[국내보안뉴스] 공공 클라우드 보안 규제 전면 개편, CSAP에서 C·S·O 체계로의 전환
· 2026-09-22 06:00
· 조회 26
· 원문 ↗
국가정보원이 국가망보안체계(N2SF)를 반영하여 기존 클라우드 보안인증(CSAP) 등급제를 'C·S·O(기밀·민감·공개)' 체계로 일원화하는 공공 클라우드 보안 검증 체계 개편안을 공개했습니다. 이번 개편안의 핵심은 공공용 민간 클라우드 운영관리 체계(컨트롤 플레인)의 국외 위치 허용, 국제 표준 암호(AES) 및 국제 공통평가기준(CC) 인증 장비 도입 허용 등 글로벌 기준에 맞춰 보안 규제를 대폭 완화한 점입니다.
이번 규제 완화는 공공 시장 진입을 노리던 글로벌 클라우드 서비스 제공업체(CSP)들에게 큰 진입 기회를 제공할 것으로 보입니다. 반면, 그동안 정부의 엄격한 자립형 보안 지침을 준수하며 국내 전용 인프라 확충에 투자해 온 국내 클라우드 기업들은 규제 완화에 따른 역차별 우려와 함께 외산 솔루션과의 치열한 공공 시장 수주 경쟁에 직면하게 되었습니다.
국정원이 최종안 확정 전 업계 의견 수렴 절차를 남겨두고 있는 만큼, 국내 보안 생태계 보호와 국가 정보 안보 사이의 균형을 잡는 세부 보완책 마련이 중요해졌습니다. 관련 클라우드 및 보안 기업들은 향후 구체화될 C·S·O 등급별 세부 검증 기준을 면밀히 모니터링하고, 개편되는 환경에 맞춘 기술적·관리적 보안 체계 재정비가 필요합니다.
♥ 추천 0
AES 및 국제 CC 인증 허용으로 국내 전용 암호화 모듈을 위해 별도 구현하던 코드 오버헤드와 파편화가 크게 줄어들 것으로 보입니다. 해외 컨트롤 플레인 활용이 가능해지면 글로벌 CSP의 최신 AI 서비스나 CI/CD 파이프라인을 공공 아키텍처에 한결 수월하게 이식할 수 있습니다. 다만 기존 시스템의 C·S·O 등급 재분류와 이에 따른 IaC(Infrastructure as Code) 기반의 IAM 및 보안 정책 리팩토링 작업은 단기적인 대응 과제가 될 것입니다.
컨트롤 플레인의 국외 위치 허용은 해외 거점 APT 그룹에게 최우선 표적이 될 것이며, 인프라 직접 침투나 공급망 공격을 통한 공공망 제어권 탈취 위험을 급격히 높입니다. 또한 국제 표준 허용으로 글로벌 공격자들이 기존에 보유한 제로데이 익스플로잇과 자동화 공격 도구를 국내 공공 클라우드에 즉시 투입할 수 있게 되었습니다. 완화된 기준 속에서 클라우드 설정 오류(Misconfiguration)와 권한 남용을 노린 초기 침투 시도가 폭증할 것으로 보입니다.
국외 컨트롤 플레인 허용 등 보안 체계 개편은 글로벌 기술 활용도를 높이겠지만, 데이터 위치 및 공급망 관점의 새로운 리스크 평가가 선행되어야 합니다. 또한 정부 지침의 급격한 변화는 기존 규제를 성실히 준수한 기업에 불확실성을 부여하므로 예측 가능한 정책 추진이 시급합니다. 기업 관점에서는 단기적 규제 부응(Compliance)을 넘어, 제도 변동성에도 흔들리지 않는 자율적이고 견고한 리스크 중심 거버넌스를 구축해야 합니다.