클라우드 컴퓨팅 발전 및 이용자 보호에 관한 법률(이하 클라우드 발전법)이 오는 9월 본격적으로 시행된다. 하지만 아직 준비가 미흡하다. ‘보안’에 대한 우려가 여전히 남은 상황에서 이에 대한 구체적인 해결책은 나오지 않고 있기 때문이다. 이에 미디어잇은 클라우드 산업 발전을 위해 해결해야 할 과제인 '클라우드 보안'에 대해 점검해 본다. <편집자주>

[미디어잇 유진상] 클라우드 발전법이 시행되면 국내 클라우드 시장은 보다 성장할 수 있을 것으로 기대된다. 하지만 아직 걸림돌이 남아있다. ‘보안’에 대한 우려가 여전히 남아있기 때문이다.

클라우드 서비스는 IT자원을 소유하지 않고 일부 또는 모두를 빌려 쓰는 형태다. 때문에 물리적인 인프라 및 IT 지출의 비용을 획기적으로 줄일 수 있다는 장점이 있다. 하지만 단점도 존재한다. 정보 유출 및 서비스 가용성 보장, 안정성, 기존 애플리케이션 서비스와의 연동, 서비스 제공업체의 안정성, 법규제(컴플라이언스) 등 부가적인 보안상의 문제점을 가지고 있다는 것이다.

실제 클라우드 서비스는 다양한 보안 사고로 인해 사용자들을 불안하게 한 바 있다. 지난 2009년 마이크로소프트의 클라우드 서비스인 ‘애저’는 테스트 과정 중 중단 사고가 발생했으며 2011년에는 구글의 지메일 서비스에 오류가 발생해 50만 명의 이용자 메시지와 주소록이 사라지는 사고가 발생한 바 있다. 두 사고는 특히 원인조차 찾지 못했다. 또 아마존의 EC2는 데이터센터 장애로 고객사들의 서비스가 중단되면서 문제가 됐다.

2013년에는 NSA 감시활동 폭로사건이 발생했다. 미 정보당국인 NSA가 전 세계 700개 서버에 연결된 인터넷 사용자들의 모든 활동을 감시해 왔던 것이 밝혀져 충격을 안겨준 바 있다. 지난해에는 애플의 아이클라우드에서 유명 연예인들의 사생활을 담은 사진이 유출돼 순식간에 전 세계로 퍼져나갔다.

이런 일련의 사건들로 인해 클라우드 서비스 사용자들은 ‘보안’에 대한 우려를 표하고 있다. 기업들은 민감한 데이터가 내·외부로부터 보호되고 있다는 사실을 직접 눈으로 확인할 수 있는 ‘가시성’을 요구하고 있으며, 완전한 접근제어와 서비스 공급업체들의 데이터 열람 권한을 통제하는 기능을 원하고 있다. 현재 IT 인프라의 빌려쓴다는 개념에 대한 거부감, 기존 인프라와의 연동 및 관리 문제, 다양한 취약점 등에 대한 문제를 꾸준히 제기되고 있는 상황이다.
 
때문에 업계에서는 클라우드 보안에 대한 세부 가이드라인이 조속히 마련돼야 한다고 입을 모은다. 업계 한 관계자는 “클라우드 법 통과로 공공기관이 클라우드를 도입할 근거는 생겼지만 여전히 보안 문제에 대한 구체적인 후속조치는 없는 상황”이라며 “보안에 대한 문제를 조속히 해결해야 할 것”이라고 강조했다. 

한국인터넷진흥원(KISA)은 지난 2011년부터 클라우드 서비스 정보보호 안내서와 클라우드 서비스 환경에서 데이터 보호 안내서를 개발해 배포한 바 있지만 여전히 부족하다는 평가다. 또 한국클라우드산업협회가 2012년부터 실행해 온 ‘클라우드 서비스 인증제’도 여전히 겉돌고 있다.

한국클라우드산업협회 관계자는 “클라우드 보안과 관련해 인증제도가 마련됐지만, 이는 다른 한편으로는 규제가 되는 현실”이라며 “인증기관과 보안 인증 강화 등 다양한 측면에서 개선을 하기 위해 고민하고 있다”고 말했다.

이에 미래부와 KISA 등의 정부기관들은 클라우드 서비스에 대한 보안 대책을 세우기 위해 다양한 방안을 논의하고 있다. KISA는 별도의 보안인증 제도를 개발해 문서점검, 현장실사 등을 통해 사업자들의 보안 수준을 진단할 계획이다. 또 다양한 클라우드 기반 보안서비스 적용과 보안컨설팅을 추진한다는 방침이다.

정한근 미래창조과학부 정보보호정책관은 최근 열린 클라우드보안워크숍2015에서 “정보보호 기준을 마련하는 한편, 클라우드 보안 인증제, 이용자 보호조치 강화 방안 등을 적극 고려하고 있다”고 설명했다.