국정원, 공공 클라우드 보안 정책 전면 개편…1년 유예기간 부여

AI 생성 이미지

핵심요약

• 국가정보원이 9월 17일 '사이버서밋코리아 2026'에서 공공 클라우드 보안 정책 개편안을 발표했습니다.
• 기존 과기정통부 CSAP와 국정원 보안검증의 이중 구조를 국정원 단일 검증으로 일원화하며, 시행 후 1년간 유예 기간이 주어집니다.
• 클라우드 등급 체계는 국가망보안체계(N2SF) 기준에 맞춰 CSO(기밀·민감·공개) 등급으로 변경됩니다.

국가정보원이 지난 9월 17일 개최된 '사이버서밋코리아(CSK) 2026'에서 공공 클라우드 보안 정책의 전면적인 개편 방향을 공개했습니다. 이는 급변하는 디지털 환경과 인공지능(AI) 시대에 발맞춰 국가 안보를 강화하고, 동시에 클라우드 산업의 효율성을 높이기 위한 조치로 풀이됩니다.

이번 개편안의 핵심은 기존의 복잡했던 클라우드 보안 검증 절차를 국정원 중심으로 단일화하는 것입니다. 또한, 새로운 정책 시행에 따른 산업계의 혼란을 최소화하기 위해 1년간의 유예 기간을 부여할 방침입니다.

공공 클라우드 보안, 국정원 중심으로 일원화

국정원이 발표한 개편안에 따르면, 공공 클라우드 서비스 제공사(CSP)는 앞으로 과학기술정보통신부의 클라우드보안인증(CSAP)과 국정원 보안검증을 각각 거치던 이중 구조가 아닌, 국정원의 단일 검증 체계를 따르게 됩니다. 국정원 관계자는 17일 발표에서 개정안 시행 후 약 1년의 유예 기간을 두어 산업계의 준비를 도울 것이라고 밝혔습니다. 이미 CSAP 인증을 획득한 민간 클라우드 서비스는 최대 5년인 기존 인증 효력을 유지할 수 있으며, 유예 기간 이후 국정원 검증 체계로 전환되더라도 남은 기간 동안 보안 기준 준수 자격을 보장받게 됩니다.

새로운 클라우드 등급 체계는 국가망보안체계(N2SF) 기준에 맞춰 CSO(기밀·민감·공개 정보) 등급으로 변경됩니다. C등급은 공공기관 물리적 통제 시설 내 장비를 구축하는 민관협력형(PPP) 클라우드만 허용하며, S등급은 하드웨어 물리적 분리 요건을 충족해야 합니다. O등급은 논리적 분리만으로 민간 클라우드 이용이 가능해집니다. 또한, 상용 생성형 AI 서비스나 피지컬 AI 서비스는 신기술 도입을 위해 보안 검증 예외 대상으로 지정됩니다.

주요 클라우드 보안 정책 개편 내용

항목	개편 전	개편 후
검증 체계	과기정통부 CSAP + 국정원 보안검증	국정원 단일 검증
등급 체계	상·중·하 등급제	CSO(기밀·민감·공개) 등급
시행 시점	즉시 적용	개정안 시행 후 1년 유예 기간
신기술 적용	일반 보안 기준 적용	상용 생성형 AI 서비스 등 보안 검증 예외

국제 표준화 및 산업계 의견 수렴

국정원은 이번 개편의 객관성 확보를 위해 산학연 전문가로 구성된 민간검증심의위원회를 운영할 예정입니다. 보안 기준은 국제 규격에 맞춰 개선되며, 데이터 시스템은 국내 위치가 필수이지만 운영관리 시스템은 사이버 안보 활동 보장을 전제로 국외 위치를 허용합니다. 국제 표준 암호 사용을 허용하고 국제공통평가기준(CC인증) 인증 장비까지 활용 범위를 넓힐 계획입니다. 국정원은 중앙부처 및 산업계 의견을 수렴해 관련 제도를 확정할 예정입니다.

한편, 행정안전부는 올해 50개 행정·공공정보시스템의 민간 클라우드 이전을 본격화하며, 2027년 1분기까지 순차적으로 전환을 마칠 계획입니다. 이는 지난 2월 국가인공지능전략위원회가 발표한 'AI 정부 인프라 거버넌스·혁신 추진 방향'에 따른 조치로, 정부는 민간 역량을 활용해 정부·공공 부문의 데이터센터 안전관리 체계를 강화하고 2030년까지 국가정보자원관리원 폐쇄에 맞춰 시스템을 단계적으로 이전할 방침입니다.

전망과 의미

이번 국정원의 공공 클라우드 보안 정책 개편은 국내 클라우드 시장에 큰 변화를 가져올 것으로 보입니다. 검증 절차의 단일화는 기업들의 행정적 부담을 줄이고, 유연한 클라우드 도입을 촉진할 수 있습니다. 특히 AI 등 신기술 서비스에 대한 보안 검증 예외 조치는 빠르게 발전하는 기술 환경에 대응하고, 국내 AI 산업의 경쟁력을 강화하는 데 기여할 것으로 기대됩니다. 다만, 변화된 환경 속에서 데이터 보안 및 보호에 대한 우려가 여전히 존재하며, 이에 대한 명확한 가이드라인과 지속적인 관심이 필요할 것입니다.

궁금한 점

Q. 이번 보안 정책 개편으로 공공기관의 클라우드 도입에 어떤 변화가 생기나요?

A. 공공기관은 기존의 복잡한 이중 검증 절차 대신 국정원의 단일 검증 체계를 따르게 되어 클라우드 도입 과정이 간소화될 것으로 예상됩니다. 또한, 데이터의 중요도에 따라 CSO 등급으로 분류하여 보안 수준을 차등 적용합니다.

Q. 기존에 CSAP 인증을 받은 민간 클라우드 서비스는 어떻게 되나요?

A. 이미 CSAP 인증을 획득한 민간 클라우드 서비스는 최대 5년인 기존 인증 효력을 유지할 수 있습니다. 개정안 시행 후 1년 유예 기간이 지나 국정원 검증 체계로 전환되더라도 남은 기간 동안 보안 기준 준수 자격이 보장됩니다.

※ 이 글은 월드뉴스데일리 기사입니다.

※ 이 글은 월드뉴스데일리의 기사입니다.