마이크로소프트(MS) 클라우드 서비스 장애 사태로 인한 국내 피해는 상대적으로 적었지만 전문가들 사이에선 한국도 안전지대가 아니라는 지적이 나온다. 클라우드 의존도가 점점 높아지는 추세여서 언제든 비슷한 사고가 발생할 수 있기 때문이다.
22일 정보기술(IT) 업계에 따르면 19일 발생한 MS 클라우드 서비스 장애로 글로벌 피해가 컸던 이유는 클라우드 시스템의 고유한 특성 탓이 크다. 클라우드는 각종 데이터를 기업이나 기관이 보유한 서버가 아니라 외부 서버에 저장하는 기술이다. MS 운영체제(OS) 윈도와 크라우드스트라이크 보안 프로그램이 충돌한 공간이 MS 클라우드 애저다. 클라우드로 모든 게 연결돼 있다 보니 소프트웨어 하나만 결함을 보여도 연동된 전 세계 기업들의 주요 서비스가 마비됐다.
하지만 과학기술정보통신부 확인 결과 국내 피해 기업 10개사 모두 복구가 완료됐고 정부나 금융·통신 등 주요 기관의 피해도 없었다. 업계에선 이런 이유를 두 가지로 분석한다. ①우선 보안 서비스 제공업체인 미국 크라우드스트라이크의 보안 프로그램을 사용하는 곳이 적었다. 국내에선 보안 설루션으로 안랩의 'V3'나 이스트시큐리티의 '알약' 등을 주로 사용한다.
②정부 부처와 금융 등 공공 영역에 강력한 망 분리 규제(내부 업무망과 일반 인터넷망 분리)를 적용한 영향이 크다. 공공·금융 분야 등은 클라우드보안인증(CSAP)으로 국가정보원의 암호 모듈 검증 정책을 따라야 해 사실상 공공 클라우드 시장 진출이 막혀 있는 상황이다. 보안업계 관계자는 "망 분리 규제와 CSAP 인증이 불합리하고 너무 까다롭다는 지적이 많았는데 아이러니하게 규제 덕을 본 셈이 됐다"고 설명했다.
하지만 한국이 안전 지대에 있는 것은 아니다. 다른 클라우드나 보안 서비스에서 문제가 생기면 동시 다발적 '셧다운(일시 업무정지)'이 발생할 수 있기 때문이다. 특히 한국은 세계 1위 클라우드사인 AWS에 대한 의존도가 지나치게 높다는 게 전문가들의 평가다. 과기정통부 조사 결과도 2023년 기준 국내 기업들이 이용하는 클라우드 플랫폼은 AWS 60.2%(복수 응답), MS 24.0%, 네이버 20.5%, 구글 19.9%에 달했다. 국산 보안 설루션도 100% 안전을 장담할 수 없다. 2022년 8월엔 알약에서 오류가 생겨 1,600만 대의 개인용컴퓨터(PC)가 먹통이 된 사례도 있다.
문제는 국내의 망 분리 정책이나 각종 규제가 한계에 와 있다는 점이다. 생성형 인공지능(AI) 기술이 발달할수록 클라우드에 대한 의존도는 높아지는 추세다. 데이터 규모가 커지고 운영 비용이 늘어나기 때문에 많은 기업이 비용과 운영의 어려움을 이유로 빅테크의 클라우드를 선호한다.
특히 금융권의 경우 'AI 상담 서비스' 'AI 데이터 분석 서비스' 등을 위해 AI 도입과 클라우드 활용이 절실한데 망 분리 규제에 발목이 잡혀 있다는 불만이 크다. 해외 클라우드 기업과 미국무역대표부(USTR)도 국내의 망 분리 정책이나 CSAP 인증 등을 '한국식 무역 장벽'이라고 목소리를 높이고 있다. 이 때문에 최근 정부도 공공 클라우드 영역에 외국 기업이 참여할 수 있도록 길을 여는 준비를 하고 있다.
전문가들은 기업의 클라우드 선택권을 보장하면서도 시스템 안정성을 높이려면 '멀티 클라우드 시스템'을 활용해야 한다고 조언한다. 그래야 프로그램 중 하나에 문제가 생겨도 다른 프로그램은 정상적으로 돌아가기 때문이다. 김승주 고려대 정보보호대학원 교수는 MBC '시선집중' 인터뷰에서 "클라우드 기반의 다른 서비스를 이용할 때 하나만 독점적으로 쓸 게 아니라 두세 가지를 정해놓고 병행해 쓸 필요가 있다"고 설명했다.
IT 업계에선 국내 클라우드 기업 경쟁력을 우선 키워줘야 한다는 반발도 여전히 크다. 빅테크 종속률이 높아지면 글로벌 장애 발생 시 대책 마련이 어려운 데다 요금 인상 압박 우려도 높다는 이유다. 다만 임종인 대통령실 사이버특별보좌관은 "AI가 발달하는 상황에서 클라우드 활용은 거스를 수 없는 대세"라면서 "문제가 발생했을 때 사이버 레질리언스(복원력)를 확보해 피해를 최소화할 수 있도록 사고 대응법을 체계화하는 게 우선"이라고 지적했다.
한편 과기정통부는 이번 장애를 악용해 사이버 공격 시도가 발생하고 있어 국내 보안 기업 담당자의 주의가 필요하다고 이날 추가 당부했다.