 해외 사업자 역차별"
"공공분야 민감 데이터 해외 사업자에 넘어 갈 수도"

23일 서울 여의도에서 열린 '카카오 먹통사태로 본 클라우드와 IDC, 정부의 역할과 한계' 국회정책토론회에서 토론자들이 토론을 진행하고 있다.

[아시아경제 이승진 기자] 정부가 클라우드보안인증(CSAP) 등급제 개편을 추진 중인 가운데, 등급제 도입은 국내 클라우드 사업자의 경쟁력을 위축시킬 것이라는 전문가 진단이 나왔다.

23일 국회 과학기술정보방송통신위원회 소속 더불어민주당 조승래 의원이 주최하고, ISD기업정책연구원 주관으로 열린 ‘카카오 먹통사태로 본 클라우드와 IDC, 정부의 역할과 한계’ 국회정책토론회에서는 CSAP 개편에 대한 논의가 이뤄졌다.

현재 정부는 CSAP 등급제 도입을 추진 중이다. 공공기관 시스템 및 데이터 중요도에 따라 3등급으로 나눠, 하위 등급에선 보안 규제를 대폭 낮춰 민간 클라우드 활용을 높인다는 방침이다. 특히 국내에 데이터센터를 두고 물리적으로 망을 분리해야 한다는 조건을 완화하는 것이 핵심이다.

이를 두고 국내 기업들의 수요 확대는커녕 아마존웹서비스(AWS), 마이크로소프트(MS), 구글클라우드 등 국내 클라우드 시장의 80%를 점유하고 있는 글로벌 사업자가 공공 부문까지 독점할 것이라는 우려가 제기됐다.

이와 관련해 김민서 서울여자대학교 교수는 “정책의 취지는 좋지만, 공공부문 활성화에 앞서 민간 사업자를 얼마나 고려했는지 의문”이라며 “이미 국내 클라우드 시장에서 AWS가 50%를 넘는 상황에서 공공부문 개방이 민간기업에 어떤 도움을 줄 수 있을지 검토가 필요해 보인다”고 설명했다.

김종효 인포스탁데일리 전문위원은 국내 사업자와 해외 사업자의 역차별 문제를 지적했다. 그는 “문제 발생 시 각종 조치가 가능한 국내 기업과 달리 구글 등이 문제를 일으켰을 때 정부가 할 수 있는 조치가 아무것도 없다”라며 “동일혜택, 동일규제가 적용되지 않는 상황에서 국내 기업들에 글로벌 기업과 경쟁을 하라는 것은 말이 되지 않는다”고 지적했다.

이날 발제자로 나선 양희동 이화여자대학교 교수도 비슷한 의견을 냈다. 그는 “데이터 소유권은 고객, 정부에 있음을 명시하고 강력한 제어를 요구할 수 있어야 한다”라며 “사후 책임을 강화하는 징벌적손해배상제도 등이 도입돼야 한다”고 주장했다.

이어 양 교수는 "정부는 현재 미국의 공공 보안인증제도인 ‘페드램프(FedRamp)’를 따라 등급제 개편을 추진 중인데, 각 등급의 기준이 객관적이지 못한 점도 문제"라고 지적했다. 페드램프는 데이터 중요도에 따라 4개 범주로 등급을 나누고 있다. 각 등급은 '중대한 악영향을 초래할 수 있음' '부정적인 영향이 제한적임' 등의 주관적인 표현으로 나뉘어 있어, 민감한 공공분야의 데이터가 글로벌 사업자에 넘어갈 수 있다는 설명이다.

그동안의 보안인증제도에 맞춰 투자를 확대해온 국내 사업자에 대한 우려도 제기됐다. 박세웅 클라우드산업협회 팀장은 “국내 사업자는 기존 정책에 맞춰 투자를 진행해왔고, 정부를 믿고 투자를 진행한 국내 사업자에겐 이번 완화 논의가 힘이 많이 빠지는 상황”이라고 설명했다.

한편, 정부는 지난 10월까지 등급제 시행을 위한 세부 기준과 방안을 마련한 뒤 이를 뒷받침할 고시 개정 방안을 추진할 예정이었으나, 업계와 국회 등의 반발로 CSAP 등급제 도입이 연기됐다. 이에 개편안 논의 자체가 보류된 것 아니냐는 주장이 나왔으나 논의는 지속되고 있는 것으로 알려졌다.

김정삼 과학기술정보통신부 정보보호네트워크정책관은 "여러 부처와 다양한 이해관계자가 논의를 진행하며 이견이 있고 이를 조율하는 과정"이라며 "조만간 디지털플랫폼정부위원회가 공개적으로 논의할 수 있을 것으로 기대한다"고 전했다.

이승진 기자 promotion2@asiae.co.kr