해외 배포 서비스를 둘러싼 CSAP와 보안성검토 해석

월요일 오후 공공AX 네트워크 방에서는 버셀 같은 해외 배포 서비스를 공공 개발에 쓸 수 있느냐는 물음이 긴 토론으로 번졌다. 여기서 CSAP는 클라우드서비스 보안인증을, 보안성검토는 기관이 서비스를 쓰기 전에 거치는 검토 절차를 가리킨다. 이 대화는 저녁 9시 가까이 이어졌고, 262건의 발화에 23명이 참여해 이날 방에서 가장 큰 화제였다. 아래 내용은 모두 참가자들이 각자 이해한 바를 전한 것이며, 법령이나 제도의 확정 해석으로 읽어서는 안 된다.

국내에 대체재가 없다는 하소연

먼저 한 참가자는 국내에 버셀처럼 간단한 유사 서비스가 없다고 짚었다. 수동으로 구축하는 길로는 네이버 클라우드 플랫폼을 거론하면서, 보안성검토를 통과하려면 CSAP 인증을 받은 국내 클라우드로 해야 한다는 설명을 내놓았다.

일단 국내에 버셀처럼 간단한 유사 서비스는 없고, 그나마 수동 구축은 네이버 클라우드 플랫폼.. csap 인증받은 국내 클라우드로 하셔야 보안성검토 통과 됩니다. 클라우드는 아직까지 무조건 국정원 검토대상이고.. 한 2달 걸립니다.

이 참가자의 말에 따르면 검토에 두 달쯤 걸린다는 것이다. 이는 한 현장 담당자가 체감한 소요 기간으로 전해졌을 뿐, 다른 기관에서도 같다는 확인은 대화에 없었다.

CSAP와 보안성검토는 다른 절차라는 정리

저녁에는 두 개념을 가르는 설명이 나왔다. 다른 참가자는 자신의 이해를 이렇게 정리했다.

CSAP = 클라우드 기업이 받는 보안인증

그의 설명으로는 보안성검토는 이용기관이 거치는 절차이고, CSAP를 받은 서비스를 쓰면 검토가 더 간소해지며 받지 않은 서비스도 검토만 통과하면 쓸 수 있지만 그 검토가 빡빡하다고 했다. 본인도 이렇게 이해하고 있다고 밝힌 만큼, 공식 기준이라기보다 현장에서 통용되는 이해의 한 형태로 보는 편이 적절하다.

법 조항을 인용한 해석과 갈린 의견

이어 다른 참가자가 먼저 클라우드컴퓨팅법의 한 조항을 인용했고, 뒤이어 도입 가능 목록과 국내 위치 요건을 담은 별도 조항을 인용했다. 아래 인용의 '이 조항'은 이 국내 위치 요건을 담은 조항을 가리킨다. 이 두 번째 조항의 법령명은 대화에 나오지 않았다. 그는 CSAP가 없다는 것 자체는 위반이 아니라고 보면서도, 국내 위치 요건 때문에 기관용으로는 버셀이 어렵다는 해석을 내놓았다.

기관용 클라우드 사용할 때는 이 조항 때문에 vercel 사용이 안되겠네요. CSAP 인증이 없는 것 자체는 위반사항이 아닌데, [국내] 서비스가 아니라서...

앞서 개인 프로젝트라면 상관없지 않느냐는 말이 나왔고, 기관 명의로 하면 다르다는 의견이 맞서 결론은 나지 않았다. 국내 클라우드 5개사가 가능하다는 언급도 있었지만 어느 곳인지는 대화에서 확인되지 않았다. 처음 설명(CSAP 인증을 받은 국내 클라우드여야 검토를 통과한다)과 뒤의 설명(CSAP가 없어도 검토만 통과하면 쓸 수 있다)은 서로 다른데, 방에서 이 차이가 정리되지는 않았다.

토론이 한참 이어진 뒤에는 처음 문제를 꺼낸 참가자의 이 말이 남았다.

그냥 이것도 뭐 인프라 문제인데 해결만 나면 버셀처럼 그냥 배포만 하면 될 거 같은데 그런 서비스가 없어서 문제인 듯..

규정을 어떻게 읽느냐보다 규정을 만족하면서 쓸 수 있는 간편한 도구가 국내에 없다는 아쉬움이 더 큰 목소리였다는 점을 시사한다. 제도 해석이 참가자마다 달랐다는 사실 자체가, 현장에서 기준이 한눈에 정리되어 있지 않다는 신호로도 읽힌다.