MLS 등 공공 클라우드 정책 변화…클라우드산업협회 "세부 가이드라인 속히 마련돼야"

최지웅 한국클라우드산업협회장이 19일 서울 강남구 KT클라우드 사무실에서 기자들과 인터뷰를 진행하고 있다. [사진=윤선훈 기자]

클라우드 업계가 국가정보원이 지난 9월 발표해 내년부터 도입 예정인 '다층보안체계(MLS)'에 대한 명확한 가이드라인이 조속히 수립돼야 한다고 강조했다.

최지웅 한국클라우드산업협회장(KT클라우드 대표)은 19일 서울 강남구 KT클라우드 본사에서 진행된 인터뷰에서 "(MLS 내) CSO 등급을 어떻게 분류하겠다고만 나와 있지 이를 기반으로 해서 데이터를 해외 클라우드서비스사업자(CSP) 스토리지에다가 저장할 수 있는지 여부 등 정책적인 부분들은 전혀 수립되지 않은 상황"이라며 "그러다 보니 이러지도 저러지도 못하니까 사업이 잘 안 띄워진다. 명확한 가이드라인이 나와야 한다"고 말했다.

MLS는 기존에 국가 공공기관에 적용되고 있는 보안 정책인 '망 분리 정책'을 대체한다. 기존에는 정부 전산망이 인터넷과 완전히 망 분리가 돼 인터넷 사용이 불가능했다. 인터넷 접속을 하려면 업무망과 분리된 별도의 PC를 이용해야만 했다. 다만 이로 인해 인공지능(AI), 클라우드 등의 활용이 어려워 윤석열 정부가 추진하는 '디지털플랫폼정부'와는 배치됐다. 실제 정부는 오는 2030년까지 '클라우드 네이티브 100% 전환'을 공언한 상황이다.

이에 국정원은 지난 9월 '사이버 서밋 코리아 2024'에서 MLS로의 전환 계획을 발표했다. 정부 전산망을 무조건 인터넷망과 분리하는 것이 아니라 정보의 민감도·중요도 등급에 따라 외부에서의 접근 수준을 차등적으로 정하는 것이 골자다. 크게 기밀(C), 민감(S) 공개(O) 등급으로 분류된다. 이 중 각 기관들이 지정한 각종 비공개 정보들은 기밀·민감 등급에 속해 접근이 통제·제한된다. 공개 등급은 일반적인 행정 정보와 가명처리된 민감 정보 등이 주로 속한다. 만일 여러 등급의 정보가 섞였을 경우 상위 등급 기준으로 분류된다.

관련기사

• 카카오엔터프라이즈, 경기도 내 스타트업 클라우드 경쟁력 강화 돕는다
• LGU+, 클라우드 기반 보안 솔루션 'U+SASE' 과기정통부 장관상

다만 이 같은 큰 폭의 정책 변화를 발표한지 얼마 되지 않아 각 등급별 구체적인 보안 요건이 아직 세부적으로 나오지 않았다. 이 때문에 일선 공공기관들은 클라우드 전환에 신중한 반응을 보이고 있다. 이에 대해 최 회장은 "명확한 가이드라인을 만들고, 확실한 레퍼런스 아키텍처도 만들어져야 한다"며 "그러면 이를 참조해 여러 공공기관들이 순차적으로 따라가게 될 것이고 이를 통해 여러 사례가 나오게 될 것이다. 첫 단추를 잘 꿰는 것이 굉장히 중요하다"고 짚었다.

MLS로 인해 현재 적용되고 있는 클라우드보안인증(CSAP)이 재정비될 예정이라는 점도 변수다. 업계 일각에서는 CSAP가 MLS로 사실상 대체되는 것 아니냐는 우려도 나온다. 이 경우 현재 CSAP 중심으로 구성된 클라우드 보안 요건이 급변하게 되고 이는 CSP가 공공기관에 클라우드 제품을 공급하는 과정에도 큰 영향을 미칠 수 있다. 다만 이에 대해 최 회장은 "기술적으로 따지면 둘은 분명히 다르다"고 선을 그었다.

최 회장은 내년부터 외산 CSP들의 CSAP '하' 등급 취득으로 공공 클라우드 분야에서 해외 기업들의 진입이 본격화될 것이라고 봤다. 치열해지는 경쟁에 대비하기 위해서는 결국 국내 CSP들의 품질 경쟁력 향상이 필요하며, 이를 촉진하기 위한 정부 지원이 필요하다고 최 회장은 짚었다. 그는 "'하' 등급이 열렸다고 해도 국내 기업의 정서상 당장 내년부터 외산 클라우드를 적극적으로 도입할 것 같지는 않다"면서도 "그 전에 국내 서비스형인프라(IaaS)나 서비스형플랫폼(PaaS) 생태계를 활성화해서 외산 기업들과 경쟁할 수 있도록 지원해야 한다"고 말했다.

클라우드 업계에 우수 인력이 부족하다는 점도 토로했다. 기본적으로 수학·과학 등에서 두각을 나타내는 고등학생들이 공대보다는 의대를 선호하는 분위기가 팽배하다. 정부 차원에서 다양한 인재 양성 프로그램들을 내놓고는 있지만, 이들 프로그램은 상당수가 6개월 동안 정형화된 교육 과정으로 이뤄져 있어 단기간에 기업에 실제 필요한 인재를 육성하기는 어렵다는 것이다. 최 회장은 "단순히 프로그램을 만들어 지원을 한다고 해서 전반적인 인재의 질이 올라가기는 쉽지 않은 것 같다"며 "적어도 원천기술이 어떤 방식으로 작동되는지에 대한 구조적인 이해가 가능한 수준의 학습에 지원이 선행돼야 한다"고 말했다.

내년 정부의 클라우드 네이티브 전환 예산이 올해와 비슷한 수준으로 책정된 데 그친 점에 대해서는 아쉬움을 나타냈다. 2022년 1786억원이었던 클라우드 네이티브 전환 예산은 2023년 큰 폭으로 삭감된 이후 올해 반등했지만, 여전히 2022년 대비 절반도 되지 않는 액수다. 최 회장은 "올해 740억원을 배정했다고 하지만 거기에 서비스형소프트웨어(SaaS), PaaS 등이 다 포함돼 있다 보니 예산 배정이 잘게 나눠졌다"라며 "전반적인 생태계 활성화가 아니라 오히려 생태계가 축소되는 상황"이라고 꼬집었다. 그러면서 "(원활한 공공 클라우드 네이티브를 위해서 가장 중요한 것은) 결국 예산이 관건이라고 본다"고 덧붙였다.