해외 관리 공공 클라우드, 사고 나도 기록 못 볼 수도

정부가 공공기관 클라우드의 관리 시스템을 해외에 둘 수 있게 하는 개편안을 추진하면서 사고가 나도 국내 기관이 접속 기록을 직접 확보해 조사하기 어려워질 수 있다는 우려가 나온다. 인공지능(AI)을 쓴 것으로 보이는 금융권 연쇄 해킹으로 국가 보안 체계에 비상이 걸린 가운데 정부는 국내외 의견을 듣고 있다. 보안 전문가들은 관리 기록을 국내에 실시간으로 남겨 사고 때 바로 조사할 수 있게 해야 한다고 말한다.

9일 국가정보원에 따르면 '국가 클라우드 컴퓨팅 보안 가이드라인' 개정안은 의견 수렴과 내부 검토를 마치는 대로 확정된다. 해킹에 AI 도구가 사용된 흔적이 나오자 이재명 대통령은 지난달 6일 국가 핵심 보안 체계 점검을 지시했다. 국정원은 공공 부문 전수조사에 들어갔지만 개편 방향은 유지하겠다는 입장이다.

이번 개편은 둘로 나뉜 공공 클라우드 심사를 하나로 합치면서 시작됐다. 정부는 지난 4월20일 과학기술정보통신부의 클라우드 보안 인증(CSAP) 심사까지 국정원이 맡는 새 제도를 2027년 하반기부터 시행한다고 밝혔다.

국정원은 기술 변화와 국제 표준을 반영했다고 설명하지만 미국과의 통상 문제가 얽혀 있다는 시각도 있다. 미국 하원의원 11명은 지난 3월 무역대표부(USTR)에 서한을 보내 CSAP가 미국 기업에 불리하다고 문제 삼았다.

쟁점은 관리 시스템의 위치다. 클라우드는 데이터를 담는 서버와 누가 어떤 데이터를 보고 바꿀 수 있는지 정하는 관리 시스템으로 나뉜다. 서버가 '금고'라면 관리 시스템은 금고를 여는 '열쇠'다. 지금은 둘 다 국내에 공공기관 전용으로 둬야 한다. 개편안은 관리 시스템과 운영 인력을 해외에 둘 수 있게 했다. 국정원이 보안상 필요하면 들여다볼 수 있어야 한다는 조건이다. 어떤 시스템까지 허용할지, 해외 관리자 접근을 어떻게 막고 확인할지는 아직 공개되지 않았다.

국내외 기업의 요구는 엇갈린다. 관리 시스템과 운영 인력을 국내에 두는 데 투자해 공공시장을 이끌어 온 네이버클라우드·NHN클라우드·KT클라우드 등 국내 기업은 해외 기업이 이런 투자 없이 같은 시장에 들어오면 자신들만 불리해진다고 본다.

하지만 AWS·마이크로소프트·구글클라우드 등 외국계 기업은 해외 관리가 허용돼도 공공시장 문턱은 여전히 높다고 주장한다. 개인정보 같은 비공개 자료를 다루는 '민감' 등급 시스템을 맡으려면 지금처럼 데이터 서버를 국내에 공공기관 전용으로 새로 지어야 해서다. 이들은 서버 요건까지 풀어 달라고 요구한다.

사고 조사 권한도 숙제로 남았다. 홍준호 성신여대 융합보안공학과 교수는 "해외 관제 허용 여부보다 사고 발생 시 국내 기관이 독립적으로 사고를 조사하고 대응할 수 있는 권한이 중요하다. 사고 발생 이후 요청에 따라 기록을 제출받는 방식보다는 주요 관리·접근 기록을 국내에 실시간으로 보관하는 방식이 실효성이 높다"고 말했다.

홍 교수는 관리자 계정 접속·권한 변경, 서버 설정 변경, 데이터 접근·반출 기록을 국내에 보관하고 위변조를 막는 한편, 국내 조사기관의 신속한 접근권과 사고 때 자료 보존·제출 의무를 제도로 명확히 해야 한다고 제언했다.