한은도 美 팔로알토 장비 도입, KISIA 청와대에 보안주권 우려 전달

국내 보안업계는 왜 청와대에 직접 우려를 전달했나?

한국정보보호산업협회(KISIA)가 지난달 25일 송기호 청와대 국가안보실 3차장을 만나 외국 보안기업의 공공·금융 시장 확대에 대한 우려를 전달했다. 김진수 KISIA 회장은 14일 서울 송파구 IT벤처타워 기자간담회에서 이 사실을 공개하며 "자국 보안을 자국산 솔루션으로 방어하는 것이 주권 관점에서 매우 중요하다"고 말했다. 한국은행이 원PC 시범사업에 팔로알토네트웍스 장비를 도입해 운용 중인 상황이 도화선이 됐다. KISIA는 회원사 340여 곳 중 98%가 국내 기업인 민간 협회다.

kisia-security-sovereignty-paloalto-infographic

굳게 닫혀 있던 공공·금융 시장은 어떻게 열렸나?

금융과 공공은 오랫동안 국내 보안기업의 핵심 매출처였다. 업무망과 인터넷망을 물리적으로 나누는 망분리 규제, 그리고 국가정보원의 보안적합성 검증 절차가 사실상 이중 장벽으로 작동했기 때문이다. 클라우드 형태로 서비스되는 외산 제품은 이 두 관문을 통과하기 어려웠다.

변곡점은 생성형 인공지능(AI)이었다. 금융위원회는 2024년 규제 샌드박스를 통해 금융사의 생성형 AI와 서비스형 소프트웨어(SaaS) 활용을 허용했다. 국정원은 정보 등급에 따라 보안 통제 수준을 달리 적용하는 국가망보안체계(N2SF)를 마련했다. 망분리 일변도에서 데이터 중요도 기반 보안으로 설계 철학이 바뀐 것이다. 규제가 느슨해진 자리로 글로벌 통합 보안 플랫폼이 밀려들어 왔다.

Korea's public and financial sectors were long shielded by network separation rules and NIS security certification. The 2024 generative AI sandbox and the N2SF framework replaced that wall with a data-tier approach, opening the door to global vendors.

외산 통합 플랫폼의 무엇이 위험하다는 것인가?

협회가 지적한 핵심은 락인(lock-in)이다. 글로벌 보안기업은 PC와 서버부터 네트워크, 클라우드까지 기업 전체 보안 제품을 한 묶음으로 공급한다. 개별 제품 성능이 아니라 스택 전체를 파는 구조라, 한번 자리를 잡으면 다른 제품으로 갈아타기가 사실상 불가능해진다.

김 회장은 "글로벌 제품이 많이 도입되고 어느 순간 보안 주권을 잃게 되면 유지보수 비용을 높게 올리거나 특정 기업에만 제한적으로 솔루션을 판매하는 위협이 있을 수 있다"고 경고했다. 가격 결정권과 공급 결정권이 동시에 넘어간다는 뜻이다. 최영철 KISIA 수석부회장은 해법의 출발점으로 국산과 외산을 같은 잣대에서 비교할 수 있는 기술 기준 마련을 제시했다.

다만 반론도 만만치 않다. 공공·금융 조달에서 국산 제품을 우대하면 외국 기업에 대한 역차별 논란이 불거질 수 있다. 협회 역시 기술 기준 외에 구체적인 지원 제도는 내놓지 않았다.

KISIA's core concern is vendor lock-in. Global players sell the entire security stack at once, and once embedded, pricing and supply leverage shift abroad. Yet preferential treatment for domestic products risks reverse-discrimination complaints.

한국은행 사례의 숫자는 무엇을 말하나?

한국은행은 지난해 8월 인터넷용 PC와 업무용 PC를 한 대로 통합하는 원PC 시범사업에 팔로알토네트웍스 장비를 도입했고, 이후 추가 도입해 운용 중이다. 관련 사업인 망분리 개선 시범이용 시스템 구축·운영 사업은 최대 137억원 규모로 알려졌다. 한은은 국정원 보안적합성 검토를 거쳤고, 기존 국산 제품은 유지한 채 서로 다른 기능의 국산·외산 솔루션을 병행 운용한다고 밝혔다.

제도 쪽 숫자도 흐름을 보여준다. 국정원은 보안적합성 검증 대상기관 3만여 곳을 세 그룹으로 나눠 요건을 차등 적용하도록 제도를 개편했고, 사전 인증요건에 CC인증서와 보안기능확인서에 더해 신속확인서까지 포함시켰다. 한국인터넷진흥원(KISA)은 55억원 규모 N2SF 도입·시범 사업을 가동해 이 중 45억원을 실제 기관 적용 지원에, 9억9000만원을 신규 보안모델 실증에 배정했다. 국내 정보보호산업 매출은 2022년 기준 약 16조2000억원으로 집계됐다.

The Bank of Korea's network-separation pilot is reported at up to 13.7 billion won, running Palo Alto gear alongside domestic tools. KISA is funding a 5.5 billion won N2SF rollout program, while Korea's information security industry posted roughly 16.2 trillion won in revenue as of 2022.

보안주권 논쟁은 어디로 향하나?

해외에서도 같은 논쟁이 벌어지고 있다. 유럽연합 집행위원회는 2026년 소버린 클라우드 프레임워크를 내놓으며 전략·법률·데이터·운영·공급망·기술·보안·지속가능성 등 8개 범주로 주권 기준을 정리하고, 조달에 참여하려면 일정 수준의 주권 보증 등급(SEAL)을 충족하도록 했다. 유럽의 소버린 클라우드 IaaS 지출은 2025년 69억달러에서 2026년 126억달러로 늘어날 것으로 전망된다. 주권을 선언에 그치지 않고 조달 요건으로 명문화한 접근이다.

KISIA도 방향을 잡았다. 협회는 2026년 3대 전략으로 국회·정부·학계와의 협업, 통합보안 생태계 구축, 회원사 중심 사무국 운영을 제시했고, 국내 보안기업의 기술을 결합한 K-시큐리티 얼라이언스로 중동·일본 등 해외에서 외산 솔루션을 대체한다는 구상을 가동 중이다. 결국 관건은 명분이 아니라 기준이다. 국산과 외산을 같은 시험대에 올릴 객관적 평가 체계가 먼저 나와야 역차별 논란을 피하면서 산업 경쟁력을 끌어올릴 수 있다.

The EU has already codified sovereignty into procurement through its Sovereign Cloud Framework and SEAL assurance levels, with European sovereign IaaS spending set to jump from 6.9 billion dollars in 2025 to 12.6 billion in 2026. Korea's answer will hinge on objective evaluation standards rather than slogans.

자주 묻는 질문

Q. 보안주권이란 정확히 무엇을 뜻하나?

자국의 핵심 정보 인프라를 자국이 통제 가능한 기술과 제품으로 방어할 수 있는 능력을 말한다. 외산 의존이 심해지면 가격 인상이나 공급 제한 같은 결정을 외부 기업이 쥐게 되고, 유사시 국가가 개입할 여지가 줄어든다는 문제의식에서 나온 개념이다.

Q. N2SF는 기존 망분리와 어떻게 다른가?

망분리가 업무망과 인터넷망을 물리적으로 끊는 방식이라면, N2SF는 다루는 정보의 중요도를 등급으로 나눈 뒤 등급별로 보안 통제 수준을 달리 적용한다. 낮은 등급 업무에는 클라우드와 생성형 AI 활용이 가능해지는 대신, 높은 등급에는 더 엄격한 통제가 붙는다.

Q. 한국은행은 국산 제품을 외산으로 교체한 것인가?

아니다. 한은은 국정원 보안적합성 검토를 거쳤고, 기존 국산 제품을 유지한 채 기능이 다른 국산·외산 솔루션을 병행 운용한다고 설명했다. 다만 업계는 공공의 상징적 기관에서 외산 도입 선례가 생겼다는 점을 더 무겁게 본다.

Q. 국산 우대는 통상 문제가 되지 않나?

공공 조달에서 원산지를 기준으로 특정 제품을 우대하면 역차별과 통상 마찰 소지가 생긴다. 이 때문에 협회도 원산지 기준이 아니라 국산과 외산을 같은 방식으로 검증·비교할 수 있는 기술 기준 마련을 먼저 요구하고 있다.