정부가 국가 및 공공기관에 도입되는 클라우드 서비스의 보안 검증 체계를 국가정보원 주도로 일원화한다. 기존 과학기술정보통신부의 클라우드 보안 인증(CSAP)과 국정원의 보안 검증으로 이원화되었던 규제를 하나로 통합하여 기업들의 행정적 부담을 해소하고 공공 시장 진입 속도를 높이는 것이 핵심이다. 이번 개편에 따라 CSAP는 민간 자율 인증 체계로 전환되며 공공 영역의 보안은 국가 사이버 보안의 중추인 국정원이 직접 관리하는 구조로 재편된다.

과학기술정보통신부와 국가정보원은 20일 공동 발표를 통해 공공 영역의 클라우드 보안 검증 절차를 국정원의 단일 검증 체계로 통합하는 정책을 확정했다. 그동안 국내 클라우드 서비스 제공사(CSP)들은 공공 시장에 진출하기 위해 과기정통부 소관의 CSAP를 우선 취득한 뒤, 다시 국정원의 공공 클라우드 보안 기준에 따른 검증을 거쳐야 하는 중복 규제 상황에 놓여 있었다. 정부는 이러한 이중 구조가 민간 기업에 과도한 비용과 시간적 부담을 준다고 판단하여 국정원이 주도하는 일원화된 검증 체계를 수립하기로 결정했다.

국정원은 클라우드 기술의 급격한 발전에 발맞춰 검증 항목을 최신 기술 특성에 맞게 개선하고, 공공 클라우드의 보안 수준을 강화하는 동시에 기업의 인증 부담은 실질적으로 경감시킨다는 계획이다. 2026년 상반기 내에 '국가 사이버보안 기본 지침'과 '국가 클라우드 컴퓨팅 보안 가이드라인'을 개정하여 공표할 예정이며, 현장의 혼란을 방지하기 위해 1년의 유예 기간을 거친 뒤 2027년 하반기부터 신규 검증 제도를 본격적으로 시행한다. 유예 기간 중에는 세부적인 운영 지침과 해설서를 마련하여 사업자들의 예측 가능성을 높일 방침이다.

▲ 국가정보원 중심의 보안 검증 체계 일원화

새롭게 구축되는 검증 체계에서는 객관성과 투명성을 확보하기 위해 '민관 검증심의위원회'가 가동된다. 이 위원회는 검증 결과의 공정성과 타당성을 최종 평가하는 역할을 수행하며, 과기정통부 추천 인사를 포함하여 관계기관 및 산업계, 학계, 연구계 전문가들로 구성된다. 이는 기존 CSAP 평가기관들이 보유하고 있던 전문성과 노하우를 신규 제도에 유기적으로 연계하기 위한 조치다. 통합 제도가 시행되기 전까지는 기존의 CSAP 제도가 현행대로 유지되며, 이미 인증을 취득한 제품의 유효 기간인 5년 역시 그대로 보장되어 기업들의 기존 투자 가치를 보호한다.

동시에 CSAP 제도는 공공 도입의 '필수 요건'에서 '민간 자율 인증'으로 성격이 완전히 바뀐다. 현행 클라우드컴퓨팅법 제20조 2항에 명시된 '국가기관 등은 CSAP를 받은 서비스를 우선적으로 고려해야 한다'는 사실상의 의무 조항이 삭제될 예정이다. 대신 CSAP는 민간 기업을 대상으로 하는 '정보보호 관리체계(ISMS)' 인증의 특화 분야로 통합 운영된다. 이에 따라 기존에 과기정통부가 추진하던 CSAP 상·중·하 등급제도 전면적인 재검토가 불가피해졌으며, 내년 상반기까지 ISMS로의 세부적인 통합 방안이 마련될 계획이다.

▲ CSAP 의무화 폐지 및 민간 자율 인증 전환

클라우드 업계는 이번 인증 제도 단일화 발표에 대해 일단 환영하는 분위기다. 정책의 불확실성이 제거되고 행정적 절차가 간소화됨에 따라 장기적으로는 공공 시장 진입의 효율성이 높아질 것이라는 기대가 크기 때문이다. 특히 국정원 관계자가 언급한 바와 같이 검증 절차 통합을 통해 사업자의 신속한 공공 진출이 가능해지고, 클라우드 환경에 최적화된 검증 항목이 적용된다면 기술적 장벽 또한 낮아질 수 있다는 분석이다.

그러나 보안 검증의 주도권이 물리적 망분리 등 폐쇄적 보안 정책을 강조해 온 국정원으로 완전히 넘어가는 것에 대한 우려의 목소리도 작지 않다. 특히 국정원이 2026년 5월 시행을 예고한 '국가 망보안 체계(N2SF)'와의 정책적 정합성 확보가 최우선 과제로 떠올랐다. 기존 CSAP 체계에서는 시스템의 중요도에 따라 하등급의 경우 소프트웨어를 활용한 '논리적 망분리'를 허용해 왔으나, 국정원의 기밀(C)·민감(S)·공개(O) 등급 분류 체계 하에서 이러한 논리적 망분리가 어느 수준까지 수용될지가 여전히 불투명하기 때문이다.

▲ 업계의 기술적 정합성 우려와 과도기적 과제

논리적 망분리의 허용 범위는 국내에 물리적 서버를 직접 두기 어려운 글로벌 CSP들의 공공 시장 진입 여부와도 직결되는 민감한 사안이다. 국정원은 이에 대해 제도 마련 과정에서 N2SF와 CSAP 등급 간의 혼선을 정리하고, 국가 사이버보안 기본 지침상의 망분리 조항을 삭제하는 대신 차등화된 보안 장치를 반영하여 정책적 정합성을 맞춰가겠다는 입장을 밝혔다. 하지만 구체적인 가이드라인이 나오기 전까지 업계의 불안감은 지속될 전망이다.

또한 제도 개편을 앞둔 '과도기적 정체' 현상에 대한 우려도 제기된다. 정부가 기존 인증의 유효 기간을 인정하겠다고 발표했음에도 불구하고, 공공기관들이 행정적 번거로움을 피하기 위해 신규 제도 시행 이후로 클라우드 도입 결정을 미룰 가능성이 있기 때문이다. 한 CSP 관계자는 정부가 유예 기간을 두더라도 공공기관의 민간 클라우드 도입 움직임이 위축되지 않도록 실질적인 시장 활성화 대책과 촘촘한 과도기 지원책을 병행해야 한다고 강조했다. 이번 개편이 규제 완화를 통한 시장 확대라는 본래 취지를 살리기 위해서는 기술적 세부 기준의 조속한 확정과 공공 수요의 지속적인 창출이 관건이 될 것으로 보인다.