전력망 이어 클라우드까지…日, 보안인증으로 中 기업 진입 문턱 높인다

2027년 이후 데이터센터·클라우드 안전인증…금융·의료기관에 이용 권고


특정국 금지보다 안전성 심사·조달 기준 강화…中 정보활동 협조 의무 경계

다카이치 사나에 일본 총리[사진=AP·연합뉴스]

일본 정부가 전력망 장비에 이어 데이터센터와 클라우드에도 보안 인증을 도입하기로 하는 등 중국계 기업의 진입 문턱을 높이고 있다. 중요한 개인정보를 다루는 금융·의료기관 등에 정부가 인증한 서비스를 이용하도록 권고하고, 데이터 관리에 대한 심사·감독도 강화할 방침이다. 특정국을 직접 금지하기보다 인증을 서비스 선택의 기준으로 삼도록 유도하는 방식이다.

20일 니혼게이자이신문(닛케이)에 따르면 일본 정부는 일본 내 데이터센터 사업자와 일본에 서버를 둔 클라우드 서비스 제공자를 대상으로 2027회계연도(2027년 4월 시작) 이후 안전인증 제도를 도입할 계획이다. 사업자의 기업정보와 정보 유출을 막기 위한 위험관리 체계, 설비 조달처 등을 심사해 안전성을 인증하는 방안이 검토되고 있다. 정부는 안보와 관련된 중요한 개인정보를 취급하는 금융기관과 의료기관, 연구소 등에 인증받은 사업자와 계약하도록 권고할 방침이다. 닛케이는 중국·러시아 등의 영향 아래 있는 기업을 사실상 배제하는 제도가 될 것으로 분석했다.

이와 함께 일본 정부는 중요한 개인정보를 저장·제공하는 기업에 데이터 보관·관리 상황 등을 사전에 신고하도록 할 방침이다. 정부는 신고 내용을 심사해 정보가 유출될 우려가 있다고 판단되면 해당 데이터의 보관·제공을 중단하도록 명령하거나 권고할 수 있게 할 계획이다. 2027년 1월 소집되는 정기국회에 경제안보추진법 개정안을 제출하고, 법 개정에 맞춰 새 인증제를 운영할 예정이다. 인증받은 서비스를 이용할지는 기업이 결정한다. 다만 중요한 개인정보를 다루는 기업은 데이터 관리 상황을 정부로부터 심사·감독받는 만큼, 인증받지 않은 서비스를 선택하기는 어려울 것이라고 닛케이는 설명했다.

제도 도입의 배경에는 데이터센터·클라우드 이용 확대와 보안 우려가 있다. 생성형 인공지능(AI)의 보급으로 일본에서도 데이터센터 건설이 본격화하고 있으며, 세계 클라우드 시장에서는 미국 아마존·마이크로소프트에 더해 중국 알리바바가 부상하고 있다. 그러나 닛케이에 따르면 일본에는 그동안 중요 데이터를 저장·처리하는 데이터센터·클라우드 사업자 전반을 관리하는 제도가 없었다. 중국 등 안보상 우려가 있는 국가의 영향 아래 놓인 서비스가 확산하면, 유사시 사이버공격으로 정보가 유출되거나 서비스가 멈출 수 있다는 지적이 제기돼 왔다.

닛케이는 중국 자본으로 설립된 기업이 중국 법에 따라 중국 정부의 정보 수집에 협조해야 할 수 있다는 우려를 전했다. 중국 국가정보법은 국가의 정보 수집 활동에 협조할 의무를 부과한다. 국방동원법은 유사시 중국 정부가 요구하면 기업이 시설이나 장비 등을 국가에 제공하도록 규정하고 있다.

일본 정부는 경제산업성 산하 정보처리추진기구(IPA)가 운영하는 ‘JC-STAR’를 참고해 새 인증제를 마련할 계획이다. JC-STAR는 네트워크 기기를 포함한 사물인터넷(IoT) 제품의 보안 수준을 평가해 인증하는 제도다. 특정 국가의 제품을 배제하는 규정은 없지만, 닛케이에 따르면 지금까지 인증을 받은 중국 제품은 없다. 일본은 2027년 4월부터 전력망에 연결하는 태양광 발전·에너지저장장치(ESS) 등의 설비에 JC-STAR의 기본 등급인 레벨1 기준 충족을 의무화할 예정이다. JC-STAR는 등급에 따라 심사 요건도 다르다. 레벨1과 달리 행정기관·중요 인프라용 상위 등급에서는 소프트웨어 구성요소에 대한 평가기관의 심사 등이 필요해 취득 문턱이 높다는 것이 닛케이의 설명이다.

지방자치단체의 정보기기 구매 기준도 강화하는 방향이다. 일본 총무성은 지자체가 기기를 구매할 때 공급업체와 제품의 보안 위험을 조사·관리하도록 의무화하는 방안을 제시했다. 제조국을 기준으로 구매를 제한하지는 않지만, 자체적으로 위험을 관리하기 어려운 지자체에는 JC-STAR나 정부의 클라우드 보안평가제도인 ‘ISMAP’ 인증 목록에서 제품·서비스를 선택하도록 권고한다. 닛케이는 이에 따라 일부 해외 제품의 납품 기회가 크게 줄어들 수 있다고 짚었다.

다만 일본 기업이 운영하는 클라우드에서도 대규모 사이버공격 피해가 발생하고 있다. 소프트뱅크 자회사 IDC프런티어는 이달 7일 랜섬웨어 공격을 받아 서비스를 이용하는 기업·지자체 495곳에 피해가 번졌다. 회사는 8일 일부 고객 데이터는 고객이 따로 보관한 백업이 없으면 복원하기 어렵다고 밝혔다. 새 인증제가 외국 정부의 영향력뿐 아니라, 사업자가 실제 공격을 막고 피해를 복구할 역량을 갖췄는지까지 얼마나 충실히 검증할 수 있을지가 과제로 남는다.

한편 최근 일본 정부가 중국 기업을 겨냥해 보안인증을 강화하는 것은 중국과 관계가 악화하고 있는 가운데 나온 것이다. 일본과 중국은 지난해 다카이치 사나에 총리의 '대만 유사시 발언'으로 양국 간 관계가 악화된 이후 각종 제재를 주고 받으며 관계가 크게 냉각된 상태이다.