클라우드법 통과 다음은 '보안' 가이드라인

[김국배기자] '클라우드 발전법'이 9월 시행을 앞둔 가운데 이를 뒷받침할 '보안 가이드라인' 제정에 업계의 눈이 쏠리고 있다.

클라우드 발전법으로 공공 부문의 클라우드 서비스 이용은 가능해졌지만 어디까지나 선언적인 수준일 뿐 실제로 도입을 촉진하기 위해선 보안에 관한 세부 가이드라인이 마련돼야 한다는 목소리가 나온다.

지난달 27일 공포된 '클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률' 제20조를 보면 '정부는 공공기관이 업무를 위해 클라우드컴퓨팅서비스 제공자의 클라우드컴퓨팅서비스를 이용할 수 있도록 노력해야 한다'는 선언적인 내용을 담고 있다.

당초 클라우드 발전법에는 공공기관에서 도입하는 민간 클라우드 서비스의 적합성 여부를 국정원장이 정하도록 한 조항이 포함됐으나 '국정원 개입' 논란을 낳으며 국회 통과과정에서 빠진 바 있다.

업계 관계자는 "클라우드법 통과로 공공기관이 클라우드를 도입할 근거는 생겼지만 보안 문제 등 가이드라인 등의 후속조치가 없다면 확산은 어려울 것"이라고 내다봤다. 박춘식 서울여대 정보보호학과 교수는 "보안성 인증 제도 등으로 공공기관이 안심하고 클라우드 서비스를 쓸 수 있도록 해야 한다"고 말했다.

실제로 해외의 경우 클라우드 보안 인증제도를 운영하고 있다. 미국의 '페드램프(FedRAMP)', 싱가포르 'MTCS', 일본 'ASP.SaaS'가 대표적이다.

클라우드 산업계가 공공 부문의 클라우드 도입에 목을 매는 이유는 공공 부문 수요가 전체 클라우드 산업을 활성화시키는 '방아쇠(trigger)'가 될 수 있다고 보기 때문이다. 공공 부문에서 클라우드 서비스가 사용된다면 민간 부문까지 확산될 여지가 크다는 판단이다.

이에 따라 산업계의 입장을 대변하고 있는 클라우드서비스산업협회 내달 이에 관한 정책건의서를 미래창조과학부에 전달할 계획이다. 협회 관계자는 "공공 부문의 선제적인 클라우드 서비스 도입이 가장 큰 관심사인데 보안 가이드라인 마련이 지연되고 있어 업계의 우려가 적 않다"고 말했다.

이에 대해 미래부 관계자는 "클라우드 발전법의 실효성을 위해서 후속조치가 필요하다는 데 공감하고 있다"면서 "현재 관련부처와 협의 중으로 클라우드 발전법 시행일인 9월에 맞춰 구체적인 지침을 마련할 것"이라고 말했다.

미래부는 이와 별개로 클라우드 서비스의 신뢰성을 담보하기 위한 정보보호 기준을 법률에서 고시로 정할 계획이다. 이는 공공 부문 뿐 아니라 전체 클라우드 서비스에 대한 품질, 이용자 정보보호 등을 포괄적으로 규정한다.