클라우드 보안인증제, 'SaaS'로 확대된다

[아이뉴스24 성지은기자] 정부가 클라우드 보안인증 대상을 서비스형 인프라(IaaS)에서 서비스형 소프트웨어(SaaS)로 확대한다.

상반기 중 SaaS 보안인증 기준 방법을 개발하고, 하반기 SaaS 서비스 사업자를 대상으로 시범 적용한다. 이를 통해 연내 SaaS 보안인증 기반을 마련한다는 목표다.

28일 한국인터넷진흥원(KISA)에 따르면, 정부는 클라우드 보안인증 대상을 IaaS에서 SaaS로 확대 적용키로 했다.

클라우드 보안인증제를 통해 클라우드 서비스의 안정성을 보장하고, 이를 통해 공공 클라우드 시장을 활성화하겠다는 취지다.

클라우드 보안인증제는 공공기관이 안전하게 민간 클라우드를 이용할 수 있도록 촉진하기 위해 마련됐다. 공공기관에 제공되는 민간 클라우드 서비스의 관리적, 물리적, 기술적 보호조치 등 총 14개 부문 117개 통제항목의 준수를 평가하고 인증을 부여한다.

미래창조과학부가 정책기관으로 역할을 하고, KISA가 평가·인증 업무를 맡고 있다. 미래부는 지난해 5월 먼저 IaaS를 대상으로 클라우드 보안인증제를 도입·운영했다. 당시 SaaS는 평가방법과 기준 등이 마련되지 않아 제외됐다.

임채태 KISA 클라우드보안관리팀장은 "현재 KT, 네이버비즈니스플랫폼(NBP), 가비아가 IaaS 관련 클라우드 보안 인증제를 획득했고, 다른 사업자가 오는 7월 클라우드 서비스 보안 인증제를 받겠다고 한 상태"라며 "클라우드 사업자들의 문의가 이어지고 있으며, 올해 최소 2곳의 사업자가 추가로 클라우드 보안인증을 받을 것으로 기대한다"고 말했다.

이어 "공공을 대상으로 SaaS를 서비스하는 경우, 개별적으로 SaaS 서비스에 대한 인증을 받거나 여러 가지 서비스를 묶어 인증을 신청할 수 있을 것"이라며 "상반기 SaaS 보안인증을 개발하고 이를 3가지 대표 SaaS 서비스에 시범 적용한 다음, 서비스별 점검기준과 방법론 등을 정비한 뒤 공청회와 설명회 등을 열고 구체적으로 알릴 것"이라고 덧붙였다.

현재는 인증받은 IaaS 위에서 동작하는 SaaS에 대해 보안성 등을 검증받으면 공공기관에서 SaaS를 사용할 수 있도록 예외를 뒀다. 일부 지방자치단체에서는 이같은 방식으로 SaaS를 이용하고 있다. 미래부와 KISA는 SaaS 관련 클라우드 보안인증제 마련에 속도를 내 연내 인증을 적용할 수 있도록 한단 방침이다.

◆클라우드 보안인증제 활성화될까

다만 이같은 정부의 활성화 의지만큼 클라우드 보안인증제가 활성화될지는 미지수다. IaaS 관련 클라우드 보안인증제의 경우, 현재 국내 클라우드 사업을 주도하는 글로벌 기업들이 뚜렷한 동참 의지를 표명하지 않고 있다.

아마존웹서비스(AWS), 마이크로소프트(MS) 등 글로벌 기업이 공공시장에 진출하기 위해 인증을 받으려면, 반드시 국내 데이터센터에 데이터를 저장하고 민간 서비스와 구분되는 공공기관 전용 서비스 영역을 구축해야 하는데 이에 따른 투자부담이 따른다.

최근 미국 트럼프 정부가 한미 자유무역협정(FTA) 재협상을 연일 언급하고 있는데, 글로벌 기업들은 이에 따른 변화를 예의주시하고 있는 것으로 알려졌다.

SaaS 관련 클라우드 보안인증제의 경우, 평가 방법, 평가 기간, 인증 비용 등이 참여의 변수로 작용할 전망이다. 국내 SaaS 사업자 대부분은 중소기업인데, 세부 방안에 따라 클라우드 보안인증제가 부담될 수 있다는 설명이다. 공공 클라우드 시장 규모보다 인증 획득에 따른 투자가 크다고 판단할 여지도 있다.

국내 SaaS 업체 관계자는 "SaaS와 관련된 클라우드 보안인증의 세부 내용이 나오면 그에 따라 인증을 받을지 말지를 검토할 것"이라고 신중한 입장을 보였다.

임채태 팀장은 "클라우드 서비스 보안인증제도 활성화와 공공기관의 민간 클라우드 서비스 이용 활성화를 위해 일정 기간 정부에서 클라우드 서비스 보안 평가·인증 수수료를 지원하고 있다"며 "적어도 올해 말과 내년 초에 어떤 로드맵으로 클라우드 보안인증제를 이끌어갈지에 대한 로드맵을 공유하겠다"고 말했다.