우물안 클라우드정책 'CSAP' 디지털 무역 장벽 될라 [갈길 먼 규제혁신]

<클라우드서비스 보안인증제도>
한국서만 통용되는 기술 요구
해외 클라우드 서비스 업체 중
CSAP 인증 받은 기업 '0' 곳
'물리적 망 분리' 독소조항 꼽혀
국내 中企 사업 기회까지 제약

국내 '클라우드서비스 보안인증제도(CSAP)'가 중국 사이버안보법과 유사한 규제라는 주장이 제기됐다. 국제표준을 반영하지 않고 한국에서만 통용되는 기술을 요구하는 CSAP는 '갈라파고스(세계 시장 고립)'를 초래하는 규제 장벽이 될 수 있다는 지적이다.

이와 관련 한국규제학회는 공공부문인 행정기관, 공공기관, 지방공사 및 공단, 학교, 정부출연 연구기관 등 총 1만3000여 기관에 보안 우려 해소를 목적으로 적용되는 CSAP 등 클라우드 정책 개선이 시급하다는 입장을 내놨다.

CSAP는 클라우드 서비스 제공자가 제공하는 서비스에 대해 '클라우드 컴퓨팅 발전 및 이용자 보호에 관한 법률'에 따라 인증기관이 정보보호 기준 준수여부 확인을 평가·인증하는 제도다.

한국규제학회는 "CSAP 제도의 문제는 국제표준을 인정하지 않고 오직 한국에서만 통용되는 기술을 요구하는 규제라는 점"이라며 "이는 해외 클라우드 업체가 국내 공공시장에 진입하는 데 장벽으로 작용하며, 국내 스타트업과 중소기업의 성장에 제약을 발생시킨다"고 지적했다. 실제 마이크로소프트(MS), 구글, 아마존웹서비스(AWS), 오라클, IBM, SAP 등 외국계 클라우드 서비스 기업 중 CSAP 인증을 받은 곳은 없다.

■"국경 간 데이터 이전 자유화"

20일 한국규제학회 및 관련 업계에 따르면 국제사회는 날로 확대되는 디지털 교류 및 교역에 대한 질서 정립을 위해 지역무역 체제 협상을 중심으로 '글로벌 디지털 무역협정'을 마련하고 있다. 디지털 무역협정은 국가 간 디지털 제품 및 콘텐츠 이동이 자유롭게 이뤄질 수 있도록 한 협정이다.

대표적으로 △USMCA(미국, 멕시코, 캐나다) △USJDTA(미국, 일본) △DEPA(싱가포르, 뉴질랜드, 칠레) △DEA(싱가포르, 호주) 등이 있다. 한국은 싱가포르, 뉴질랜드, 칠레가 올해 1월 정식 발효한 디지털 무역협정·DEPA에 지난 9월 가입을 신청, 회원국과 협상을 진행 중이다.

디지털 무역협정 쟁점은 5가지다. △관세 부과 △데이터 서버 현지화 요구 금지 △데이터의 국경 간 이전 자유화 △소스코드 공개 요구 금지 △소프트웨어(SW)와 콘텐츠 등에 대한 지식재산권(IP) 보호 등이 있다. 이와 관련 한국규제학회는 '글로벌 디지털 무역협정 체제 편입을 위한 한국의 기술규제 해소방안 연구' 논문을 통해 "한국이 글로벌 디지털 통상 협정 체제에 성공적으로 편입하기 위해서는 국내 쟁점 규제에 대한 개선안 마련이 시급하다"고 강조했다.

■"물리적 망 분리는 독소조항"

CSAP는 국내 중소 디지털 기업 사업 기회도 제약한다는 게 한국규제학회 지적이다. MS, 구글, AWS 등 글로벌 클라우드 기반으로 서비스를 제공하는 스타트업과 중소기업은 공공사업 입찰 참여에 제한되며, 국내 클라우드를 통해 공공사업에 참여하더라도 해외시장 진출을 준비할 경우 인프라 구축에 추가적인 부담이 발생하기 때문이다.

한국규제학회는 "CSAP 조항이 담고 있는 또 다른 큰 문제점은 '물리적 망분리' 항목"이라며 "글로벌 기술표준과 동떨어진 물리적 망분리는 공공기관용 클라우드 서비스 서버, 네트워크, 보안장비 자원이 일반 상업용 클라우드 서비스 영역과 물리적으로 분리돼야 한다는 강제조항"이라고 꼬집었다.

물리적 망분리는 이용자에게 이원화된 망을 사용하도록 강제해 과도한 불편을 초래한다는 게 업계 설명이다. 스타트업얼라이언스 조사에 따르면 망분리 규제는 개발자 생산성을 50% 가량 떨어뜨리고, 개발자 인건비는 30% 더 들게 만든다. 또 25인 기준 사업장에 망분리 비용을 약 5억 원 발생시키는 것으로 나타났다.

■규제완화… 사회경제편익 1.5조

한국규제학회는 공공 분야를 글로벌 클라우드 서비스 제공업체에 개방했을 때 실익을 분석, 이번 논문에 반영했다. CSAP 개정을 통해 글로벌 클라우드 서비스 제공업체가 공공 분야에 진입 가능하도록 규제를 완화 및 폐지했을 경우를 가정한 것이다.

한국규제학회는 "정보보안 수준에 따라 논리적 망분리 규제로 전환한다는 시나리오에 따르면 연간 공공분야가 갖는 사회경제적 편익은 1조5375억4000만원으로 추산된다"고 밝혔다.

또 CPTTP, USMCA, USJDTA, DEPA, DEA 등 주요 글로벌 디지털 무역협정 세부 규범에서 현재 이슈화되고 있는 CSAP 규정이 명확히 부합하는 사례는 3건 정도로 전체의 12%에 불과하다. 즉 '무역'의 개념과 범위가 인터넷 수단을 통해 물리적 상품을 거래하는 '전자상거래(e커머스)'에서 무형의 디지털 재화 및 데이터까지 거래하는 '디지털 무역'으로 확대되고 있는 만큼, 글로벌 디지털 통상 협정 체제에 한국이 성공적으로 편입하기 위해서는 이를 방해하는 국내 쟁점 규제 개선 방안 마련이 시급하다.

한국규제학회는 "국내 CSAP를 둘러싼 복잡한 이해관계자와 쟁점사항에 대한 집합적인 의사 결정과 정책 실행을 도출하고 디지털 협정 초기 편입을 위한 수용적인 클라우드 정책 대안을 마련하기 위해서는 공공부문과 민간부문이 상호 협력할 수 있는 리스크 거버넌스가 필요하다"고 강조했다.

[e-mail] 김미희 기자