검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'CSAP'통합검색 결과 입니다. (33건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

[기고] 공공 클라우드 보안검증 일원화, 이제 '방법' 바꿀 때

공공 클라우드 보안검증 절차가 지난 20일 많은 우려에도 불구하고 국가정보원 단일 체계로 정리됐다. 클라우드보안인증(CSAP)과 국정원 보안성 검증이라는 이중 절차를 하나로 합치고, 기존 CSAP 민간 영역 규범은 ISMS·ISMS-P에 모듈화해 자율 인증으로 전환하며, 새 제도는 1년 유예를 거쳐 2027년 7월부터 본격 시행된다는 내용이다. 필자는 2022년 디지털플랫폼정부위원회 시절 국장으로 재직하며 국정원 보안성 검토 제도에 대해 매뉴얼화와 예측가능성, 투명성 확보를 반복해 요구해 왔다. 그러나 그 요구는 충분히 수용되지 않은 채 현재의 체계가 이어졌다. 절차 일원화는 필요했던 방향이지만 보안 중심 기관으로의 일원화가 자칫 심사 블랙박스화로 이어져 인공지능(AI)과 클라우드 확산에 역행하지 않을까 하는 우려를 지우기 어렵다. 이번 개편 실체는 세 가지로 요약된다. 검증 주체 단일화와 등급 체계 정리, 민관 검증심의위원회 신설과 세부 검증 항목 대외 공개. 모두 의미 있는 거버넌스 재편이다. 국정원은 "기준과 절차는 국정원이 운영하되 구체적인 심사와 평가 결과는 민간 전문가가 참여하는 위원회에서 자율적으로 판단할 것"이라고 설명했고, 2027년 상반기엔 검증제도 운영 지침과 해설서를 제정해 공개할 예정이라고 밝혔다. 과거와 비교하면 분명한 진전이다. 문제는 그다음이다. 심사 방법 자체에 대한 언급은 아쉽게도 보이지 않는다. '자동화', '지속 검증', '머신 리더블 증거' 같은 키워드는 이번 발표에 포함되지 않았다. 대통령 직속 국가인공지능전략위원회 산하 보안특별위원회도 "이번 발표는 현행법 체계 안에서의 최선 대안이지만 완성형은 아니며 향후 법 개정을 통해 체계가 다시 변할 수 있다"고 밝힌 바 있다. 즉 이번 개편은 '과도기적 안정' 성격이 짙다. 남은 시간 동안 채워야 할 공백이 분명히 있다는 뜻이다. 보안성 검토의 실제를 들여다보면 일원화만으로 문제가 풀리지 않는 이유가 드러난다. CSAP를 통과한 기업도 추가 보안성 검토에서 무엇을 어떤 기준으로 충족해야 하는지가 명확하게 공개되지 않는다. 심사 과정에서 드러나는 요구사항을 사후적으로 맞춰가는 관행이 반복된 이유다. 이건 개별 담당자의 역량 문제가 아니다. 보안성 검토라는 제도가 애초에 사례별, 서술 중심, 점(點) 단위 심사로 설계된 탓이다. 단순한 공개 그 자체로는 이 구조가 바뀌지 않는다. 무엇을 공개하는가보다 어떤 형식으로 기준이 정의되는가가 더 중요하다. 이번 개편 이후엔 과학기술정보통신부 CSAP가 제공해 오던 일정 수준 예측가능성이 단일 주체 재량적 판단에 더 의존하게 될 가능성이 있다. 민관 검증심의위원회가 공정성과 타당성을 평가한다고는 하지만, 그 평가가 서술형 문서나 측정 가능한 지표 심사 위에서 이뤄지는지는 명시되지 않았다. 후자가 아니라면 그간 폐쇄성을 감안할 때 위원회가 실효적으로 다루기 어려운 영역이 적지 않을 것으로 본다. 미국 연방 위험 및 승인 관리 프로그램(FedRAMP) 역시 지난 10여 년간 이중 규제, 긴 인증 기간, 문서 중심 심사라는 동일한 문제를 안고 있었다. 2025년 FedRAMP가 내놓은 답은 주체의 재편이 아니라 방법론의 근본적 전환이었다. 그 결과물이 FedRAMP 20x다. FedRAMP 20x 핵심은 '자동화'다. FedRAMP는 20x를 자동화 기반 평가·검증 접근법으로 공식 규정하며 작년 8월 GSA는 이 프로그램 전환을 과정 중심 컴플라이언스에서 결과 중심 보안으로의 이동이라고 정리했다. 2022년 말 제정된 연방 클라우드 보안 인증 제도 법안(FedRAMP Authorization Act)은 GSA에 보안 평가·검토의 자동화 수단을 확립할 법적 의무를 부과했다. 20x는 그 이행 차원이다. 사람이 정리하고 사람이 읽는 구조에서 시스템이 증명하고 시스템이 검증하는 구조로의 재설계다. FedRAMP 20x 자동화는 세 요소가 맞물린다. 우선 핵심 보안 지표(KSI)다. NIST SP 800-53의 325개 통제 항목을 로우 56개, 모더레이트 61개의 측정 가능한 지표로 재설계했다. 기업이 서술하는 대신 시스템이 실시간 데이터로 보안 상태를 내보내는 구조다. 보안 통제 머신 리더블 표준(OSCAL)은 인증 기관과의 접점을 표준화해 자동화가 기업 내부에서 끊기지 않도록 한다. FedRAMP는 2025년 Rev5 인증 100건 이상 중 OSCAL 제출이 단 한 건도 없었다는 사실을 확인하고 2027년 9월까지 완전 전환을 의무화했다. 지속 검증도 필요하다. 2단계 파일럿은 KSI의 70% 이상을 자동 검증으로 요구한다. 1년에 한 번 심사하는 구조가 아니라 시스템이 상시 보안 상태를 출력하는 구조다. KSI, OSCAL, 지속 검증 중 하나라도 빠지면 자동화는 완성되지 않는다. 성과는 숫자로 나타나고 있다. GSA는 2025년 8월 기준 평균 인증 기간을 12개월 이상에서 약 5주로 단축했다고 공식 발표했다. 2025년 전체 인증 건수는 144건으로 전년도 49건의 3배 가까운 수준이다. 초기 인증 비용도 기존 50만~100만달러에서 14만5000~18만달러 수준으로 낮아진 것으로 업계는 보고한다. 자동화라는 단일 철학이 비용·속도·처리량 세 지표에서 동시에 성과로 돌아온 것이다. 미국과 한국이 올해 진행한 개편은 같은 문제의식에서 출발해 다른 방향으로 갔다. 미국은 방법을 바꿨고 한국은 주체를 바꿨다. 이 차이가 2027년 7월 이후 공공 클라우드 시장에 어떻게 나타날지를 생각해 보면 그림이 그려진다. 국내 CSP는 여전히 수 개월짜리 서류 기반 심사를 거쳐야 하고 공공 고객은 여전히 점 단위 인증서를 기준으로 도입을 결정한다. 외산 CSP 진입 조건은 결국 단일 주체의 재량적 판단에 따르게 된다. 기업 서비스 업데이트 속도는 인증 체계의 속도에 묶이고 빠르게 변화하는 클라우드 네이티브 서비스와 AI, 서비스형 소프트웨어(SaaS)는 공공 시장 진입을 뒤로 미루게 된다. 업계가 체감하는 변화가 '두 기관을 거쳐야 했던 불편'이 '한 기관의 불투명한 판단에 전적으로 의존하는 불편'으로 대체되는 정도에 그칠 수 있다는 점을 직시해야 한다. 동시에 정부가 추진하는 민간 클라우드 정부리전 방향성과 이번 개편의 정합성도 다시 점검해 볼 필요가 있다. 물론 국정원 의지에 따라 이번 일원화가 긍정적 방향으로 흘러갈 여지도 있고 일원화 자체가 필요했던 부분도 분명 있다. 다만 일원화만으로 문제 해결은 만만치 않다. 보안특위 역시 "향후 법 개정을 통해 체계가 다시 변할 수 있다"고 언급한 만큼 이 15개월은 단순한 이행기가 아니라 다음 단계를 설계할 시간으로 쓰여야 한다. 2027년 7월 시행까지 약 15개월. 이 시간을 가이드라인 문구를 다듬는 데 쓸 것인지, 인증 체계를 자동화 기반으로 재설계하는 데 쓸 것인지에 따라 방향이 크게 달라진다. 우리도 민간 클라우드 정부 리전으로 가야 한다면 미국 경로를 따라가도 된다. 남은 15개월 동안 한국이 해야 할 일은 분명하다. 기존 117개 검증 항목을 N²SF 등급에 대응하는 한국형 KSI로 재설계하고 OSCAL 한국 프로파일을 공식 채택해야 한다. 독자 포맷을 만들 이유가 없으며 국내외 CSP 모두 비용을 낮출 수 있다. 기준의 형식도 바꿔야 한다. 국정원이 지침·해설서를 공개하기로 한 것은 진전이지만 관건은 그 기준이 서술형인가 측정 가능한 지표형인가다. 비공개는 보안 장치가 아니라 예측가능성을 빼앗는 장치다. 기술 인프라도 뒤따라야 한다. CSP가 공공기관에 보안 상태를 실시간 제공할 수 있는 지속 검증 API 표준이 필요하다. 그리고 시행 전에 국내 CSP·SaaS 기업 대상 공개 파일럿을 빠르게 시작해야 한다. 1년 유예는 적응 기간이 아니라 방법론을 함께 설계할 시간이어야 한다. 이 프레임 안에서 민관 검증심의위원회 역할도 재정의될 수 있다. 개별 기업 검증 결과를 사후에 심의하는 것을 넘어 KSI 카탈로그와 OSCAL 프로파일, 지속 검증 API 표준을 지속적으로 개정하는 표준 거버넌스 기구로 자리 잡는 것이다. 앞으로 인공지능전략위 보안특위와 새로 꾸려질 민관검증심의위 전문가들이 더 치밀한 설계로 이 과제를 채울 것이다. 국정원이 이번 일원화와 세부 검증 항목 공개를 계기로 투명하고 예측 가능하며 기술 변화에 빠르게 대응할 수 있는 체제를 구축해 주기를 희망한다. 일원화 자체는 필요했다고 인정하더라도 문제는 일원화 이후다. 주체를 단순화하는 것만큼, 아니 그 이상으로 방법을 현대화하는 일이 내년 7월까지 우리 앞에 놓인 숙제다.

2026.04.22 15:28이승현 컬럼니스트

KT클라우드, 공공 AI 문턱 낮춘다…'AI 파운드리' 생태계 확장

KT클라우드가 공공 클라우드 환경에서 생성형 인공지능(AI) 활용을 지원하며 AI 전환(AX) 시장 공략에 박차를 가한다. 보안 인증과 공공 전용 서비스를 앞세워 공공기관 AI 도입 장벽을 낮추고 실무 적용을 확대한다는 전략이다. KT클라우드는 엔드투엔드 AI 플랫폼 'AI 파운드리' 공공 클라우드 상품을 출시하고 공공 AX 시장 공략을 본격화한다고 21일 밝혔다. 회사는 지난해 민간 클라우드 존에서 AI 파운드리를 선보인 데 이어 이번에는 공공 클라우드 존으로 서비스를 확장했다. 공공기관과 지방자치단체도 민간과 동일한 수준의 AI 서비스를 활용할 수 있도록 지원한다는 방침이다. 특히 AI 파운드리 핵심 서비스인 'RAG 스위트'와 '벡터DB'가 클라우드 보안인증(CSAP) 중등급을 획득하면서 공공기관이 보안 우려 없이 클라우드 환경에서 AI를 활용할 수 있는 기반을 마련했다. 공공 도입 절차 간소화에도 나선다. KT클라우드는 이달 중 RAG 스위트와 벡터DB를 한국지능정보사회진흥원(NIA) '디지털서비스 전문계약제도'에 등록해 공공기관 계약 절차를 단축하고 AI 서비스 도입 기간을 줄일 계획이다. 기술 측면에서도 공공 특화 기능을 강화했다. 회사 측에 따르면 RAG 스위트를 활용해 PDF와 워드 문서 등 비정형 데이터를 AI 학습이 가능한 형태로 손쉽게 변환할 수 있다. 또 KT 자체 모델 '믿음(Mi:dm) 2.0'과 업스테이지 '솔라 프로 2', '솔라 미니' 등 한국어 특화 대형언어모델(LLM)을 유연하게 활용할 수 있다. 별도 인프라 구축 없이 API 호출만으로 RAG 파이프라인도 구성할 수 있다. 이를 통해 정책 정보 조회나 민원 상담 챗봇 등 공공 서비스 구현을 빠르게 지원한다는 목표다. 오는 23일에는 'RAG 스위트 2.0'도 출시한다. 해당 버전엔 개인정보 탐지 및 마스킹 기능, AI 응답 가드레일, 한글 문서 파서, 검색 결과 재정렬(리랭크) 기능 등이 추가돼 보안성과 답변 정확도를 동시에 강화했다. 아울러 KT클라우드는 단순 제품 공급을 넘어 AX 컨설팅 조직을 기반으로 공공기관 AI 도입 전략 수립도 지원할 계획이다. AX 성숙도 진단 모델을 통해 기관별 수준을 분석하고 맞춤형 AI 도입 로드맵과 아키텍처 설계를 제공할 방침이다. 김봉균 KT클라우드 대표는 "이번 AI 파운드리 공공존 출시와 CSAP 인증은 공공기관이 보안 우려 없이 생성형 AI를 실무에 적용할 수 있는 중요한 전환점이 될 것"이라며 "앞으로도 공공 업무 환경에 최적화된 AI 플랫폼을 지속적으로 고도화해 국내 AX 혁신을 이끌어가겠다"고 강조했다.

2026.04.21 09:41한정호 기자

[공공 클라우드 격변 ㊦] 규제 완화에도 외국계 '신중'…"보이지 않는 장벽 우려"

정부가 공공 클라우드 규제를 개편해 제도 진입 문턱을 낮췄다고 발표했지만 외국계 클라우드사는 여전히 신중한 태도를 보이고 있는 것으로 나타났다. 20일 과학기술정보통신부와 국가정보원은 클라우드 서비스 기업의 공공 시장 진입 시 필요한 인증 절차를 국정원 중심 단일 검증 체계로 일원화하는 방안을 공동 발표했다. 기존 과기정통부 클라우드 보안인증(CSAP)과 국정원 검증을 각각 거쳐야 했지만 이를 하나로 통합하는 것이 핵심이다. 이번 개편으로 클라우드사는 단일 절차를 통해 공공 시장에 진입할 수 있는 구조가 마련된다. 기존 CSAP 인증을 받은 제품은 유효기간을 그대로 인정받는다. 검증 항목도 클라우드 기술 특성에 맞게 개선될 예정이다. 정부는 올해 상반기 중 국가 클라우드컴퓨팅 보안 가이드를 개정하고 1년 유예기간을 거쳐 2027년 하반기부터 제도를 본격 시행할 계획이다. 또 민관 검증심의위원회를 통해 검증 결과의 공정성과 타당성을 점검한다. 공공 영역은 국정원 기준으로 보안 검증을 단일화하고 민간 영역은 정보보호 관리체계 중심으로 통합하는 구조도 추진된다. 인증 간 유사 기준을 정리해 행정 효율성을 높이고 기업의 서비스 혁신 여건을 개선한다는 구상이다. 현재 외국계 클라우드사는 발표 후에도 신중한 태도를 보이고 있다. 이번 조치가 외형적으로는 규제 완화로 보이지만 실제 효과는 세부 기준에 달려 있다는 이유에서다. 이들은 아직 공개되지 않은 세부 검증 기준을 주시하고 있다고 입을 모았다. 제도는 열렸지만 실제 시장 접근성은 향후 정책 설계에 따라 달라질 수 있다는 인식이다. 미국 중심 통상 압박이 지속되고 있다는 분석도 나왔다. 이에 클라우드 제도 운용 방향이 외부 변수에 영향받을 가능성도 제기된다. 이에 따라 외국계 사업자들은 단기적인 진입 확대보다는 정책 흐름을 관망하는 분위기가 이어지고 있다. 한 외국계 클라우드사 관계자는 "장비 보안인증이나 데이터센터 요건 등 추가 조건이 붙을 수 있다"며 "당장은 진입 장벽이 낮아진 것처럼 보이지만 실질적으론 규제가 그대로일 수 있다고 본다"고 말했다. 또 다른 업계 관계자는 "국정원이 인증을 맡더라도 미국처럼 자동화된 방식으로 검증이 이뤄져야 한다"며 "기존처럼 기준이 불명확한 보안 검토가 확대되면 외국계뿐 아니라 국내 기업 부담까지 커질 수 있다"고 지적했다. 이어 "현재 구조로는 양방향 통신이 어려워 에이전트 기반 서비스 구현도 쉽지 않다"고 덧붙였다. 김창섭 국정원 3차장은 "이중 규제로 불편을 겪어온 기업 애로를 지속적으로 해소할 것"이라며 "공공 클라우드 보안 수준을 높이는 데 노력할 것"이라고 말했다.

2026.04.20 14:23김미정 기자

[공공 클라우드 격변 ㊤] 보안인증 통합에도 '혼선'…시장 위축 우려 커진다

공공 클라우드 보안 체계가 대대적인 개편을 앞두면서 시장 전반에 긴장감이 높아지고 있다. 이중 인증 구조를 해소하고 진입 문턱을 낮추겠다는 정부 취지와 달리, 세부 기준 불확실성과 규제 간 충돌 가능성이 맞물리며 공공 클라우드 전환 속도에 변수로 작용할 수 있다는 분석이 나온다. 과학기술정보통신부와 국가정보원은 20일 공공 클라우드 시장 진입 시 적용되던 이중 보안 인증 절차를 국정원 단일 검증 체계로 일원화하는 내용의 정책 개편안을 발표했다. 업계에선 이번 제도 개편이 공공 클라우드 시장 진입 장벽을 낮추는 긍정적 신호인 동시에, 정책 불확실성으로 인해 오히려 시장 위축을 초래할 수 있다는 우려가 동시에 제기되고 있다. 특히 공공기관의 클라우드 전환 시점과 사업 발주 일정에도 영향을 미칠 수 있다는 관측이 나온다. 이중 규제 걷어내고 단일 검증으로…"공공 진입 문턱 낮춘다" 이번 개편의 핵심은 과기정통부 클라우드보안인증(CSAP)과 국정원 보안 검증으로 나뉘어 있던 이중 구조를 하나로 통합하는 데 있다. 그동안 공공 클라우드 시장에 진입하려는 기업은 CSAP 인증을 취득한 이후에도 별도의 국정원 보안 절차를 거쳐야 했다. 정부는 이러한 구조가 기업에 불필요한 비용과 시간을 초래하는 중복 규제로 작용해왔다고 보고 이를 단일 체계로 통합하기로 했다. 향후에는 국정원 기준을 중심으로 한 번의 검증만으로 공공 시장 진입이 가능해질 전망이다. 검증 항목 역시 클라우드 특성에 맞춰 재설계된다. 기존에는 관리적·물리적·기술적 요소를 포함한 광범위한 보안 항목이 요구됐으나, 앞으로는 공공 서비스 제공에 필요한 핵심 보안 요건 중심으로 축소될 예정이다. 민간 영역에선 CSAP가 정보보호 관리체계(ISMS)로 통합 운영된다. 공공과 민간 보안 체계를 분리해 각각 목적에 맞는 인증 체계를 구축하겠다는 전략이다. 기존 인증 기업 보호를 위한 조치도 포함됐다. 현재 CSAP 인증을 보유한 기업은 유효기간 동안 기존 인증 효력을 그대로 인정받으며 제도 전환 과정에서 발생할 수 있는 혼란을 최소화한다는 방침이다. 정부는 상반기 중 관련 보안 가이드라인 개정을 예고하고 1년 유예기간을 거쳐 2027년 하반기부터 본격 시행할 계획이다. 이 기간 동안 국정원은 세부 검증 기준과 운영 지침, 해설서를 마련하고 산업계 의견 수렴을 병행한다. 또 산학연 전문가로 구성된 '민간 검증심의위원회'를 통해 검증 결과의 공정성과 객관성을 확보하고 기존 CSAP 평가기관도 활용해 제도 연속성을 유지한다는 방침이다. 류제명 과기정통부 2차관은 "국정원과 협력해 부처 간 칸막이를 과감히 허물었으며 이를 통해 우리 기업들이 보안 문턱을 쉽고 빠르게 넘을 수 있도록 지원하겠다"며 "특히 기존 기업들의 투자가 헛되지 않도록 제도 전환 기간을 부여해 산업 생태계의 안정적 성장을 돕겠다"고 말했다. 김창섭 국정원 3차장은 "이번 정책으로 그간 이중규제로 불편을 겪어온 기업들의 애로사항을 해결하되 공공용 클라우드의 보안 수준을 높이는 데 주안점을 뒀다"며 "기업들의 부담을 완화하는 방향으로 안착할 수 있도록 업계와 지속 소통할 것"이라고 밝혔다. "규제 줄였지만 더 복잡"…부처 엇박자에 현장 혼선 지속 업계에선 이번 개편이 규제 완화보다 시장 불확실성을 키우는 요인으로 작용할 수 있다는 우려가 제기된다. 아직 세부 기준이 마련되지 않은 상황에서 제도 방향이 선제적으로 제시되면서 공공기관과 사업자 모두 사업 추진을 늦출 가능성이 높다는 분석이다. 보안인증 제도 변경 이후 재검토 부담을 피하기 위해 클라우드 전환·도입 시점을 늦추는 사례가 늘어날 수 있다는 관측이 나온다. 특히 공공기관은 시스템 교체 주기에 맞춰 차세대 및 클라우드 전환 여부를 결정하는데, 일반적으로 장비 내구연한이 5년 이상인 점을 고려하면 현재 전환을 미루는 경우 향후 수년간 공공 클라우드 시장이 정체될 가능성도 제기된다. 클라우드 업계 관계자는 "장기적인 관점에서 제도 통합 자체는 긍정적이지만 현재처럼 세부 기준이 없는 상태에선 공공기관이 의사결정을 미루는 경향이 강해질 수 있다"며 "결과적으로 단기 시장은 오히려 위축될 가능성이 크다"고 말했다. 여기에 공공 정보시스템을 관장하는 행정안전부와의 지속적인 정책 엇박자도 주요 변수로 지목된다. 행안부는 최근 전국 1만 6000여 개 공공 정보시스템을 대상으로 '국민 영향도'를 중심으로 등급을 전면 재분류하는 방안을 발표했다. 이는 지난해 국가정보자원관리원 화재로 일부 행정 시스템이 중단되면서 복구 우선순위 체계의 한계가 드러난 데 따른 후속 조치다. 새로운 등급 체계는 국가 핵심(A1)부터 일반(A4)까지 4단계로 구분되며 등급에 따라 재해복구 목표 시간도 차등 적용된다. 핵심 시스템은 실시간 수준의 복구 체계를 요구하는 등 안정성과 연속성을 강화하는 방향으로 설계됐다. 시스템 통합(SI) 및 클라우드 사업자들은 변화되는 등급제에 맞춰 공공 사업을 준비해야 하는 상황이다. 이같은 행안부 정보시스템 등급제, 이번 과기정통부·국정원 통합 인증, 다음 달 시행되는 국가망보안체계(N2SF)가 서로 다른 기준으로 설계돼 사업자 입장에선 정책 정합성을 확보하기 어렵다는 지적이 나온다. 또 공공기관들도 어떤 기준을 우선 적용해야 하는지 판단하기 어려운 상황이 반복되고 있는 실정이다. 이는 정부가 추진 중인 공공 클라우드 전환 정책과도 충돌할 가능성이 제기된다. 국가인공지능전략위원회는 지난 2차 전체회의에서 2030년까지 1만 5000여 개 공공 정보시스템을 대상으로 민간 클라우드 활용을 확대하고 데이터 등급에 따라 하이브리드 인프라로 전환하는 방안을 의결한 바 있다. 과기정통부 역시 과학기술관계장관회의를 통해 공공 정보시스템의 클라우드 네이티브 전환을 공식화하고 신규 사업 추진 시 민간 클라우드 적용 여부를 의무적으로 검토하도록 하는 등 전면 전환 로드맵을 제시한 상태다. 이 과정에서 공공 정보시스템을 총괄하는 행안부를 비롯한 관계 부처에도 민간 클라우드 전환 확대를 위한 협조가 요구되고 있지만, 보안 인증 체계가 개편되는 상황에서 구체적인 적용 기준이 정리되지 않으면서 정책 간 유기적 결합이 어려운 상황이다. 실제 전략위와 과기정통부 로드맵은 기존 CSAP 인증 체계를 기반으로 설계된 반면, 현재 인증 구조는 국정원 중심으로 재편되는 과정이기에 실제 적용 기준에 대한 혼선이 불가피할 전망이다. 특히 N2SF 기반의 데이터 등급 체계까지 결합되면 클라우드 관련 보안인증 통합이 오히려 현장에 추가적인 부담을 키울 수 있다는 우려가 나온다. 업계 관계자는 "공공 클라우드 정책이 인증 체계 개편과 AI 인프라 전략, 부처별 규제까지 맞물린 복합 이슈로 확대되고 있다"며 "정책 간 정합성을 확보하지 못하면 정부 로드맵과 실제 시장 흐름이 엇갈릴 수 있다"고 밝혔다. 이어 "산업계 의견을 충분히 반영하고 구체적인 기준을 조속히 마련하길 바란다"고 덧붙였다.

2026.04.20 14:23한정호 기자

공공클라우드 인증, 국정원으로 단일화...CSAP 10년만에 해체

기업이 공공 클라우드 시장 진입시 필요한 검증절차를 정부가 국정원 단일 검증체계로 일원화했다. 현재는 과기정통부(민간)와 국정원(공공) 두 곳이 이를 담당하고 있다. 이를 '국정원 클라우드 보안검증'으로 일원화했다. 새 제도는 오는 2027년 7월부터 시행한다. 앞서 국정원은 올 상반기중 관련 지침(국가 정보보안 기본지침과 국가 클라우드컴퓨팅 보안 가이드라인)을 개정한다. 새 제도를 시행하면 과기정통부가 민간 기업을 대상으로 지난 10년간 운영해온 클라우드보안인증(CSAP,Cloud Security Assurance Program)은 역사속으로 사라진다. CSAP는 현재 4개의 규범(별표)으로 이뤄졌다. 이중 1~3 규범(공식명칭 별표 1~3, 일명 공통 보안요건)이 과기정통부가 관할하는 민간 대상 보안 규정인 ISMS(Information Security Management system)에 녹아들어가고, 4규범(공식명칭 별표4, 일명 공공 보안요건)은 국정원의 새 '클라우드 보안검증'과 합쳐지면서 없어진다. (기사 하단에 설명) 외형상 단일 검증체계로 바뀌는 이번 조치를 두고 산업계는 기대와 함께 "과기정통부가 전담하던 CSAP 인증을 공공과 관련있는 조항이 산업 진흥과 거리가 있는 국정원에서 맡게 됐다"며 우려 목소리도 냈다. 20일 과학기술정보통신부(과기정통부)와 국가정보원은 기업의 공공 클라우드 시장 진입시 필요한 검증절차를 국정원 단일 검증체계로 일원화하는 정책을 공동으로 발표했다. 그동안 클라우드 서비스 기업이 공공 시장에 진입하려면 과기정통부의 CSAP(클라우드보안인증)를 먼저 취득한 후 국정원의 '보안검증'도 거쳐야 했다. 이를 단일 검증체계로 바꿨다. CSAP는 클라우드컴퓨팅서비스 사업자가 제공하는 서비스에 대해 정보보호 기준의 준수여부를 평가 및 인증하는 제도로 과기정통부가 주관하고 있고, '보안검증'은 클라우드컴퓨팅 서비스에 대해 수립한 보안대책의 적합성을 국정원이 검증하는 절차다. 정부는 올 상반기 중 '국가 클라우드컴퓨팅 보안가이드라인' 등을 개정, 1년간 유예기간을 거쳐 2027년 7월부터 새 제도를 시행할 예정이다. 특히, 새 제도가 시행되기 전 CSAP 인증을 받은 제품은 현재의 유효기간(5년)을 그대로 인정하기로 했다. 예컨대, 2027년 6월 CSAP 인증을 받으면 국정원이 관할하는 클라우드 보안검증을 5년간 받지 않아도 되는 것이다. 국정원은 "검증항목을 클라우드 기술 특성에 맞게 개선하겠다. 공공 클라우드 보안 수준은 강화하고 기업의 부담은 경감시킬 것"이라면서 "ISMS-P 등 유사 보안인증과 중복되는 항목은 검증시 면제해 줄 방침'이라고 밝혔다. 정부는 새 제도의 원활한 시행을 위해 과기정통부 추천인사 등 관계기관 및 산·학·연 전문가로 구성한 '민관 검증심의위원회'를 구성, 검증결과의 공정성·타당성 여부를 평가할 계획이다. 또 현 CSAP 평가기관 3곳(한국정보통신진흥협회(KAIT), 한국아이티평가원, 한국시스템보증)의 전문성을 새 제도와 연계, 행정의 연속성도 확보할 방침이라고 덧붙였다. 한편, 과기정통부는 현재 기업을 대상으로 운영고 있는 정보보호 관리체계인 ISMS(정보보호 관리체계)에 CSAP 해체로 이관되는 민간 대상의 1~3 규범을 통합, 자율 보안인증으로 운영한다. 즉, 기존 ISMS 인증을 의무적으로 받아야 하는 대상(주요 정보통신서비스 제공자, IDC 사업자 등)이 새로 합쳐지는 CSAP 1~3 규범을 의무적으로 받아야 하는 것이 아닌, 자율 규정으로 운영한다는 것이다. 이와함께 이관을 계기로 국제표준(ISO와 IEC) 등 민간 분야에 적합한 기준을 마련할 계획이다. 과기정통부는 "이번 체계 전환을 통해 인증 간 유사 보안기준을 하나로 통합해 행정 절차의 효율성을 극대화하고, 기업이 핵심 서비스 혁신에 더욱 전념할 수 있는 최적의 비즈니스 환경을 조성할 것으로 기대한다"고 밝혔다. 류제명 과기정통부 2차관은 "국정원과 협력해 부처 간 칸막이를 과감히 허물었으며, 이를 통해 우리 기업들이 보안 문턱을 쉽고 빠르게 넘을 수 있게 지원하겠다"며 "특히 기존 기업들의 투자가 헛되지 않도록 제도 전환 기간을 부여해 산업 생태계의 안정 성장을 돕겠다"고 밝혔다. 김창섭 국정원 3차장은 "이번 정책으로 그간 이중규제로 불편을 겪어온 기업의 애로사항을 해결하되 공공용 클라우드의 보안 수준를 높이는데 주안점을 뒀다"며 "기업의 부담을 완화하는 방향으로 안착할 수 있게 업계와 지속적으로 소통할 것"이라고 말했다. ◆ 해체되는 CSAP는 무엇? 클라우드 보안인증제도(CSAP)는 민간 클라우드 서비스의 안전성을 검증하는 제도다. 기업이 클라우드로 공공시장에 들어가려면 필수로 받아야한다. 과학기술정보통신부가 정책을 총괄하고 한국인터넷진흥원(KISA)이 평가를 전담하고 있다. 공공기관이 안심하고 민간 클라우드를 도입할 수 있게 보안 요건을 객관적으로 검증, 인증을 준다. '클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률' 제23조 제2항에 근거를 뒀다. CSAP는 국내 클라우드산업 발전에 맞춰 개선돼왔다. 즉, 2016년 4월 서비스형 인프라(IaaS)를 대상으로 처음으로 인증이 시작됐고, 이어 2018년 7월 서비스형 소프트웨어(SaaS) 인증이, 2020년 11월 서비스형 데스크톱(DaaS) 인증 기준이 각각 마련, 시행됐다. 2023년에는 데이터 중요도에 따라 보안 수준을 차등화한 '상·중·하 3등급제'가 도입, 현재의 CSAP 기틀을 완성했다. 세부 인증 항목 수효는 클라우드 서비스 종류에 따라 다르다. IaaS가 116개, SaaS가 79개, DaaS가 110개의 검증 항목을 통과해야 한다. 평가 영역은 정책과 인적 보안을 다루는 관리적 보호조치, 데이터센터 시설을 점검하는 물리적 보호조치, 가상화 보안과 네트워크 분리를 검증하는 기술적 보호조치로 나뉜다. 특히 등급별로 차등 적용되는 망 분리 요건은 공공 클라우드 시장 진입을 결정짓는 핵심 잣대로 꼽힌다. 인증 절차는 신청부터 발급까지 수개월이 걸린다. KISA의 서면 및 현장 실사를 통해 보안 정책 이행 여부를 확인하며, 발견된 결함은 모두 보완해야 인증서가 발급된다. 인증 유효기간은 5년이다. 하지만 매년 사후 심사를 통해 보안 수준을 유지해야 한다. 4개 규범으로 구성...'별표4'가 국정원으로 이관 CSAP는 아래와 같은 4개의 규범(정식 명칭 별표)으로 이뤄져 있는데, 이중 별표4가 국정원 클라우드 보안검증에 통합된다. 별표4는 공공과 관련있는 조항들이다. 1~3 발표는 현 과기정통부의 ISMS와 결합, 의무가 아닌 자율인증으로 바뀐다. ▲별표 1(관리적 보호조치, 클라우드 서비스 운영 조직 관리체계. 예컨대, 정보보호 정책 조직 및 책임, 인력 보안, 자산관리, 접근권한 관리, 사고 대응 감사 및 점검) ▲별표 2(물리적 보호조치, 데이터센터 및 물리 환경 보호. 예를들어 출입통제 보호구역 설정, CCTV 전원·환경 보호 장비 반출입 통제, 즉 클라우드 인프라 물리보안 영역) ▲별표 3(기술적 보호조치, 시스템·네트워크·계정·암호화 등 기술통제. 예를들어 인증 및 접근통제, 네트워크 보안, 시스템 보안, 로그관리, 취약점 관리, 악성코드 대응, 암호화 등 실제 보안엔지니어링 핵심 영역) ▲별표 4(국가기관 등이 이용하는 클라우드컴퓨팅서비스 보호조치로 공공기관 대상 추가 요구사항. 예를들어 데이터 위치 통제, 관리자 접근 제한, 망분리 요구, 위탁관리 제한, 외국인 접근 통제, 로그 관리 강화, 침해사고 대응 강화)

2026.04.20 14:00방은주 기자

KT클라우드, 고가용성 플랫폼 CSAP 인증 획득…공공 인프라 공략 박차

KT클라우드가 자체 기술로 구현한 클라우드 플랫폼의 보안 인증을 획득하며 공공 클라우드 시장 공략에 속도를 낸다. 멀티 가용성 영역(AZ) 기반 고가용성 인프라를 앞세워 서비스 안정성과 확장성을 동시에 확보한다는 전략이다. KT클라우드는 자체 개발한 'KT클라우드 플랫폼'이 클라우드 보안인증(CSAP)을 획득하고 공공 시장 경쟁력 강화에 나선다고 30일 밝혔다. KT클라우드 플랫폼은 설계부터 개발, 운영까지 전 과정을 자체 기술로 구현한 차세대 클라우드 인프라 플랫폼이다. 글로벌 표준 오픈소스를 기반으로 클라우드 네이티브 구조를 내재화해 확장성과 안정성을 동시에 확보한 것이 특징이다. 플랫폼은 쿠버네티스를 기반으로 오픈스택을 재구성한 아키텍처를 적용해 인프라 운영을 자동화·표준화했다. 이를 통해 가상머신(VM)과 컨테이너 환경을 하나의 플랫폼에서 통합 운영할 수 있으며 그래픽처리장치(GPU) 기반 인공지능(AI) 인프라와의 연계도 가능하다. 또 글로벌 표준 환경과의 호환성을 확보해 고객이 별도 학습 없이 플랫폼을 활용할 수 있도록 지원한다. AI 플랫폼 및 외부 솔루션과의 유연한 연계를 통해 멀티 클라우드 환경에서도 확장성을 확보했다. 고가용성 확보를 위한 인프라도 강화했다. KT클라우드는 멀티 리전 구조를 통해 서비스 연속성을 높이고 서울·경북 간 멀티 리전과 서울 용산·목동 간 멀티 AZ 체계를 구축해 재해복구(DR) 환경을 고도화할 계획이다. 최근 공공과 민간 시장에서 이중화와 안정성 요구가 높아지는 가운데, KT클라우드는 멀티 AZ 기반 인프라를 통해 서비스 신뢰성을 높이고 공공 클라우드 시장에서 경쟁력을 강화한다는 방침이다. 안재석 KT클라우드 기술본부장은 "KT클라우드 플랫폼은 우리의 글로벌 수준 기술력을 바탕으로 고객 IT 환경을 클라우드 네이티브 구조로 전환하는 핵심 인프라"라며 "멀티 AZ 기반 고가용성 인프라를 통해 서비스 신뢰성을 높이고 고객의 안정적인 클라우드 운영을 지원하겠다"고 밝혔다.

2026.03.30 16:23한정호 기자

인스웨이브, DX스퀘어 CSAP 인증 획득…공공 SaaS 시장 본격 진출

공공 클라우드 보안 인증을 확보한 인스웨이브(대표 어세룡)가 비대면 플랫폼 'DX스퀘어(DXSquare)'를 앞세워 공공 서비스형 소프트웨어(SaaS) 시장 공략에 속도를 낸다. 인스웨이브는 통합 비대면 플랫폼 DX스퀘어가 한국인터넷진흥원(KISA)으로부터 클라우드 서비스 보안인증(CSAP) SaaS 표준등급을 획득했다고 9일 밝혔다. CSAP는 공공기관이 민간 클라우드 서비스를 도입할 때 필수적으로 요구되는 보안 인증 제도로, 물리적 보안부터 기술적 보호조치, 데이터 관리 체계까지 다양한 항목을 종합적으로 평가해 부여된다. 이번 인증을 통해 인스웨이브는 공공 클라우드 환경에서 요구되는 보안성과 안정성을 공식적으로 인정받게 됐다. 특히 금융권 디지털 전환 프로젝트에서 검증된 DX스퀘어가 공공 클라우드 보안 인증을 확보하면서, 공공기관을 대상으로 한 SaaS 기반 디지털 전환 사업 확대가 기대된다. 최근 정부와 공공기관의 클라우드 전환 정책이 빠르게 추진되면서 검증된 민간 SaaS 솔루션에 대한 수요도 크게 늘고 있다. 이러한 환경 속에서 CSAP 인증은 공공 시장 진입을 위한 핵심 요건으로 평가된다. DX스퀘어는 다양한 업무 시스템을 디지털 환경으로 전환해 효율적인 비즈니스 운영을 지원하는 플랫폼이다. 디지털 창구, 현장 영업(ODS), 보이는 TM 등 다양한 산업 영역에서 활용되며 비대면 업무 환경 구축을 지원해 왔다. 이번 인증을 통해 공공기관은 별도의 인프라 구축 없이 클라우드 환경에서 DX스퀘어를 도입해 행정 서비스의 디지털 전환을 추진할 수 있게 됐다. 기술 경쟁력도 강점이다. DX스퀘어는 자체 웹 표준 기반 기술을 통해 기존 시스템 대비 화면 호출 속도를 5배 이상 개선하고 메모리 사용량을 약 65% 줄이는 성능을 구현했다. 또한 단일 소스로 다양한 채널 서비스를 제공할 수 있는 원소스멀티유즈(OSMU) 구조를 적용해 개발 효율성과 운영 생산성을 높였다는 평가를 받고 있다. 인스웨이브는 시중은행과 대형 금융기관의 차세대 시스템 구축 프로젝트를 성공적으로 수행하며 플랫폼 안정성과 기술력을 입증해 왔다. 회사는 이번 CSAP 인증을 계기로 공공기관과 지방자치단체의 클라우드 전환 정책에 적극 대응하며 공공 디지털 전환 시장에서 입지를 강화한다는 전략이다. 어세룡 인스웨이브 대표는 "이번 CSAP 인증은 금융권에서 검증된 DX스퀘어의 보안성과 신뢰성을 공공 분야까지 확대하는 계기가 될 것"이라며 "앞으로도 기술 경쟁력을 바탕으로 국가 디지털 전환을 지원하고 지능형 디지털 정부 구현에 기여하겠다"고 말했다.

2026.03.09 13:34남혁우 기자

'클라우드보안인증제' 재편 파열음↑…"국정원 일원화 논의된 적 없어"

정부 차원에서 공공부문의 안전한 클라우드 도입을 위해 클라우드보안인증제(CSAP, Cloud Security Assurance Program)를 재편하는 작업에 착수한 가운데 논의 주체 간 파열음이 고조되고 있다. 그간 민간 클라우드서비스가 공공시장에 진입하기 위해서는 안전성 확보를 위해 한국인터넷진흥원(KISA)에서 인증하는 CSAP를 비롯해 국가정보원에서 주관하는 보안성 검증을 받아야 했다. 하지만 클라우드서비스가 정보보호 측면에서 안전한지 두 기관으로부터 두 차례 검증을 받아야 하다 보니 서비스 제공자의 입장에서는 '이중 부담'으로 다가왔다. 이런 문제를 해소하고자 정부 차원에서 논의에 착수했고, 조만간 방향성에 대한 가닥이 잡힐 것으로 예상된다. 국가정보원 보안성 검토는 무엇인가? 앞서 정부는 국가정보자원관리원 화재로 민간 클라우드 활성화의 필요성이 대두되자, 공공 클라우드 영역에서 공개할 수 있는 데이터를 민간 클라우드로 전환하는 작업에 착수했다. 단, 어떤 정보화 시스템이나 서비스든 일정 보안 기준(국가정보원 보안성 검토)을 충족해야만 공공 부문에 진입할 수 있다. 클라우드서비스도 마찬가지다. 국가정보원 국가정보보안기본지침에 따르면 각 공공기관은 클라우드컴퓨팅(공공 클라우드 센터 포함)을 구축·운영하고자 할 경우 '국가 클라우드 컴퓨팅 보안 가이드라인'에 명시된 보안 기준을 준수해야 한다고 명시돼 있다. '국가 클라우드 컴퓨팅 보안 가이드라인'을 보면 국가·공공기관은 정보화 사업 계획을 수립하고, 국가정보원의 보안성 검토 과정 필수로 거쳐 클라우드 컴퓨팅을 도입하도록 규정한다. 다만 민간 클라우드 컴퓨팅 서비스를 도입하고자 하는 경우에는 클라우드 컴퓨팅 서비스 도입 요건을 확인하고 절차에 따라 확인이 완료된 경우에만 서비스를 도입할 수 있다. 클라우드 컴퓨팅 서비스 도입 요건은 시스템 중요도에 따라 영역 분리 등 보안 조치를 완료하도록 하고 있다. 시스템 중요도는 다시 '상·중·하' 등급으로 나뉘는데 국가 이익이나 국민 안전과 관련된 정보를 취급하는 경우에는 상 등급, 개인정보가 포함되지 않은 비교적 중요하지 않은 데이터는 하 등급 등으로 분류되는 식이다. 국가·공공기관이 시스템 중요도 등급을 결정하면 클라우드 컴퓨팅 서비스 도입요건을 만족하는 경우에 한해 클라우드를 도입할 수 있다. 클라우드 컴퓨팅 서비스 도입을 위한 요건을 확인하는 절차는 요청 주체에 따라 두 분류로 나뉜다. 첫 번째는 사전검증이다. 공공기관이 클라우드 컴퓨팅 서비스를 도입하기 이전에 CSAP 인증 기관(한국인터넷진흥원)이 클라우드 서비스를 평가·인증한 후 증빙서류(인증서)를 준비한 채로 국가정보원에 도입 요건 확인을 요청하는 경우다. 이 경우 국가정보원은 요청서를 접수하고 별다른 절차 없이 클라우드 서비스 도입을 승인한다. 두 번째는 수요 기관이 직접 도입 요건을 확인하는 절차다. 수요 기관이 클라우드 서비스를 이미 도입·구축 완료한 후 실제 운용 이전에 보안 기준 적합 여부를 확인하는 절차인 것이다. 수요기관이 상급기관 또는 전문평가기관에 클라우드 서비스의 안전성 확인을 먼저 의뢰하고, 그 이후 국가정보원이 대상 서비스의 도입 요건 및 적합 여부에 대한 확인 절차를 수행한다. CSAP는 무엇인가? 공공 기관이 도입하는 정보화 시스템이나 장비는 보안성 검토만 받으면 되지만, 클라우드 서비스 사업자의 경우 보안성 검토 과정에서 사전 검증을 받기 위해서는 CSAP를 먼저 획득하고 다음 절차를 밟는다. 두 번째 도입 요건은 첫 번째보다 까다롭기 때문에 클라우드 사업자 사이에서는 CSAP가 사실상 필수처럼 받아들여지고 있다. 이에 보안성 검토 과정에서 CSAP까지 획득해야 하니 '이중 규제' 논란이 불거진 것이다. 논의의 중심에 있는 CSAP는 클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률 제2조의2에 따라 클라우드서비스가 얼마나 안전한지 보장하는 인증 제도다. 2015년부터 인증 제도가 시행됐다. 과학기술정보통신부(과기정통부)가 정책을 담당하고 산하 KISA가 평가·인증을 맡는다. 이후 2023년에 등급제가 시행되며 CSAP는 한 차례 변화를 맞은 바 있다. 과기정통부는 획일적으로 운영되던 보안인증 체계를 클라우드컴퓨팅 서비스의 정보보호 수준에 따라 상·중·하 등급제로 나눠 인증 항목 숫자를 조절하는 식으로 인증 부담을 낮추려는 취지였다. 당시 과기정통부는 하 등급을 우선 시행하고, 상·중 등급의 경우에는 실증을 거쳐 추후 시행할 예정이었다. 하지만 상·중 등급을 마련하는 대신 서비스형 소프트웨어(SaaS)에 한해 '표준·간편' 등급으로 조절하는 것으로 갈음해 CSAP가 유지되고 있는 중이다. 국가정보원이 진행하는 보안성검증과 달리 클라우드서비스를 제공하려는 쪽에서 KISA에 보안인증을 신청하고, KISA가 평가해 인증을 주는 구조다. 서비스형 인프라(IaaS), 데스크톱 서비스(DaaS), 소프트웨어 서비스(SaaS) 저마다 인증 받는 방식이 다르다. KISA에 따르면 IaaS 보안인증은 총 14개 분야 116개 통제항목(보안조치)을, DaaS 인증은 총 14개 분야 110개 통제항목을 통과해야 인증을 받을 수 있다. 이들 통제 항목 외에 하등급 인증도 있는데, 하 등급은 14개 분야 64개 통제 항목을 평가한다. SaaS는 IaaS 및 DaaS와 다르다. 표준과 간편 두 등급이 있는데, 표준은 총 13개 분야 79개 통제항목이, 간편은 총 11개 분야 31개 통제항목으로 구성돼 있다. 표준과 간편 외에 하 등급도 있는데, 하 등급은 11개 분야 30개 통제항목으로 이뤄져 있다. 통제 분야는 ▲정보보호 정책 및 조직 ▲인적보안 ▲자산관리 ▲서비스 공급망 관리 ▲침해사고 관리 ▲서비스 연속성 관리 ▲준거성 ▲물리적 보안 ▲가상화 보안 ▲접근통제 ▲네트워크 보안 ▲데이터 보호 및 암호화 ▲시스템 개발 및 도입 보안 ▲국가기관의 보안 요구 사항 등을 확인한다. KISA에 따르면 CSAP를 획득했거나 현재 보유 중인 기업은 총 262곳이다. 서비스 유형별로 보면 SaaS가 237개, IaaS가 20개, DaaS가 5개다. 단 현 시점 기준 인증을 유지하고 있는 기업은 193곳이다. 인증 유지 여부 기준으로 서비스 유형별로 보면 SaaS가 187개, IaaS가 14개, DaaS 5개다. CSAP 재편 과정 중 거론되는 방안 민간 클라우드를 활성화하고, 클라우드 사업자의 이중 규제를 해소하기 위해 CSAP를 재편하는 작업이 정부 차원에서 진행되고 있다. 하지만 재편 과정을 두고 여러 추측이 오가며 갑론을박이 이어지고 있는 상황이다. 국가정보원에 정통한 관계자에 따르면 CSAP와 보안성 검증을 국가정보원 쪽으로 일원화하는 방향으로 논의되고 있다. 결론이 도출된 것은 아니지만 CSAP 공공부문과 보안성 검증을 합치는 방안이 거론되고 있는 것이다. 국가정보원이 지난해 9월 국가망보안체계(N2SF) 정식 가이드라인을 발표했던 만큼, 아직 제도화되지 않은 N2SF와 CSAP의 연계 등을 추진하고 있을 거라는 예상도 적지 않다. 다만 아직 확정된 내용은 아니다. N2SF는 국가정보원이 제시한 보안 지침으로, 기존의 물리적 망분리에서 탈피해 데이터의 중요도에 따라 C(기밀), S(민감), O(공개) 등급을 기준으로 각기 다른 수준의 보안 통제를 적용하는 체계를 말한다. "거론된 방안, 국정원 예상일 뿐…실제 논의된 바 없어" 그러나 이같은 방안은 국가정보원의 예상일 뿐, 사실 확정적으로 논의되지 않은 사항인 것으로 확인됐다. 대통령 직속 국가인공지능전략위원회 AI인프라 거버넌스·혁신 TF 위원인 김승주 고려대 정보보호대학원 교수는 지디넷코리아와 통화에서 "CSAP 인증을 비롯해 여러 보안 인증의 선진화 방향성에 대한 모든 논의는 인프라혁신TF에서 이뤄지고 있다"며 "국가정보원을 중심으로 CSAP를 일원화하는 방향은 인프라혁신 TF에서 논의된 바 없다"고 단언했다. 김 교수는 "정부 차원에서 우리 정부 시스템을 어떻게 선진국화 시킬 수 있는지 청사진을 그리는 모든 논의는 인프라혁신TF에서 이뤄지고 있다. 과학기술정보통신부, 국가정보원, 행정안전부 등 각 부처도 TF의 일원으로 포함돼 있다"면서 "TF에서 보고서를 작성해 올리면 대통령이 검토 후 정책에 반영하는 구조다. TF 차원에서 논의되고 있는 방향성에 대해 공개할 수는 없지만, 국정원 중심의 재편은 논의된 내용은 확실히 아니다"라고 거듭 강조했다. 이어 김 교수는 "CSAP 등 관련 논의를 골자로 한 보고서 작성이 현재 거의 마무리 단계다"라며 "이후 대통령실에 보고서를 올릴 예정"이라고 밝혔다. 익명을 요구한 클라우드 업체 전문가는 "이중화돼 있는 제도는 물론 N2SF의 C·S·O 등급, 보안성 검토 및 CSAP의 단계별 인증제 등 여러 제도가 혼재돼 있어 업계의 혼란이 가중되고 있는 현실이다. 이에 정부도 이런 혼선을 최소화하고자 표준 체계를 만들어 나가는 과정에 있는 것으로 안다"며 "현재 국가정보원에서 CSAP 등 보안 인증 제도를 표준화하는 작업 및 가이드라인을 제작을 새롭게 자체적으로 하겠다고 하는 상황이고, 인프라혁신TF에서는 국가정보원에서 C 혹은 상 등급에 해당하는 클라우드 서비스를 담당하고, 나머지 등급을 민간 클라우드 활성화를 위해 민간에 맡기자는 입장인 것으로 전해 들었다"고 밝혔다.

2026.02.18 13:59김기찬 기자

MS, 공공 SaaS 진입 가시화되나…업계 "외산 솔루션 확산은 아직 더뎌"

마이크로소프트(MS)가 '마이크로소프트 365(M365)'의 공공 서비스형 소프트웨어(SaaS) 시장 진입을 추진하는 것으로 알려지며 업계의 관심이 쏠리고 있다. 다만 외산 SaaS는 제도적 진입과 달리 공공부문에서 실질적인 확산까지는 상당한 시간이 필요할 것이라는 관측이 제기된다. 12일 업계에 따르면 MS는 M365에 대해 한국인터넷진흥원(KISA) 클라우드 안인증(CSAP) '하' 등급 취득을 목표로 관련 절차를 진행 중인 것으로 전해졌다. 이를 취득할 시 MS는 글로벌 빅테크 가운데 처음으로 공공 SaaS 시장 진입을 본격 추진하게 된다. M365는 엑셀·워드·파워포인트 등 오피스 제품군과 협업 도구를 구독 형태로 제공하는 대표적인 글로벌 SaaS다. CSAP 하 등급을 획득할 경우 논리적 망분리 환경에서도 공공기관 도입이 가능해져 공공 업무 환경 변화 가능성도 거론된다. 다만 업계에서는 제도적 요건 충족이 곧바로 시장 확산으로 이어지지는 않을 것으로 보고 있다. 이미 아마존웹서비스(AWS), 구글 클라우드, MS 애저 등 외산 클라우드 서비스들이 인프라(IaaS) 영역에서 인증과 조달 등록을 마쳤지만, 공공부문에서 뚜렷한 실적으로 이어진 사례는 제한적이라는 이유에서다. 특히 SaaS는 공공기관 업무 데이터가 외부 서비스에 직접 연동되는 구조인 만큼, IaaS보다 보안과 책임 소재에 대한 부담이 크다는 평가다. 이로 인해 외산 SaaS의 공공 도입은 제도적 허용 이후에도 속도 조절이 불가피하다는 분석이 나온다. 국내 클라우드 업계 관계자는 "애저나 구글 클라우드 플랫폼(GCP) 등 주요 IaaS 서비스가 조달 등록과 디지털서비스몰 입점까지는 일부 이뤄졌지만, 실제 수주나 활용 사례는 아직 거의 없는 상황"이라며 "M365가 SaaS 영역에서도 하 등급을 받더라도 유사한 흐름을 겪을 가능성이 크다"고 말했다. MS가 SaaS 하 등급 인증을 추진하는 배경에는 앞서 애저가 IaaS 하 등급을 획득하며 공공 시장 진입의 제도적 기반을 마련한 점이 영향을 미친 것으로 풀이된다. 업계에서는 MS가 당시 함께 신청했던 SaaS 인증 절차가 최근 다시 속도가 붙은 것이라는 해석도 나온다. MS와 KISA는 이번 사안에 대해 구체적인 확인이 어렵다는 입장이다. 신청 여부와 심사 단계, 일정 모두 공개되지 않았다. 업계 관계자는 "외산 솔루션이 공공 시장에서 의미 있는 확산을 이루려면 인증보다 더 중요한 것은 실제 적용 사례와 신뢰"라며 "M365 역시 제도적 문이 열리더라도 공공 현장에서 본격적으로 자리 잡기까지는 꽤 오랜 시간이 걸릴 것"이라고 전망했다.

2026.01.12 18:29한정호 기자

비즈플레이, 클라우드 보안인증 CSAP 획득…공공시장 확대 발판

비즈플레이(대표 김홍기)가 공공, 금융권을 겨냥한 서비스형소프트웨어(SaaS) 기반 비용관리 서비스 확대에 나선다. 비즈플레이는 클라우드서비스 보안인증(CSAP)을 공식 획득했다고 24일 밝혔다. 회사는 이번 인증을 통해 클라우드 환경에서의 정보보호 관리체계를 국가 공인 수준으로 인정받았다고 설명했다. CSAP는 '클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률'에 근거해 클라우드컴퓨팅서비스의 정보보호 수준을 평가, 인증하는 제도다. 한국인터넷진흥원(KISA)이 제도 소개 페이지에서 관련 법적 근거와 보안인증 체계를 안내하고 있다. 비즈플레이는 기업 지출 전 과정을 자동화하는 비용관리 솔루션을 제공하고 있다. 회사는 bzp 기반의 출장관리 서비스 등 비용 집행, 정산 업무를 통합 관리해 업무 부담과 오류를 줄이는 데 초점을 맞췄다고 설명했다. 비즈플레이는 이번 CSAP 인증을 계기로 공공시장 진출을 확대하고, AI 기반 기능 고도화도 추진할 계획이다. 공공 부문 레퍼런스도 내세웠다. 비즈플레이는 앞서 국가공무원 출장관리 자동화 시스템 개발을 완료했다고 밝히며, 95개 중앙행정부, 지방자치단체 소속 75만 공무원의 출장 업무를 디지털화했다고 소개한 바 있다. 김홍기 대표는 "CSAP 인증은 비즈플레이가 데이터 보호 역량을 국가 차원에서 인정받은 결과"라며 "보안 고도화와 서비스 품질 혁신을 지속해 B2B SaaS 시장에서 신뢰받는 파트너로 자리매김하겠다"고 말했다.

2025.12.24 14:18남혁우 기자

공공 클라우드 보안 주도권 흔들리나…CSAP 재편 논의에 업계 '혼란'

공공 클라우드 시장 진입 요건으로 작용해 온 보안인증 체계가 흔들리면서 업계 전반에 긴장감이 확산되고 있다. 과학기술정보통신부와 국가정보원이 클라우드 보안인증(CSAP)과 국정원 보안적합성 절차 간 관계 재정립을 논의하는 것으로 알려지며 제도 변화 방향을 둘러싼 해석과 이해관계가 엇갈리고 있다. 16일 정부와 클라우드 업계에 따르면 과기정통부와 국정원은 공공 클라우드 서비스 제공 요건에서 CSAP 의무를 조정하는 방안을 두고 협의를 이어가는 것으로 전해졌다. 국정원의 보안적합성 절차와 CSAP 간 중복 문제를 정리하자는 취지로 논의가 진행 중이지만, 구체적인 제도 설계나 적용 시점은 확정되지 않은 상태다. 현재 공공 클라우드 시장에 진입하려는 기업은 과기정통부 주관 CSAP 인증을 획득한 뒤에도 국정원의 별도 보안 절차를 거쳐야 한다. 업계에서는 동일·유사 항목에 대한 이중 검증으로 시간과 비용 부담이 과도하다는 지적이 지속돼 왔다. 다만 제도 개편 논의가 규제 완화나 시장 개방으로 단순 해석되는 것에 대해선 신중론도 적지 않다. CSAP·국정원 보안 절차 조정 논의…"확정된 건 없다" CSAP 조정 논의는 공공 클라우드 진입 과정에서 제기돼 온 이중 규제 문제를 해소하려는 문제의식에서 출발했다. 과기정통부와 국정원은 CSAP와 국정원 보안 절차 간 역할을 정리하는 방향을 놓고 의견을 교환하고 있는 것으로 전해졌다. 과기정통부 관계자는 "CSAP와 국정원 보안 절차 간 중복 문제를 어떻게 정리할지 논의는 진행 중"이라며 "다만 제도 개편 여부나 구체적인 방식이 확정된 단계는 아니다"라고 밝혔다. 관련 고시 개정 여부 역시 향후 협의 결과에 따라 결정될 사안이라는 설명이다. 업계에서는 논의의 방향이 명확히 공유되지 않으면서 혼선이 커지고 있다고 지적한다. 일각에서는 CSAP 없이 국정원 절차만으로 공공 진입이 가능해지는 것 아니냐는 해석이 나오지만, 정부 측은 공식적으로 확정된 안은 없다는 입장을 유지하고 있다. 특히 전문가들은 공공 클라우드 부문에서 국정원 보안 절차를 하나의 개념으로 단순화해 해석하는 것은 부적절하다고 지적한다. 국정원의 '보안적합성 검증'과 '보안성 검토'는 적용 대상과 목적이 다른 별개의 절차로, 이를 CSAP와 동일선상에서 혼용할 경우 제도 취지가 왜곡될 수 있다는 설명이다. 한 클라우드 보안 분야 전문가는 "보안적합성 검증과 보안성 검토는 개념적으로 다르며 이를 마치 하나의 인증처럼 해석해 CSAP를 조정해선 안된다"며 "CSAP를 대체하는 구조로 제도가 개편된다면 기존 인증을 취득한 기업들에 대한 역차별 논란이 불가피하다"고 설명했다. 국내 CSP·SaaS 업계 엇갈린 시선…글로벌 기업 문턱 논란도 양 부처의 제도 논의가 알려지자 업계 내 이해관계도 뚜렷하게 갈리고 있다. 국내 클라우드 서비스 기업(CSP)들은 수년간 막대한 비용을 투입해 CSAP 요건에 맞춘 인프라를 구축해 온 만큼, 제도 변화가 자칫 형평성 문제로 이어질 수 있다는 우려를 내놓고 있다. 한 클라우드 업계 관계자는 "CSAP가 사실상 공공시장 진입의 허들 역할을 해왔는데 제도 구조가 바뀔 경우 기존에 투자한 기업들은 억울할 수밖에 없다"며 "기업들과 충분한 논의 없이 방향이 정해지는 것은 바람직하지 않다"고 말했다. 특히 글로벌 클라우드 사업자의 공공시장 진입 문턱이 낮아질 가능성에 대한 경계도 나온다. CSAP 조정 논의가 과기정통부가 아닌 국정원 중심의 절차로 이동할 경우 기존 CSAP 취득 여부와 별개로 외국계 사업자가 국정원의 보안 인증만으로 공공부문 접근성이 높아질 수 있다는 우려에서다. 반면 서비스형 소프트웨어(SaaS) 업계 일각에서는 공공시장 진입 기회가 확대될 수 있다는 기대도 감지된다. 다수 SaaS 기업이 외산 클라우드 인프라 위에서 서비스를 운영하는 만큼, 제도 장벽이 완화되면 공공 레퍼런스 확보와 사업 확장에 도움이 될 수 있다는 판단이다. 또 CSAP 인증과 사후 평가에 대한 부담을 덜 수도 있다는 시각도 존재한다. 다만 업계 전반에서는 제도 변화 효과를 과대평가해서는 안 된다는 목소리가 우세하다. 이미 지속적으로 CSAP 중·상등급 실증이 지연돼 온 상황에서 인증 체계 조정만으로 공공 클라우드 도입이 단기간에 활성화되기는 어렵다는 지적이다. 더욱이 새로운 보안 체계가 본격화되기 전까지 사업자는 물론 클라우드 도입 수요가 있는 공공기관 역시 혼란을 빚을 수 밖에 없을 것으로 전망된다. 클라우드 업계 관계자는 "CSAP와 국정원 보안 절차를 어떻게 조정하느냐는 단순한 인증 문제가 아니라 공공 클라우드 정책 방향 전반과 맞닿아 있다"며 "최근 국가정보자원관리원 화재 이후 공공 디지털 인프라의 민간 클라우드 이용 활성화가 논의되는 시점에서 제동이 걸릴 것 같아 우려된다"고 말했다. 이어 "정부가 충분한 의견 수렴과 명확한 공공 클라우드 보안 기준을 제시해 시장 혼란을 최소화해야 한다"고 강조했다.

2025.12.16 10:26한정호 기자

웰로비즈, 클라우드 서비스 보안 인증 받아

웰로(대표 김유리안나)는 자사의 공공사업 서비스형 소프트웨어(SaaS) 솔루션 '웰로비즈'가 클라우드 서비스 보안 인증(CSAP) SaaS 표준등급을 취득했다고 22일 밝혔다. CSAP(Cloud Security Assurance Program)는 공공기관이 민간 클라우드 서비스를 도입할 때 필수적으로 거쳐야 하는 검증 절차다. '국가가 보증하는 보안 표준'을 충족했음을 입증한다. CSAP SaaS 표준등급은 공공기관 내부 행정 업무와 주요 데이터를 다루는 시스템에 적용되는 최고 수준의 보안 인증이다. 관리적·기술적·물리적 통제 등 총 14개 분야, 79개 항목에 걸친 엄격한 심사를 통과해야 한다. 평가 항목에는 정보보호 관리체계, 접근통제, 데이터 암호화, 취약점 관리, 침입 탐지 및 보안 감시, 데이터센터 보안, 시설 관리, 재해 복구 체계, 공공용 데이터 보관 및 관리 등이 포함된다. 웰로비즈는 CSAP SaaS 표준등급 확보를 통해 공공조달 SaaS 시장 진입 자격을 확보했다. 회사는 해당 서비스를 도입하는 공공기관들이 별도의 보안 적합성 심사 없이 행정력과 예산 절감 효과를 얻을 수 있을 것으로 기대하고 있다. 웰로비즈는 이번 인증을 발판 삼아 행정 혁신 종합 솔루션 제공 기업으로 거듭나겠다는 전략이다. 우선 공공기관의 복잡한 RFP 작성과 행정 프로세스를 지원하는 AI솔루션 '웰로비즈 공공기관용'을 확대 배포하는 동시에, 중장기적으로는 고도의 보안이 특히 요구되는 재정, 국방, 보건 시스템 등 상/중 등급 영역의 기관 특화 SaaS 솔루션 개발을 추진한다는 계획이다. 김유리안나 웰로 대표는 "CSAP SaaS 표준등급 확보는 웰로비즈가 공공기관의 민감한 데이터와 행정 업무를 안전하게 처리할 수 있는 국가 수준의 기술 신뢰성과 보안 체계를 공식 검증 받은 것"이라며 "정부의 클라우드 전환 정책과 공공기관의 행정혁신 수요가 본격화되는 시점에서 공공 클라우드 시장의 혁신을 이끌고, 효율화와 디지털 전환을 지원하는 전략적 파트너가 되겠다"고 말했다.

2025.10.22 08:44백봉삼 기자

국가AI전략위, 'AI 인프라 혁신 TF' 발족…전자정부 전면 재설계

국가인공지능(AI)전략위원회가 국가 디지털 인프라 전반을 재점검하기 위해 'AI 인프라 거버넌스·혁신 태스크포스(TF)'를 신설한다. 29일 위원회는 최근 국가정보자원관리원 화재로 정부 전산망이 마비된 사태를 해결하기 위해 이같은 조치를 마련했다고 밝혔다. 이번 TF는 하정우 AI미래기획수석 겸 CAIO협의회장과 정재웅 아토리서치 대표가 공동으로 이끈다. 기존 8개 분과와 교육·보안·지역 3개 TF와 유기적으로 연계된다. 이재명 대통령은 지난 28일 열린 중앙재난안전대책본부 회의에서 정부 정보체계의 구조적 문제를 시급히 개선하라고 지시했다. 그는 "이중 운영 체계를 즉시 검토하고 민간 역량을 활용해 새로운 시스템을 설계하라"며 위원회가 종합 대책 마련을 주도할 것을 주문했다. 위원회는 이번 TF를 중심으로 국가 정보통신 인프라의 취약 지점을 전면 조사하고 AI 시대에 맞는 디지털 기반 구조를 설계할 예정이다. 단기적 복구와 장기적 재발 방지책을 포함한 종합 개선안을 11월까지 마련해 공개할 계획이다. 기존 전자정부 체계는 행정안전부의 국정자원 관리 중심 운영, 과학기술정보통신부의 클라우드 보안 인증(CSAP), 국가정보원의 망 보안체계(N2SF) 등 서로 다른 규제가 병존해 왔다. 이로 인해 민간 클라우드와 혁신 서비스 활용이 제약되고, 시스템은 부분적 보수와 임시 대응에 의존해 왔다는 지적이 이어졌다. 전문가들은 이번 사건이 전자정부 모델의 한계를 드러냈다고 보고 있다. 통합적 거버넌스 부재와 불균형적 규제 구조가 민간 기술 활용을 가로막고 사고 대응을 어렵게 했다는 것이다. 임문영 국가인공지능전략위원회 상근 부위원장은 "이번 사태를 계기로 전자정부에서 AI 기반의 새로운 정부 모델로 전환하겠다”며 “안전하고 혁신적인 디지털 행정 체계를 만들겠다"고 밝혔다.

2025.09.29 18:44김미정 기자

아콘소프트, OPA 어워드 '퍼스트 무버상' 수상

아콘소프트(대표 이영수)가 오픈 클라우드 생태계 확산을 선도한 공로를 인정받아 '퍼스트 무버상'을 수상했다. 공공과 민간을 아우르는 국내 서비스형 플랫폼(K-PaaS) 활용 성과와 멀티클라우드 클라우드 서비스 보안인증(CSAP) 역량이 이번 성과의 기반이 됐다는 평가다. 아콘소프트는'오픈 클라우드 플랫폼 서밋 2025'의 인공지능(AI)·클라우드 플랫폼 이노베이션 시상식에서 오픈 클라우드 플랫폼 얼라이언스(OPA)가 주관하는 퍼스트 무버상을 수상했다고 12일 밝혔다. 아콘소프트는 멀티클라우드 CSAP 인증을 기반으로 공공, 교육, 금융, 민간 기업 전반에 걸쳐 멀티·하이브리드 클라우드 환경을 성공적으로 구축해왔다. 이를 통해 안정적이면서도 확장 가능한 디지털 서비스 체계를 구현한 점을 높게 평가받았다. 특히 한국교육학술정보원(KERIS)의 AI 디지털교과서, 근로복지공단, 부산시청, 경북도청 등 다양한 공공기관과 주요 금융사, 대기업이 아콘소프트의 칵테일 클라우드를 활용하고 있다. 아콘소프트는 ▲멀티·하이브리드 클라우드 환경에서의 애플리케이션 통합 관리 ▲웹 GUI 기반 직관적 운영 환경 ▲쿠버네티스 리소스 및 보안 관리 ▲포괄적 모니터링과 고급 사용자 관리 ▲프리미엄 기능 기본 제공에 따른 TCO 절감 ▲멀티 클러스터 자원 공유와 독립적 개발·운영 환경 제공 ▲컨테이너 간 NVIDIA GPU 공유 기능을 통한 인프라 효율화 등 차별화된 기능으로 K-PaaS 혁신 활용을 선도하고 있다. 이영수 아콘소프트 대표는 "이번 퍼스트 무버상 수상은 오픈 클라우드 생태계 확산과 K-PaaS 발전을 위해 꾸준히 노력해온 결과"라며 "앞으로도 멀티클라우드 CSAP 인증 기업으로서 공공과 민간의 디지털 혁신을 이끌고, AI·클라우드 네이티브 기술 기반의 글로벌 경쟁력 확보에 최선을 다하겠다"고 말했다.

2025.09.12 16:07남혁우 기자

엘리스스쿨, 에듀테크 코리아 페어에 'AI헬피챗' 체험존 운영

엘리스그룹(대표 김재원)의 공교육 AI 솔루션 브랜드 '엘리스스쿨'이 오는 18일부터 20일까지 서울 코엑스에서 열리는 '2025 에듀테크 코리아 페어'에 참가해 생성형 AI 솔루션 'AI헬피챗' 체험존을 운영한다. 엘리스그룹은 최근 다양한 생성형 AI 툴을 데이터 유출 걱정 없이 안전한 보안 환경에서 사용할 수 있는 B2B AI 솔루션 'AI헬피챗'을 출시했다. 기관에 따라 필요한 생성형 AI툴을 하나의 플랫폼에서 맞춤형으로 구성해 사용할 수 있는 것이 특징이다. 이번 박람회에서는 학교 현장에서 활용도가 높은 기능으로 구성한 학교 맞춤형 'AI헬피챗'을 선보인다. 생성형 AI 툴로 이미지 생성, PPT 제작, AI 퀴즈 생성 등을 체험하며 수업 자료를 빠르고 편리하게 생성해볼 수 있다. 교사들의 업무 부담을 줄일 수 있도록 생활기록부, 행동발달사항 등을 자동 작성하는 경험도 제공한다. AI헬피챗 하나만으로도 각 용도에 최적화된 생성형 AI 툴을 모두 사용할 수 있어 생성형 AI 툴 도입 시 선생님, 학교가 겪을 수 있는 개별 보안 계약이나 결제 절차 등의 번거로움을 해소하는 것이 특징이다. 또 정부, 공공 클라우드 사업에 필수적인 보안 인증 CSAP IaaS와 CSAP SaaS를 획득한 프라이빗 클라우드에 구축돼 민감한 학생 데이터 유출을 방지하고, 안전한 보안 환경에서 활용할 수 있다. 엘리스스쿨은 학교 현장에서 활용할 수 있는 AI 코스웨어 '엘리스스쿨LXP'도 선보인다. 교육과정 표준체계 기반 AI 진단과 학생 맞춤형 AI 피드백 등으로 수업을 효과적이고, 편리하게 운영할 수 있다. 김재원 엘리스그룹 대표는 “엘리스스쿨은 엘리스스쿨LXP로 1만5천명 이상 교원 대상 AI 역량 강화 연수를 진행하며 국내 교육 현장의 AI 전환을 지원하고 있다”면서 “앞으로도 학교 현장에 맞춤형으로 구성한 교육 특화 AI 솔루션을 연구, 개발해 AI 인재 양성과 국내 초중고교의 AI 전환에 적극 참여하겠다”고 말했다.

2025.09.12 11:05백봉삼 기자

아콘소프트, NHN클라우드 기반 CSAP 인증 획득…멀티 클라우드 안정성 입증

아콘소프트가 멀티 클라우드 서비스형 플랫폼(PaaS) 인증을 취득하며 고객 지원 인프라를 확장한다. 아콘소프트는 자사 클라우드 네이티브 플랫폼 '칵테일 클라우드 온라인'이 NHN클라우드 인프라를 기반으로 클라우드 보안인증(CSAP)을 획득했다고 26일 밝혔다. CSAP 인증은 과학기술정보통신부와 한국인터넷진흥원(KISA)이 주관하며 공공 클라우드 시장 진입을 위한 필수 보안 요건으로 평가받는다. 특히 아콘소프트의 이번 인증은 기존 취득한 KT클라우드 외 NHN클라우드 환경에서 새롭게 멀티 클라우드 PaaS 인증을 획득했다는 점에서 차별성을 지닌다. 이를 통해 아콘소프트는 ▲특정 인프라에 종속되지 않는 서비스 연속성 보장 ▲이중화 기반의 장애·재난 대응력 강화 ▲기관별 보안 정책에 대응하는 맞춤형 서비스 제공 ▲공급자 종속 탈피 및 비용 효율성 확보 등 다양한 강점을 확보하게 됐다. KT클라우드와 NHN클라우드 환경에서 인증을 획득함으로써 단순 보안 인증을 넘어 국내 클라우드 네이티브 기술이 다양한 클라우드 환경에서도 안정적인 운영과 보안 요건을 충족할 수 있음을 입증했다는 설명이다. 아콘소프트는 칵테일 클라우드가 공공기관에서도 안심하고 도입할 수 있는 수준의 보안성과 신뢰성을 공식적으로 인정받았다고 강조했다. 아콘소프트는 이번 인증을 통해 사이버 레질리언스 확보 전략에 대응 가능한 신뢰도 높은 클라우드 네이티브 환경을 제공하며 공공·민간 고객의 안정적 디지털 전환을 적극 지원할 계획이다. 이영수 아콘소프트 대표는 "국내 최초의 서비스형 소프트웨어(SaaS) 클라우드 네이티브 플랫폼인 칵테일 클라우드 온라인을 통해 인공지능(AI)·SaaS 서비스 공급 기업이 보다 자유롭게 클라우드 서비스 기업(CSP) 인프라를 선택할 수 있는 환경을 마련했다는 점에서 의미가 크다"고 말했다. 이어 "다양한 인프라 환경에서도 안정적인 서비스 제공이 가능해진 만큼 향후 글로벌 CSP 환경에서도 CSAP 인증이 가능한 시점에 맞춰 온라인 서비스 확장을 지속할 계획"이라고 밝혔다.

2025.08.26 14:48한정호 기자

李대통령 "한미동맹 범위 확장할 것"…CSAP 완화 신호탄 될까

이재명 대통령과 도널드 트럼프 미국 대통령이 한미동맹 범위 확장 의지를 내비친 가운데 양국 디지털 무역 장벽 완화 가능성이 높아질 것이란 평가가 나오고 있다. 25일(현지시간) 미국 백악관서 열린 한미 정상회담에서 이 대통령은 트럼프 대통령에게 "한미동맹은 군사뿐 아니라 경제·과학기술 범위로까지 확장될 것"이라며 "든든한 동맹을 미래형으로 발전시키겠다"고 밝혔다. 이에 업계에선 향후 CSAP 등급 완화 논의가 이뤄질 것이란 전망이 나왔다. 그동안 미국은 한국의 CSAP 제도를 무역장벽으로 지목한 바 있다. 특히 미국무역대표부(USTR)는 CSAP 제도를 무역장벽으로 지목해 왔다. USTR은 "CSAP 제도가 한국 공공에 진출하려는 미국 클라우드 기업을 막는다"고 '2025 국가별 무역장벽 보고서'를 통해 주장했다. CSAP는 클라우드 기업이 한국 공공기관에 서비스를 제공할 때 반드시 거쳐야 하는 보안 검증 절차다. 클라우드사가 보안 등급을 '상' '중' '하' 중 부여받는 식이다. 아마존웹서비스(AWS)와 마이크로소프트, 구글클라우드는 '하' 등급을 받아 국내 공공 시장에 진출할 수 있다. 지난 20일 미국 상공회의소와 컴퓨터통신산업협회(CCIA) 등 6개 협회도 한미 디지털 무역 장벽을 낮춰야 한다고 주장했다. CSAP도 장벽 중 하나로 꼽혔다. 이들은 "이 대통령과 트럼프 대통령 회담을 계기로 디지털 무역장벽 완화에서 실질적 논의 진전이 이뤄지도록 미 정부가 적극 나서달라"고 촉구했다. 실제 한국 정부도 외산 클라우드의 CSAP 추가 완화 의지를 내비친 바 있다. 지난 3월 발표한 '제4차 클라우드 컴퓨팅 기본계획'에 따르면 정부는 CSAP 인증을 세분화하고 이를 단계적으로 개선하겠다고 발표했다. 당시 업계는 외산 클라우드의 '중' 등급 진입 문턱이 낮아질 것으로 전망했다. 업계 관계자는 "정부가 그동안 국내 클라우드 기업 보호에 초점 맞췄다면 이제는 공공부문에 실질적인 혜택이 돌아갈 수 있도록 기준을 재검토할 필요가 있다"고 지디넷코리아에 밝혔다.

2025.08.26 11:10김미정 기자

美, 이 대통령 방미 앞두고 "공공 클라우드 열어라"…디지털 통상 압박 본격화

미국 디지털서비스 업계가 우리나라의 클라우드 보안인증제도(CSAP)를 대표적 무역 장벽으로 지목하며 제도 개편을 공개적으로 촉구하고 나섰다. 오는 25일 예정된 이재명 대통령의 미국 방문을 앞두고 한미 정상회담 의제를 겨냥한 압박 수위가 높아지는 모습이다. 미국 컴퓨터통신산업협회(CCIA)는 20일 하워드 러트닉 미국 상무부 장관에게 서한을 보내 "한미 정상회담이 한국의 디지털 무역 장벽 해소를 위한 결정적 계기가 돼야 한다"며 CSAP를 포함한 주요 규제 완화를 요구했다. 이번 서한은 CCIA를 포함한 6개 미국 디지털·IT 관련 협회 공동명의로 발송됐다. 이들은 ▲CSAP 및 망분리 요건 ▲정밀지도 반출 제한 ▲온라인플랫폼법 ▲AI 기본법 추진 등 한국의 각종 규제를 미국 기업에 불리한 비관세 장벽으로 규정했다. 이들이 특히 지목한 핵심 제도는 CSAP다. CSAP는 국내 공공기관이 민간 클라우드를 도입할 때 필수로 요구되는 보안 인증 제도로, 데이터 민감도에 따라 상·중·하 3등급으로 나뉜다. 현재 외국계 클라우드 서비스 사업자(CSP)에게는 하 등급까지 허용돼 있다. 이에 대해 CCIA는 "세계무역기구(WTO) 및 한미 자유무역협정(FTA)에 따라 미국 CSP도 한국 공공기관의 클라우드 업무를 처리할 수 있어야 한다"며 "최소한 중등급까지는 외국계 CSP에 개방해야 한다"고 주장하고 있다. 실제 마이크로소프트(MS)·구글·아마존웹서비스(AWS) 등 미국계 CSP 3사는 지난해 말부터 올해 상반기까지 차례로 하 등급 인증을 획득했다. 그러나 공공기관의 핵심 업무가 포함된 중·상등급 시스템은 여전히 물리적 망분리 요건이 적용돼 외국 기업의 접근이 사실상 불가능한 상황이다. 미국 측은 이러한 조건이 차별적이라고 보고 있다. CSAP가 ▲현지화 의무(서버·데이터·인력) ▲국내 암호화 모듈 사용 의무 등 국제표준과 상충되는 요건을 포함해 외국계 기업의 진입을 사실상 제한하고 있다는 논리다. 반면 국내 클라우드 업계는 미국 정부와 기업들이 주장하는 '중등급 논리적 망분리 허용' 요구에 강하게 반발하고 있다. 국내 CSP들이 수년간 수백억 원을 투자해 물리적 망분리·보안 요건·가용 영역 등 공공시장용 인프라를 갖춘 만큼 외국계 기업에 대한 규제 완화는 형평성에 어긋난다는 주장이다. 정부 역시 고민이 깊어지고 있다. CSAP는 국가 정보보호 체계의 핵심이자 디지털 통상 압박에 대응하는 정책 도구로 기능해왔다. 특히 미국 측은 이번 사안을 단순한 산업 규제를 넘어 AI 국제 전략의 연장선상에서 바라보고 있어 향후 협상에서 국가안보와 무역개방이라는 가치가 정면 충돌할 가능성도 있다. 이런 상황 속 이재명 대통령은 오는 25일 백악관에서 도널드 트럼프 미국 대통령과 첫 정상회담을 가질 예정이다. 이번 회담은 한미 관세 협상 타결 2주 만에 열리는 후속 외교 일정으로, 디지털 무역 현안이 테이블에 오를지 주목된다. 정치권과 업계에선 "관세는 해결됐지만 클라우드와 플랫폼 이슈는 남아 있다"는 분위기가 지배적이다. 실제로 미국은 한국을 비롯한 동맹국들에 자국의 AI 기술과 인프라 활용을 강하게 요청하고 있으며 클라우드는 그 핵심 인프라로 간주된다. 클라우드 업계 관계자는 "미국의 요구는 단순한 무역 이슈가 아닌 디지털 주권 문제"라며 "CSAP 제도의 향방은 향후 한미 통상 관계 전반에 영향을 줄 수 있다"고 말했다.

2025.08.20 18:01한정호 기자

[유미's 픽] "AWS·MS도 벅찬데 中·쿠팡까지?"…토종 클라우드 긴장감 '고조'

"한국은 디지털 인프라 수준이 매우 높고 클라우드 도입률도 앞서 있는 국가입니다. 이러한 고도화된 수요 환경은 우리가 아시아-태평양 시장에서 검증 받을 수 있는 중요한 테스트 베드이자 성장 거점이 될 것입니다." 지난 달부터 국내에 제2데이터센터 가동을 시작한 알리바바와 텐센트 등 중국 클라우드 기업들이 한국 시장 공략에 본격 나서면서 토종 기업들의 긴장감이 높아지고 있다. 이미 아마존웹서비스(AWS), 마이크로소프트(MS) 애저, 구글 클라우드 등 미국 빅테크 기업들이 민간 시장에 이어 국내 공공 시장까지 파고 든 데다 최근 '유통 공룡' 쿠팡까지 도전장을 내민 상황에서 각 기업들은 생존 전략을 짜는데 고심하는 분위기다. 14일 업계에 따르면 알리바바, 텐센트 등 중국 클라우드 기업들은 최근 한국을 전략적 시장으로 분류하고 투자에 속도를 높이고 있다. 그간 국내에서 주력해왔던 게임 분야에 이어 커머스·인터넷 등으로 영역을 확대하기 위해 인력·인프라 충원에도 적극 나섰다. 특히 알리바바 클라우드는 지난 달 말부터 서울에 제2 데이터센터를 공식 가동하기 시작하며 국내 고객사 확보에 대한 강한 의지를 보였다. 두 번째 데이터센터는 3년 만의 추가 투자로, 이를 통해 알리바바 클라우드는 리테일·인터넷 비즈니스·게임 등 산업군에 집중할 것이란 계획도 드러냈다. 텐센트 클라우드도 지난 2일 국내서 공식 행사를 열고 사업 확대를 위해 향후 인력과 투자를 확대할 예정이라고 밝혔다. 지난 2018년 한국에 진출한 후 서울에서 가용 영역 2곳을 기반으로 서비스를 운영 중인 이곳은 그간 쌓아왔던 엔터테인먼트 분야 노하우를 토대로 올해부터 고객사 확보에 본격 나선다는 방침이다. 이처럼 중국 업체들이 한국 시장에 집중하게 된 것은 최근 고성능 인공지능(AI) 및 클라우드 네이티브 솔루션에 대한 국내 기업들의 수요가 높아졌다고 판단해서다. 또 이들의 주요 타깃이었던 중국, 동남아 시장이 포화 상태에 달한 것도 요인으로 지목됐다. 업계 관계자는 "동남아, 중국에 이어 이들이 시장 확장 가능성이 가장 높아 보이는 곳으로 주목하는 곳이 한국"이라며 "지리적 요점과 중국 진출을 원하는 기업들의 수요, 마켓 순위상으로 봤을 때 인근 국가 중 공략하기 가장 쉽다고 판단한 듯 하다"고 밝혔다. 이에 중국 클라우드 기업들은 자체 AI 모델 경쟁력과 상대적으로 저렴한 비용, 한국 기업들의 중국 진출 지원 등을 앞세워 공격적으로 이들을 공략하고 나섰다. 특히 알리바바 클라우드는 자체 거대언어모델(LLM) '큐원'과 이미지·비디오 생성 AI 모델 '완(WAN)' 등을 손쉽게 활용할 수 있는 플랫폼 환경을 강점으로 내세우고 있다. 윤용준 알리바바 클라우드 인텔리전스 한국 총괄 지사장은 "한국에선 생성형 AI 도입에 따른 인프라 수요가 급증하고 있어 이런 수요에 선제 대응할 것"이라며 "신규 데이터센터를 통해 클라우드 네이티브, 빅데이터, 데이터베이스 등 AI 애플리케이션에 최적화된 제품을 더 다양하게 제공할 것"이라고 강조했다. 하지만 업계에선 중국 클라우드 기업들의 이 같은 움직임이 국내 기업들에게 크게 위협이 되지 않을 것으로 봤다. 이미 미국계와 토종 클라우드들이 선점하고 있는 상황인 만큼 중화권 진출을 노린 게임, 커머스, 엔터테인먼트 등 일부 기업을 제외하면 큰 관심을 보이지 않을 것으로 판단해서다. 업계 관계자는 "중국계 클라우드는 미국계와 달리 국내 공공 시장을 타겟으로 삼기에도 한계가 있을 듯 하다"며 "민간 시장에서도 AWS, MS 등 미국계가 선점한 상황에서 저가 정책을 펼쳐 일부 기업이 윈백하는 사례가 생길 수 있겠지만 큰 영향력을 끼치지는 못할 것"이라고 예상했다. 그러면서 "AI 측면에선 국내 서비스를 타깃으로 하기엔 데이터, 보안 문제로 한계가 있을 것"이라며 "오히려 중국 내부에 필요한 그래픽처리장치(GPU) 서비스 공급을 위한 목적이 더 클 것으로 판단된다"고 덧붙였다. 또 다른 관계자는 "국내 클라우드 시장은 이미 AWS를 중심으로 MS, 구글 등이 점유하고 있다"며 "중국 클라우드 기업들이 단기간에 경쟁하기는 쉽지 않을 것으로 보인다"고 강조했다. 실제 과학기술정보통신부의 '2023년 부가통신사업 실태조사'에 따르면 국내 기업의 클라우드 이용률은 AWS가 60.2%로 압도적 1위였다. 이어 마이크로소프트 애저(24.0%), 구글 클라우드(GCP·19.9%) 순으로 집계됐다. 네이버 클라우드가 20.5%로 구글을 근소하게 앞섰지만 KT(8.2%), NHN(7.0%), 삼성SDS(1.2%) 등 다른 국내 사업자는 모두 한 자릿수 점유율에 그쳤다. 중국 클라우드는 1%도 안되는 미미한 수준에 불과했다. 업계 관계자는 "중국계 클라우드는 중국, 동남아를 중심으로 활동해오며 이제 국내 기업들과 기술력에서 큰 차이를 갖고 있지 않다"며 "여기에 가격 경쟁력은 더 높아 다소 우려스러운 부분이 있긴 하다"고 말했다. 그러면서도 "중국계 클라우드 기업들이 국내 시장에서 영역 확대를 하는데 가장 큰 걸림돌이 되는 것은 보안"이라며 "이 탓에 중국에서 투자를 받거나, 중국 진출을 원하는 기업이 아닌 이상 이들을 선택하려는 기업들은 아직 많지 않을 듯 하다"고 덧붙였다. 이에 중국 기업들은 보안에 대한 우려를 불식시키기 위해 적극 나서고 있다. 특히 알리바바 클라우드는 지난 2023년 12월 국내 데이터센터 인프라에 대해 국내에서 가장 공신력 있는 정보보호 인증인 ISMS(정보보호 관리체계) 인증을 받았다는 점을 강조하기도 했다. 윤 지사장은 "중국 클라우드 업체란 이유로 우리를 향한 확인되지 않은 선입견이 많은 것 같다"며 "고객들이 컴플라이언스 관리 체계를 잘 갖출 수 있도록 보안을 가장 우선 순위에 두고 많은 리소스를 투자해 온 만큼 안전하게 이용할 수 있을 것"이라고 강조했다. 너키 팡 텐센트 클라우드 제너럴 매니저 역시 "우리는 고객 데이터를 최고 수준의 보안으로 보호하고 개인정보 보호와 데이터 보안을 최우선으로 삼고 있다"며 "암호화 도구, 접근 로그, 감사 추적 기능 등을 통해 고객 데이터에 대한 무단 접근을 철저히 제한하고 모든 접근 기록을 투명하게 관리하고 있다"고 설명했다. 일각에선 중국 기업보다 최근 AI 클라우드 서비스 시장에 본격 진출을 선언한 쿠팡이 더 위협적이라고 봤다. 쿠팡은 지난 2일 기존 AI 클라우드 컴퓨팅 서비스를 '쿠팡 인텔리전트 클라우드(CIC)'로 리브랜딩하고 본격적인 고객사 확보에 나섰다. 이곳은 그동안 쿠팡 내부 서비스와 외부 연구기관, 스타트업 등에만 클라우드 서비스를 제공해왔다. 그러나 최근 정부가 추진하는 '인공지능(AI) 컴퓨팅 자원 활용 기반 강화 사업(GPU 확보·구축·운용지원)' 사업자 선정에 지원하며 클라우드 서비스 사업자(CSP) 시장에서 존재감을 드러내기 시작했다. 업계 관계자는 "약 1조5천억원이 투입되는 정부 사업에 네이버, 카카오, NHN 등 국내 주요 CSP 기업들이 신청서를 낸 상황에서 대규모 CSP를 운영한 경험이 없는 쿠팡이 약점을 극복하기 위한 일환으로 리브랜딩 작업을 벌인 듯 하다"며 "중국 클라우드 기업보다 대규모 자금력을 앞세운 쿠팡의 움직임이 더 위협적"이라고 말했다. 다만 쿠팡 지주사가 미국이란 점에서 쿠팡 CIC가 외국계인지, 국내 기업인지에 대한 국적 논란은 다소 있는 상태다. 현재로선 쿠팡이 CSAP(클라우드 보안 인증 프로그램) 등급을 신청하지 않아, 이를 관장하는 과학기술정보통신부 산하 한국인터넷진흥원(KISA)도 국적에 대해 판단을 하지 못하고 있다. 국내서 사업을 펼치고 있는 쿠팡은 미국 본사인 쿠팡 Inc.가 지분 100%를 보유한 한국 법인으로, 지배구조상 미국 기업으로 분류될 수 있다. 만약 정부가 쿠팡을 미국 본사 소속이라고 판단하면 AWS, MS, 구글 클라우드 처럼 외산 CSP로 분류돼 공공 클라우드 시장 진입이 다소 제한될 수 있다. 하지만 국내 업체로 분류되면 상황이 다르다. 현재 상·중 등급에 해당하는 민감정보가 포함된 공공 클라우드 전환 사업의 경우 KT, NHN, 네이버, 카카오 등 토종 클라우드 업체들이 맡고 있다. 업계 관계자는 "쿠팡은 10년 전부터 자금력을 동원해 6개월여 만에 컨테이너 등 클라우드 네이티브 핵심 기술을 빠르게 도입했던 저력이 있다"며 "최근 쿠팡이 AI 클라우드 사업 강화를 위해 파격적인 연봉을 제시하며 인재를 끌어 들이고 있다는 점에서 국내 업체들이 위기감을 상당히 느낀 것으로 안다"고 밝혔다. 이에 맞서 토종 업체들은 멀티 클라우드 전략을 강화하는 동시에 글로벌 CSP에 준하는 기술력을 확보하며 대응에 나선다는 방침이다. 한 업체 관계자는 "글로벌 기업들과의 협업 및 기술 내재화를 통해 기술력을 끌어올려 서비스 고도화로 연결해 나갈 것"이라며 "GPU 확보 및 그간 쌓아온 AI 데이터센터 운영 경험을 발휘해 공공 및 AI 인프라 시장에 역량을 집중함으로써 국내에서 화두로 떠오른 AI 클라우드 시장에서 경쟁력을 이어나갈 것"이라고 강조했다.

2025.07.14 17:21장유미 기자

[현장] 함기호 AWS코리아 "생성형 AI, 한국이 가장 빠르다…우리는 핵심 조력자"

"이제 고객들은 클라우드 전환을 일회성이 아닌 지속적인 혁신의 여정으로 생각하고 있습니다. 아마존웹서비스(AWS)코리아는 한국의 생성형 인공지능(AI)과 IT 현대화를 중점 사업으로 실행해 나가겠습니다." 함기호 AWS코리아 대표는 14일 서울 코엑스 컨벤션 센터에서 열린 'AWS 서밋 서울 2025'에서 국내 생성형 AI 및 클라우드 전환 현황을 소개하며 이같이 강조했다. 이날 행사는 130개 이상의 생성형 AI 중심 기술 강연이 진행되고 약 2만4천명이 참석하는 행사로 성황리에 개최됐다. 행사의 기조 강연을 맡은 함 대표는 우리나라에서의 AI 도입 속도가 가파르게 상승하고 있다는 점을 강조하며 이를 효과적으로 지원하겠다는 의지를 밝혔다. AWS가 최근 진행한 생성형 AI 도입 관련 설문조사에 따르면, 한국 응답자의 54%는 올해 주요 IT 예산 중 생성형 AI를 최우선 항목으로 꼽았다. 이는 조직 구조에도 영향을 미치는 것으로 나타났다. 응답 기업의 63%는 최고AI책임자(CAIO)를 이미 임명했으며 26%는 내년까지 임명할 계획이라고 답했다. AI 도입 속도 역시 빨라지고 있다. 94%의 기업이 이미 생성형 AI를 도입했으며 89%는 이를 활용해 활발하게 실험을 진행 중인 것으로 조사됐다. 함 대표는 "한국은 다른 어떤 나라보다 파운데이션 모델 및 거대언어모델(LLM) 파트너십을 형성하고 있다"며 "우리는 많은 한국 기업이 해외 시장에 빠르게 진출할 수 있도록 지원하고 있다"고 설명했다. 이어 "기업들의 클라우드 전환 전략도 눈에 띄게 변화하고 있다"며 "단순 비용 절감과 전환을 넘어 장기적 관점에서의 민첩성 확보와 비즈니스 확장을 위해 클라우드 네이티브 전환을 중요하게 추진하고 있다"고 덧붙였다. 그간 AWS는 트웰브랩스, 업스테이지, 삼성전자 등을 지원하며 국내 생성형 AI 혁신을 지원해 왔다. 특히 '배달의민족'을 서비스하는 우아한형제들은 아마존의 AI 모델 '노바'를 활용해 메뉴 메타데이터 자동 분류 시스템을 구축한 바 있다. 또 AWS코리아는 국내 IT 현대화도 중점적으로 지원했다. 삼성전자의 차세대 갤럭시 스토어 구축을 위한 현대화 프로젝트를 진행했으며 현대카드의 빅데이터 플랫폼 2.0을 구축했다. 또 대한항공은 AWS의 AI 컨택센터 서비스 '아마존 커넥트'를 도입해 클라우드 기반 고객 센터를 구성했다. AWS코리아는 올해도 이러한 핵심 사업에 박차를 가하고 있다. 전 세계 서비스형 소프트웨어(SaaS) 생태계를 이루고 있는 AWS 마켓플레이스를 한국 리전에 정식 출시했다. 또 생성형 AI 기반 어시스턴트 솔루션인 '아마존 Q 디벨로퍼'의 한국어 지원을 지난 4월부터 제공했다. 특히 지난 3월 한국인터넷진흥원(KISA)으로부터 클라우드 보안인증(CSAP) 하등급을 취득하며 공공 클라우드 시장 진입을 본격화하게 됐다. 함 대표는 "CSAP 하등급 획득을 통해 공공기관에 우리의 첨단 클라우드 서비스를 제공하게 됐다"며 "이를 통해 기관들은 공공 서비스의 혁신을 이룰 수 있을 것"이라고 강조했다. 끝으로 함 대표는 "이번 AWS 서밋 서울 2025 행사는 생성형 AI가 현실에 적용 가능한 도구로 자리 잡았다는 점을 보여주는 자리"라며 "앞으로도 기술을 통해 고객 문제 해결에 기여할 것"이라고 강조했다.

2025.05.14 10:43한정호 기자

Prev 1 2 Next