클라우드AWS와 토종 SaaS 기업이 CSAP 완화 외치는 이유
클라우드 업계의 다양한 소식을 알기 쉽게 풀어서 전해드립니다. 이미지 게티이미지뱅크. 글로벌 클라우드 기업 아마존웹서비스 AWS 와 국내 SaaS 서비스형 소프트웨어 기업들이 클라우드 보안인증 CSAP 의 완화 및 개선을 요구하고 있어 그 배경에 관심이 쏠립니다. CSAP는 클라우드 컴퓨팅 발전 및 이용자 보호에 관한 법률 에 따라 클라우드 서비스 기업이 제공하는 서비스에 대해 정보보호 기준의 준수여부 확인을 인증기관이 평가·인증하는 제도입니다. 기업이 공공 소프트웨어 SW 사업에 참여하려면 CSAP를 획득해야 합니다. 국민들이 이용하는 공공 서비스에 활용될 클라우드 서비스는 안심하고 쓸 수 있어야 하므로 공공기관이 CSAP에 도전하는 기업이 보안을 제대로 갖췄는지에 대해 평가하고 인증하겠다는 것이죠. 이 제도에 대해 불만을 나타낸 곳은 AWS와 국내 중소 SaaS 기업들입니다. AWS는 CSAP가 사실상 공공 클라우드 시장을 한국의 기업들에게 기회를 제공하고 글로벌 기업들을 배제하는 역할을 한다고 보고 있습니다. 클라우드는 데이터센터를 보유한 특정 사업자가 서버·데이터베이스 DB ·스토리지 등의 인프라를 갖춰놓고 이를 기업들이 필요한만큼 빌려 쓸 수 있도록 한 서비스죠. 공유 가 클라우드의 철학이라고 할 수 있습니다. 하지만 CSAP는 기업들에게 공공용과 민간용으로 클라우드 인프라를 물리적으로 분리할 것을 요구합니다. 기업이 이 조건을 충족하려면 처음부터 공공용과 민간용으로 인프라를 분리해 구축하거나 각종 인프라를 공공용으로 새로 구매해 구축해야 합니다. 후자의 경우 새로운 자원을 관리·운영할 인력도 필요하겠죠. AWS는 한국뿐만 아니라 글로벌 클라우드 시장 1위 기업입니다. 글로벌 시장을 대상으로 클라우드 서비스를 제공하는만큼 한국의 공공기관만을 위한 별도의 인프라와 인력을 꾸리는 것은 사실상 불가능하겠죠. 이는 같은 글로벌 CSP 클라우드 서비스 제공 사업자 인 마이크로소프트 MS 에저와 구글 클라우드 플랫폼 GCP 도 마찬가지입니다. 이들은 글로벌 클라우드 시장을 주도하고 있는데 왜 한국과 같은 작은 국가의 공공 시장에 진입하기 위해 노력하는걸까요 한국뿐만 아니라 주요 국가들은 공공 클라우드 시장을 해외 기업들에게 잘 개방하지 않습니다. 공공 데이터가 해외 기업의 인프라에 저장되는 것에 대해 꺼리기 때문입니다. 공공 시장에서라도 자국 기업을 보호하고자 하는 취지도 있을 것입니다. 때문에 AWS 입장에서는 주요 국가 중 일부라도 공공 시장을 뚫게 되면 다른 국가의 공공 시장을 공략하는데 더 탄력을 받을 수 있을 것입니다. IT 인프라에 있어 특히 보안과 안정성을 강조하는 공공 시장의 특성상 한번 고객으로 유치하면 오랫동안 협력 관계를 맺을 수 있다는 점도 AWS에게 매력적입니다. 또 공공 시장을 공략하게 되면 자사의 클라우드 서비스를 이용하는 SaaS 기업들도 더 늘릴 수 있는 계기가 될 수 있습니다. SaaS는 클라우드를 기반으로 한 서비스가 기본이죠. 최종 이용자가 PC에 프로그램을 설치할 필요없이 웹에 접속해 필요한 업무를 볼 수 있도록 한 서비스이기 때문입니다. 때문에 SaaS 기업들은 AWS와 같은 CSP의 인프라에 자사의 서비스를 올려놓고 서비스를 합니다. 기본적으로 글로벌 시장을 타깃으로 하기에 글로벌 CSP와 손잡는 경우가 많습니다. 그런데 공공시장에 AWS가 진출을 하게 된다면 SaaS 기업도 함께 공공시장을 공략할 기회가 될 수 있겠죠. 물론 SaaS 기업도 공공시장에서 클라우드 관련 서비스를 하려면 CSAP를 획득해야 합니다. 규모가 작은 SaaS 기업일수록 공공시장이 더 필요할 것입니다. 하지만 SaaS 기업들도 CSAP에 대한 불만이 많습니다. 대표적인 것이 스토리지 물리적 데이터 저장소 를 고객사별로 분리해야 한다 는 조건입니다. 한 SaaS 기업 관계자는 클라우드의 표준 스토리지가 오브젝트 기반이라 이미 파일을 잘게 쪼개어 여러 곳의 스토리지에 분산 저장하고 있다 며 그런데 CSAP를 획득하려면 이것을 또 고객사별로 따로 모아야 하는데 이건 클라우드 이전의 방식 이라고 지적했습니다. KT·네이버클라우드·NHN클라우드와 같은 토종 CSP들은 어떨까요 이들도 클라우드 인프라를 공공용과 민간용으로 물리적으로 구분 짓는 것은 쉬운 일은 아닐 것입니다. 하지만 AWS처럼 글로벌 클라우드 시장을 주도하는 기업들과는 입장이 많이 다릅니다. 우선 토종 기업들은 국내 시장에서 먼저 사업을 해야 하므로 국내 법을 준수할 수 밖에 없습니다. 국내 민간 클라우드 시장도 AWS와 MS에저 등이 주도하고 있기에 토종 CSP들은 공공시장에 더 힘을 쏟을 수밖에 없겠죠. 당연히 CSAP를 완화해 글로벌 기업들이 공공 클라우드 시장에 진입할 여지를 주는 것에 대해 반대 입장입니다. CSAP를 운영하는 과학기술정보통신부와 한국인터넷진흥원 KISA 은 이러한 기업들간의 다른 입장이나 애로사항에 대해 파악을 하고 있습니다. 개선의 필요성에 대해서도 공감을 하고 있죠. 하지만 공공 데이터를 해외 CSP에게 맡기는 것에 대해서는 국가정보원 국정원 과의 공감도 필요해 쉽지 않아 보입니다. 국정원은 국가정보자원관리원의 공공 클라우드 센터를 대상으로 보안성 검토를 시행하고 있습니다. 향후에는 이 범위가 민관 협력형 클라우드 센터로도 확대될 예정입니다.
글로벌 클라우드 기업 아마존웹서비스 AWS 와 국내 SaaS 서비스형 소프트웨어 기업들이 클라우드 보안인증 CSAP 의 완화 및 개선을 요구하고 있는 가운데, 클라우드 컴퓨팅 발전 및 이용자 보호에 관한 법률 에 따라 클라우드 서비스 기업이 제공하는 서비스에 대해 정보보호 기준의 준수여부 확인을 인증기관이 평가·인증하는 제도인 CSAP가 사실상 공공 클라우드 시장을 한국의 기업들에게 기회를 제공하고 글로벌 기업들을 배제하는 역할을 한다고 보고 있다.