[공공 클라우드 격변 ㊦] 규제 완화에도 외국계 '신중'…"보이지 않는 장벽 우려"

장비 인증·데이터센터 요건 등 추가 규제 가능성…"자동화 부재·불투명 검증 부담 가중"

정부가 공공 클라우드 규제를 개편해 제도 진입 문턱을 낮췄다고 발표했지만 외국계 클라우드사는 여전히 신중한 태도를 보이고 있는 것으로 나타났다. 

20일 과학기술정보통신부와 국가정보원은 클라우드 서비스 기업의 공공 시장 진입 시 필요한 인증 절차를 국정원 중심 단일 검증 체계로 일원화하는 방안을 공동 발표했다. 기존 과기정통부 클라우드 보안인증(CSAP)과 국정원 검증을 각각 거쳐야 했지만 이를 하나로 통합하는 것이 핵심이다. 

이번 개편으로 클라우드사는 단일 절차를 통해 공공 시장에 진입할 수 있는 구조가 마련된다. 기존 CSAP 인증을 받은 제품은 유효기간을 그대로 인정받는다. 검증 항목도 클라우드 기술 특성에 맞게 개선될 예정이다.

정부가 공공 클라우드 규제를 개편해 제도 진입 문턱을 낮췄다고 발표했지만 외국계 클라우드사는 여전히 신중한 태도를 보이고 있는 것으로 나타났다. (사진=이미지투데이)

정부는 올해 상반기 중 국가 클라우드컴퓨팅 보안 가이드를 개정하고 1년 유예기간을 거쳐 2027년 하반기부터 제도를 본격 시행할 계획이다. 또 민관 검증심의위원회를 통해 검증 결과의 공정성과 타당성을 점검한다.

공공 영역은 국정원 기준으로 보안 검증을 단일화하고 민간 영역은 정보보호 관리체계 중심으로 통합하는 구조도 추진된다. 인증 간 유사 기준을 정리해 행정 효율성을 높이고 기업의 서비스 혁신 여건을 개선한다는 구상이다.

현재 외국계 클라우드사는 발표 후에도 신중한 태도를 보이고 있다. 이번 조치가 외형적으로는 규제 완화로 보이지만 실제 효과는 세부 기준에 달려 있다는 이유에서다. 이들은 아직 공개되지 않은 세부 검증 기준을 주시하고 있다고 입을 모았다. 제도는 열렸지만 실제 시장 접근성은 향후 정책 설계에 따라 달라질 수 있다는 인식이다.

 미국 중심 통상 압박이 지속되고 있다는 분석도 나왔다. 이에 클라우드 제도 운용 방향이 외부 변수에 영향받을 가능성도 제기된다. 이에 따라 외국계 사업자들은 단기적인 진입 확대보다는 정책 흐름을 관망하는 분위기가 이어지고 있다.

한 외국계 클라우드사 관계자는 "장비 보안인증이나 데이터센터 요건 등 추가 조건이 붙을 수 있다"며 "당장은 진입 장벽이 낮아진 것처럼 보이지만 실질적으론 규제가 그대로일 수 있다고 본다"고 말했다.

또 다른 업계 관계자는 "국정원이 인증을 맡더라도 미국처럼 자동화된 방식으로 검증이 이뤄져야 한다"며 "기존처럼 기준이 불명확한 보안 검토가 확대되면 외국계뿐 아니라 국내 기업 부담까지 커질 수 있다"고 지적했다. 이어 "현재 구조로는 양방향 통신이 어려워 에이전트 기반 서비스 구현도 쉽지 않다"고 덧붙였다.

김창섭 국정원 3차장은 "이중 규제로 불편을 겪어온 기업 애로를 지속적으로 해소할 것"이라며 "공공 클라우드 보안 수준을 높이는 데 노력할 것"이라고 말했다.