공공 클라우드 보안체계 전환까지 1년…SaaS 기업 대응 '골든타임'

내년 7월 국정원 단일 N2SF 검증체계 시행…디딤 "지금 준비해야 리스크 줄인다"

정부가 클라우드 보안인증제(CSAP)를 국가망보안체계(N2SF) 중심으로 개편하는 작업을 추진하면서, 공공시장 진출을 준비하는 서비스형 소프트웨어(SaaS) 기업들이 대응 전략을 재정비해야 한다는 제언이 나왔다. 기존 인증을 보유한 기업은 전환 절차를, 신규 진입 기업은 N2SF 기준에 맞춘 준비를 서둘러야 한다는 분석이다.

서정훈 디딤 클라우드컨설팅그룹장은 21일 'CSAP 폐지, N2SF 전환'을 주제로 열린 온라인 웨비나에서 "정부가 국가 클라우드 보안 체계를 CSAP에서 N2SF 중심 단일 검증 체계로 전환하면서 이미 인증을 보유했거나 공공시장 진출을 준비하는 기업 모두 사업 일정에 직접적인 영향을 받게 됐다"며 "지금이 대응 전략을 재정비해야 할 시점"이라고 밝혔다.

정부는 지난 4월 국가 클라우드 보안 체계를 개편해 기존 CSAP 이원 심사 체계를 국가정보원 중심의 단일 검증 체계로 전환하는 방안을 발표했다. 이에 맞춰 CSAP는 민간 대상 자율 보안 인증으로 정보보호 관리체계(ISMS)와 연계 운영되고 공공 보안 요건은 N2SF 기반 국가정보원 검증 체계로 통합되는 방향으로 재편될 예정이다.

서정훈 디딤 클라우드컨설팅그룹장 (사진=디딤)

정부는 지난 5월 물리적 망분리 의무도 폐지했으며 현재 국가 클라우드컴퓨팅 보안 가이드라인 개정을 추진 중이다. 내년 7월에는 국정원 중심의 단일 검증 체계가 본격 시행된다.

서 그룹장은 "이제 기업들이 실제 준비할 수 있는 기간은 약 1년에 불과하다"며 "기존 인증 보유 기업은 전환 유예와 승계 절차를 확인하고 신규 진입 기업은 신청 일정과 전환 리스크를 고려한 전략을 세워야 한다"고 말했다.

N2SF는 기존의 획일적인 망분리 대신 정보 중요도에 따라 보안 수준을 차등 적용하는 체계다. 기밀(C)·민감(S)·공개(O) 등급으로 데이터를 분류하고 이에 맞는 보안 통제를 적용하는 것이 특징이다. 공공 클라우드 서비스의 검증 주체는 기존 CSAP를 관리해온 과학기술정보통신부와 한국인터넷진흥원(KISA) 중심에서 국정원 중심으로 변경된다.

제도 개편에 따라 공공시장 진출을 준비하는 SaaS 기업은 서비스 구조와 데이터 관리 체계를 미리 점검해야 하는 상황이다. 공공기관이 이용하는 서비스는 국가 클라우드컴퓨팅 도입 가능 목록에 등재돼야 하는데, 이를 위해선 데이터 국내 저장과 관리 체계, 국내 운영 인력 확보 등 관련 요건을 충족해야 한다.

아마존웹서비스(AWS)·마이크로소프트·구글 등 글로벌 클라우드 서비스를 활용하더라도 공공 서비스는 별도 국내 리전과 인증 서버, 로그·백업 서버 등을 국내에 두고 운영하는 것이 핵심 요건이다.

서 그룹장은 생성형 AI 기능을 제공하는 SaaS 역시 추가적인 보안 준비가 필요하다고 짚었다. 특히 이용자 입력 데이터가 외부 AI 모델 학습에 활용되지 않도록 설정을 확인할 필요가 있다고 설명했다.

아울러 내년 N2SF 시행만 기다리기보다 현행 CSAP 인증을 먼저 확보하는 것이 유리하다고 진단했다. 전환 유예와 승계 조건을 확보하고 공공사업 참여 공백을 줄일 수 있을 뿐 아니라 N2SF 대응 역량도 사전에 축적할 수 있다는 이유에서다.

또 공공 SaaS 시장 확대도 기업들이 서둘러야 하는 배경으로 제시했다. 서 그룹장은 올해 상반기 공공 디지털서비스 계약 건수가 656건으로 지난해 같은 기간보다 약 2.6배 증가한 점을 언급하며 발빠른 인증 확보의 필요성을 강조했다.

디딤은 클라우드 보안 전문 매니지드 서비스 기업(MSP)로서 N2SF 전환 과정에서 SaaS 기업과 공공기관 지원을 강화한다는 목표다. SaaS 사업자에겐 CSAP 인증 취득과 N2SF 대응 컨설팅을, 공공기관에는 N2SF 적용과 보안 체계 구축을 지원하는 전문 파트너로 참여해 제도 전환 과정에서 필요한 기술·운영 지원을 제공할 계획이다.

서 그룹장은 "먼저 준비한 사업자에게 CSAP에서 N2SF로의 전환은 새로운 시장 기회가 될 것"이라며 "준비 시점에 따라 공공시장 경쟁력 격차가 몇 개월이 아니라 몇 년까지 벌어질 수 있는 만큼 지금부터 대응을 시작해야 한다"고 밝혔다.