디지털 주권 수호의 초석, 공공 클라우드 보안

ⓒ게티이미지뱅크

디지털플랫폼정부위원회가 8월 출범한다. 세부 계획은 향후 구체화될 예정이나, 과거 발표한 추진 방향에 '망분리 및 클라우드 보안인증(CSAP) 개선'을 통한 '해외사업자 시장진입 장벽 완화'가 포함되어 눈길을 끈다. 유럽, 일본 등 해외 주요국은 중요한 공공 정보를 다루는 공공 클라우드 영역을 사이버 안보 및 디지털 주권과 밀접하게 연관된 분야로 인식하고 있다. 또 자국 클라우드 사업자를 육성하기 위해 다양한 디지털 정책을 고민하고 있다. 그런 상황과 비교할 때 이번 위원회 출범은 상당히 대조적이어서 눈길을 끈다.

유럽연합(EU)은 2021년 '제3국의 통제나 접근의 대상이 되지 않는 유럽 산업 클라우드 개발을 목표'로 자국 사업자 중심의 '데이터·엣지·클라우드 산업 연합'을 출범했다. 연합은 클라우드 정부 조달 요건 등 주요 사항을 논의하고 관련 거버넌스를 정립할 예정이다. 해외사업자가 연합에 참가하기 위해서는 이들이 EU 데이터 보호 프레임워크를 준수하기 위해 취하는 법적, 조직적, 기술적 조치에 대한 추가 증거 제출 등 엄격하게 참여를 제한하고 있다.

일본도 2022년 5월 클라우드를 반도체, 제약 분야와 함께 국가 안보 및 경제에 중요한 핵심 산물로 선정하고, 자국 클라우드 사업자 육성 방안을 모색하기로 했다. 이러한 결정은 민감한 공공 영역의 정보가 해외 클라우드에 이전 또는 관리될 경우, 일본에 가해지는 사이버 공격에 기민하게 대처하지 못할 수 있다는 우려의 목소리가 높아진 가운데 이루어진 조치로, 자국 내 주요 기술조직을 두도록 강제할 예정이다.

이처럼 주요국이 공공분야 클라우드에 대해 점점 더 까다로운 규정을 두는 이유는 뭘까. 이들이 국가 안보나 디지털 주권과 밀접하게 연관돼있기 때문이다. 그러한 이유로 국제통상법 차원에서도 국경 간 데이터 이동 자유화 등 새로운 디지털 무역 규범 논의에 있어 공공 데이터와 정부 조달 영역은 적용 예외 분야로 인정받고 있다. 이렇게 보면 한국이 새로운 글로벌 무역 체제에 편입하는 데 국내 공공 클라우드 보안인증 제도가 장벽이 된다는 일부 논자의 주장은 글로벌 트렌드를 제대로 읽어내지 못하는 것 같아 아쉽다.

특히 이러한 편향된 인식을 바탕으로 한국의 공공 클라우드 보안인증 제도가 규제 철폐의 대상으로만 간주되는 것도 매우 안타깝다. 일국의 국가 안보나 디지털 주권과 관련된 사안일수록 균형 잡힌 사실 인식을 바탕으로 신중하게 결정되어야 한다. 새로 출범하는 디지털플랫폼정부위원회도 공공 클라우드 영역이 디지털 주권 확보의 근간이 되는 정책 사안임을 주지하고, 글로벌 트렌드에 대한 객관적 인식을 바탕으로 관련 정책을 추진해 주길 기대한다.

김상배 서울대 정치외교학부 교수