‘보안특위표’ 공공 클라우드 보안은?... ‘데이터 분류 고도화’ 관건

[3줄 요약]
1. 개편 주체 AI전략위 AI정부인프라거버넌스·혁신TF → 보안 특별위원회로
2. “보안 전문가들이 맡는 것 바람직”
3. 데이터 분류 고도화 등 입체적 기반으로 진흥-보안 동시 혁신

[보안뉴스 강현주 기자] 대통령 직속 국가인공지능전략위원회 ‘보안 특별위원회’가 공공 클라우드 서비스 보안인증 제도 개편의 키를 쥐게 됐다. AI 산업 진흥과 안전을 동시에 혁신하는 체계 마련이 목표다. 이를 위해 데이터 분류 고도화를 추진하고, 관련 기술·정책·산업적 기반 마련 등을 주요 방향으로 잡을 것으로 보인다.

6일 보안 업계에 따르면, 기존에 AI정부인프라거버넌스·혁신TF에서 주도했던 공공 클라우드 보안인증 개편을 ‘보안 특별위원회’가 주도하게 된다.

보안특위는 지난 3월 25일 단행된 국가AI전략위 확대 개편을 통해 신설됐다. 기존 ‘보안TF’가 특위로 격상된 셈이다. 보안TF 리더였던 이원태 국민대학교 특임교수가 보안 특별위원장을 맡으며, 4월 2일 출범식을 가졌다.

신설된 보안특위는 국가안보실 등 전문기관과 협업해 AI 기술의 안전성을 검증하고 고도화되는 사이버 보안 이슈에 대한 범정부 정책 연계를 전담한다.

특히 보안특위는 공공 클라우드 보안인증 제도 개편 논의를 주도적으로 이끌 방침이다. 2일 열린 보안특위 출범식에서도 이 같은 내용이 거론된 것으로 알려졌다.

“이중고면서 클라우드 특화도 아닌 현행”
공공 클라우드 보안은 AI 3강 도약의 필수 요소가 될 데이터의 안전한 활용에 매우 중요하다. 그만큼 보안 전문가들로 이뤄진 곳에서 제도 개편을 맡는 것은 수순이라는 목소리가 나온다. 위원들은 보안 기업 대표 및 임원, 사이버 보안 및 AI 관련 학과 교수 등으로 구성돼 있다.

현재 민간 기업이 공공 기관에 클라우드 서비스를 제공하기 위해서는 과기정통부 주관의 ‘클라우드 보안인증’(CSAP)을 거치고, 국가정보원의 보안 적합성 검증을 받아야 한다. 이를 두고 민간 기업들 사이에서는 ‘이중고’라는 여론이 형성돼 왔다. 반면 보안 분야에서는 “공공 클라우드에 특화된 보안 인증 제도가 없다”는 불만이 나왔다.

종합하면 기업에게 이중고를 안기면서도, 국가 AI 전환에 중요한 공공 클라우드에 최적화된 보안 제도도 아니었다는 얘기다.

현행 제도는 공공 클라우드 보안 체계를 ‘데이터 중심 보안’으로 운영하기에 한계가 있다는 지적이다. 특히 국정자원 화재 사건 이후 공공 부문의 민간 클라우드 도입 필요성이 부각되면서 고도화된 데이터 중심 보안 체계 필요성이 부각됐다.

데이터 보안, 단순 등급 넘어 입체적 기반 필요
국가정보원의 국가망 정보체계(N2SF)는 데이터를 기밀(C), 민감(S), 공개(O) 등급으로 나눈다. 국가 안보와 직결되는 C등급은 인터넷과 단절된 폐쇄 공간에서 다루는 데이터다. S와 O의 경우 적절한 보안 수단을 갖춘다는 전제로 외부 연결이 허용된다. 또 과기정통부의 CSAP의 경우 중요도에 따라 데이터를 상·중·하 등급으로 구분한다.

AI 3강 도약을 우선 과제로 삼는 우리 정부에게 데이터의 안전한 활용은 AI 산업 진흥의 필수 요소다. 데이터 분류의 정확성이 관건이라는 얘기다. 하지만 단순 ‘등급’ 분류 체계만으로는 역부족이라는 게 전문가들의 설명이다.

데이터의 단순 등급 뿐 아니라 유형 분류 기준 등 정교한 기준들을 마련해 분류를 더욱 세분화할 필요가 있다는 내용의 논의가 오가고 있다. 또 면책 기준 마련, 분류 산업 활성화 등 기술·정책·산업을 아우르는 입체적 생태계가 마련돼야 한다는 의견도 나온다.

보안 업계 한 관계자는 “2일 열린 보안 특별위 출범식에서 공공 클라우드 보안인증 개편 방안 논의를 본격적으로 시작한다는 얘기가 나온 것으로 안다”며 “AI 및 클라우드 산업 진흥과 보안 강화를 동시에 잡으려면, 시스템 중심에서 정보·데이터 중심으로의 보안 체계 전환이 이뤄져야 하고, 이를 위해 데이터 분류를 더 정교하게 해야 하며, 이를 둘러싼 입체적 기반이 마련돼야 한다는 방향으로 정리되고 있는 것으로 보인다”고 밝혔다.

[강현주 기자(jjoo@boannews.com)]

우리나라 정보보호 수준 향상을 위해 이재명 정부에게 가장 바라는 점은 무엇인가요?
	ISMS 등 보안 인증 제도 실효성 개선
	AI 보안, 양자보안 등 보안 기술 연구개발 지원 확대
	중소 기업 보안 지원 확대
	기업 보안 예산 비율 의무화
	국가 정보보호 거버넌스 체계 정비
	기타(댓글로)