"국가핵심기술은 韓영토에만 저장"…클라우드 활용기준 바뀌나?

임종철 디자이너 /사진=임종철 디자이너

"국가핵심기술이 저장되는 클라우드 서버의 물리적 위치는 한국 영토 내에 있어야 한다. (클라우드 서비스 기업이) 국가핵심기술이 저장되는 위치를 국내로만 설정되도록 강제하는 보안기능을 제공한다."

국가핵심기술을 보유한 기업이 클라우드 컴퓨팅 인프라를 활용할 때 고려해야 할 사항들이 제시됐다. 정부가 민관 합동으로 클라우드 활용방안에 대해 논의한 중간 결과가 나온 것이다. 국내 클라우드 인프라 시장의 상당 부분을 외국계 클라우드 기업이 차지한 상황에서 이같은 정책 방향이 어떤 효과를 가져올지 주목을 받을 것으로 보인다.

장항배 중앙대 산업보안학과 교수는 22일 서울 삼성동 그랜드 인터콘티넨탈 파르나스 호텔에서 국가정보원, 산업통상자원부가 주최하고 한국산업보안한림원, 한국산업기술보호협회가 주관한 '2023 산업보안 국제 컨퍼런스'에서 '클라우드 환경에서의 국가핵심기술 활용 가이드'라는 주제 발표를 통해 CSP(클라우드 서비스 기업) 및 기업들이 유념해야 할 고려사항을 제안했다.

현재 산자부의 '산업기술 보호지침'은 한국기업이 AWS(아마존웹서비스) MS(마이크로소프트) 구글 등 해외 IaaS(서비스형 인프라)를 활용할 때 국내에서 국외로 전자적 형태의 무체물(소프트웨어, 이미지, 영상 등)을 정보통신망을 통해 '전송'하는 것으로 본다. 해외 클라우드에 정보를 저장하는 것을 '수출'로 간주해 수출승인 심사를 받도록 한 것이다. 특히 국가핵심기술로 지정된 기술은 더더욱 수출승인 심사와 함께 국가핵심기술 보호조치를 별도로 받는다.

이날 장 교수는 7가지 항목에 대한 제안을 제시했다. 그 중 하나가 바로 데이터 저장 위치에 대한 부분이다. 특히 글로벌 CSP가 운용하는 리전(서비스 지역)의 위치가 전 세계에 분산돼 있는데 우리 기업의 국가핵심기술 정보가 어느 장소에 어떤 형태로 저장돼 있는지 알 수 없다는 점이 리스크로 지목됐다. 이에 장 교수는 CSP로 하여금 △국가핵심기술 저장위치를 국내로 한정할 수 있는 방안을 제공하거나 △강제보안 설정을 통해 국가핵심기술 저장위치를 국내로만 한정하거나 △이용자 데이터 저장위치 추적방안을 제공하고 구체적 저장정보(저장 국가 명칭 등)를 제공하는 등 방안을 제시했다.

또 해외 CSP 본사에서 원격으로 접속해 국내 클라우드 서비스에 대한 유지보수 작업을 진행하거나 해외 CSP 본사에서 출장을 온 엔지니어가 국내 클라우드 서비스를 유지보수할 때의 데이터 유출 리스크에 대해서도 지목했다. 즉 CSP 직원이 고객 데이터에 접근하는 동안의 모든 로그(접속기록)를 고객에게 제공해야 한다는 등 제안이 그것이다.

해외 정부기관이 CSP 인프라에 대해 영장집행 등 수사를 진행할 때 우리 기업의 국가핵심기술 노출 가능성도 우려요인으로 꼽혔다. 장 교수는 이같은 경우에 해외 법 집행기관이 우리 기업에 직접 연락해 데이터를 요청하도록 하는 등 데이터 유출·노출을 최소화하는 방안을 강구할 것을 제안했다.

이외에도 장 교수는 △CSP 및 국가핵심기술 보유기업이 클라우드 접근권한을 최소한도의 필요 인원에게만 부여하고 △재해·재난이 발생한 경우에도 물리적 분산·다중화 체계를 통해 서비스가 안정적으로 운용될 수 있도록 하며 △국내사업 철수 등 서비스 종료시 국가핵심기술 보유기업에게 최소 6개월 전 사전 통보해 데이터를 이전할 수 있도록 해야 한다는 등 제안도 제시했다.

한편 이날 발표된 내용의 상당 부분은 산자부가 클라우드 활용기업 등과 그간 진행해 왔던 논의의 중간 결과다. 안덕근 산자부 통상교섭본부장은 "양자기술 수출, 기업의 인력관리, 클라우드 자원 등 업계 관심이 큰 기술보호 주제에 대해 국장급 이상 고위급 소통을 활발히 진행해왔다"며 "클라우드 협의체 논의 결과는 업계 관계 부처와 함께 현장의 목소리를 듣고 정책 방향을 함께 논의한 중간 결과"라고 했다.

산자부 관계자는 "현재는 '산업기술 보호지침'에서 국가핵심기술 보유기업의 클라우드 활용 기준이 나와 있을 뿐"이라며 "별도의 클라우드 관련 고시를 만들지, 기존 지침을 개정할지를 두고 논의를 하고 있고 이날 제안된 내용도 그간 논의됐던 내용의 일부"라고 했다. 또 "이날 제안된 내용은 그간 중요하게 생각했던 핵심 이슈"라면서도 "추후 고시에 제안들을 그대로 담을지는 아직 정해진 바 없다"고 했다.