국정원과 방통위의 황당한 클라우드 이야기

KT는 지난달 자사 '유클라우드비즈'가 방송통신위원회(이하 '방통위')의 클라우드 서비스 인증을 받았다고 밝혔다. 그런데 그 인증 주체인 방통위를 포함해 모든 정부와 국공립대학 등 공공기관은 KT 유클라우드비즈를 쓸 수 없다. 명색이 '국내 1호 국가공인 서비스'인데, 왜 안 될까.

정부와 공공기관에 클라우드 금지한 주체는 국가정보원(이하 '국정원')이다. 국정원은 사이버위기대응을 총괄하는 산하기관 '국가사이버안전센터'를 통해 모든 정부부처와 산하기관에 클라우드서비스 사용 중단을 지난 2월 지시했다. 방통위가 클라우드서비스 인증제를 본격 시행한 바로 그 시점이다.

■방통위와 국정원의 동상이몽

클라우드서비스 인증제를 운영하는 방통위는 말 그대로 클라우드 산업진흥에 초점을 맞췄다. 인증제는 자체 인프라를 두지 않은 기업들이 이용할 수 있는 퍼블릭 클라우드를 대상으로 한다. 가상화된 하드웨어 자원이나 구현 기술보다는 그 운영 안정성과 사용자 만족도에 초점을 맞춘 것이다.

각 인증항목을 보면 서비스 장애 우려를 덜어줄 '가용성', 사용할 IT자원을 유연하게 늘리거나 줄이는 '확장성(규모가변성)', 충분한 네트워크 용량과 지장없는 활용을 위한 '성능', 저장자료를 망가뜨리지 않도록 하는 '데이터관리', 악성코드 침입 등에 대한 기술적 안전성을 갖추는 '보안', 운영업체의 '서비스 지속성', 다양한 단말기 호환여부와 사용자 안내 수준을 가리키는 '서비스지원'이 명시돼 있다.

그런데 국정원은 클라우드서비스를 기밀정보가 유출되거나 좀비PC를 양산시키는 경로라는 식의 국가사이버안보에 대한 위협요소로 파악한다. 이는 방통위 인증대상인 퍼블릭클라우드 서비스의 기본 용도를 상당히 오해한 것이다. 초기 언급된 50가지 금지대상 목록에 KT의 개인용 파일동기화 서비스 '유클라우드'와 기업용 퍼블릭클라우드 '유클라우드비즈'처럼 성격이 전혀 다른 서비스를 함께 올린 게 이를 방증한다.

국내서 퍼블릭 클라우드 서비스와 이를 위한 가상화 구축 솔루션을 보유한 A기업 관계자는 3일 국정원이 해당 조치를 내릴 당시 업계 관계자들은 그들이 클라우드 서비스 개념을 인터넷에 연결된 PC로 파일을 자동으로 올리거나 내려받고 여러 단말기에 공유시켜주는 개인용 스토리지 개념으로 축소시켜 이해한 결과일 것이라고 여겼다며 해당 부처의 몰이해에 안타까움을 표했다.

■공공시장, 일단 기다려…언제까지?

당시 사이버안전센터가 각 부처에 전달한 클라우드서비스 금지목록 50가지에 포함된 퍼블릭 서비스를 국내 한 대학교에 제공하려던 사업자는 계약 성사를 눈앞에 둔 시점에 공급이 무산되는 피해를 입었다. 상황이 이렇자 올해부터 활발히 국내외 자체 인프라와 기술력을 통해 퍼블릭클라우드 사업을 진행하려던 민간업체들은 당분간 상황을 지켜본다는 입장이다.

현재 정부는 적절한 안이 마련될 때까지 퍼블릭클라우드 서비스 업체들이 정부부처와 산하기관을 대상으로 사업을 진행하지 말라고 권고한다.

방통위는 인증제가 대상 서비스를 민간에서 사용하기에 적절함을 보이는 지표일 뿐, 공공분야 업무환경에 적합하다는 뜻은 아니라는 입장이다. 사이버안보와 정보유출에 민감한 정부 입장에선 서비스 이용간 발생할 수 있는 보안문제에 대한 국정원의 관점도 감안할 필요가 있다는 것이다. 미국 조달청 기준 등 해외처럼 정부 공급을 위한 별도 클라우드 서비스 인증제를 마련할 가능성도 언급됐다.