[단독]중기부 산하기관, AWS 선정계획 철회…"CSAP 받아야"

[이데일리 김현아 기자] 중소벤처기업부 산하 소상공인시장진흥공단이 추진 중인 ‘디지털통합물류시스템’ 프로젝트에서 아마존웹서비스(AWS)를 제외한 것으로 확인됐다. 소상공인시장진흥공단은 이 프로젝트에서 AWS를 클라우드서비스사업자(CSP)로 선정하려 했으나, 해당 업체가 클라우드보안인증제(CSAP)를 받지 않아 논란이 커지자 이를 철회한 것이다.

중소벤처기업부 소상공인성장촉진과 관계자는 이데일리와의 통화에서 “AWS가 CSAP 인증을 받지 않은 상황이고, 이전에도 논란이 있었으며 일정상 어려움이 있어 최종적으로 인증을 받은 국내 기업들 중에서 선정하는 것으로 결정됐다”고 밝혔다.

앞서 이데일리는 소상공인시장진흥공단이 자문위원회 판단으로 CSAP 대신 다른 인증을 받은 AWS를 선택하려 한 것은 국내 클라우드보안인증제(CSAP)를 무력화할 수 있다고 보도한 바 있다. 그러나 최종적으로 AWS가 제외돼 국내 기업인 KT클라우드와 네이버클라우드, NHN클라우드 가운데 결정될 전망이다.

[이데일리 김일환 기자]

AWS 등 외국기업, 보안 인증 없이 공공시장 진입할 뻔

소상공인시장진흥공단이 추진하는 ‘디지털 통합물류시스템’ 프로젝트는 89억원 규모로, 클라우드 운영관리 업체(MSP)인 메가존이 주사업자다. 메가존은 이 프로젝트를 준비하면서 2개의 클라우드 서비스 사업자(CSP)를 이용하는 멀티 클라우드로 제안서를 냈다.

메가존은 “AWS를 선정해 제안한 바 없다”고 주장하지만, 국내 클라우드 업계에서는 메가존이 AWS를 선택하기 위해 멀티 클라우드로 제안했다고 보고 있다. 소상공인시장진흥공단이 지난 1월18일 클라우드서비스사업자(CSP)를 대상으로 설명을 진행한 뒤, AWS가 선정되기 직전이었던 것이다.

이런 일이 가능했던 이유는 공단이 통상적인 RFP(제안요청서)와는 다른 방식으로 제안요청서(RFP)를 냈기 때문이다. RFP에는 해당 프로젝트 자문위원회인 ‘디지털통합물류시스템 자문위원회’의 자문에 따라 클라우드보안인증제(CSAP)적용을 기본으로 하되, ISMS, ISO/IEC17, ISO/IEC27018 등의 정보보호 및 보안 인증을 대체할 수 있다고 적었다.

멀티 클라우드 철회할 듯…국내 기업들 재입찰

앞서 정부는 클라우드보안인증제(CSAP)등급제를 시행하면서 AWS, MS, 구글, 텐센트, 알리바바 등 외국 기업들에게 공공 시장을 개방했다. 데이터 주권 논란도 있었지만, 최하위 등급인 3등급에서는 외국 기업에겐 장벽이었던 민간 서비스와 공공기관용 클라우드 서버를 물리적으로 분리하는 의무를 없앴다. 하지만 아직 CSAP를 받은 외국 기업은 없다. 이같은 상황에서 소상공인시장진흥공단이 CSAP를 받지 않은 AWS를 선정하려 하면서 논란이 일었다.

국내 클라우드 업계에서는 당시 자문기관의 해석이 정부의 법(클라우드법 시행령)을 우선해 적용될 수 있는 것이냐며 우려한 바 있다. 업계 관계자는 “CSAP를 대체하는 다른 인증이 공공기관 입찰에 적용됐다면 외국 클라우드서비스회사(CSP)가 공공기관에 우회적으로 진입하는 길이 열릴 수도 있었다”고 말했다.

중기부와 공단이 AWS를 배제하기로 결정하면서 주사업자인 메가존의 계획도 변경될 것으로 예상된다. 메가존은 국내 클라우드서비스사업자(CSP)를 대상으로 공문을 보내 견적서 등 관련 자료를 요구한 것으로 전해졌다. 국내 클라우드 업계 관계자는 “AWS가 제외되면 멀티 클라우드를 할 필요성도 줄어 가격 경쟁을 거쳐 최종적으로 1개 사업자가 선택될 것 같다”고 전했다.

한편 최근 행정 전산망 ‘먹통’ 사고가 연속적으로 발생하며 공공 시스템의 민간 클라우드 전환이 빠르게 추진되고 있다. 정부는 올해부터 2030년까지 1만여개 공공 IT시스템의 70%를 클라우드 네이티브로 전환하는 정책을 추진하고 있다. 공공 클라우드 관련 예산만 전년(342억원)보다 2배 이상 늘어난 758억원이 책정됐다.