국가 공공 AI 인프라 민간 클라우드 활용, DR 체계 구축 기준 마련 나선다

핵심 요약

- 정부, 국가 공공 정보시스템의 민간 클라우드 활용 기준 및 재해복구(DR) 체계 종합 정비 착수 - 경제성·보안성·안정성 3대 축 분석 통해 공공 AI 인프라 운영 방향 수립 예정 - 국내 IT 산업 생태계 보호와 공공데이터 안전성 확보를 동시에 고려한 정책 설계

주요 내용

2026년 현재 정부는 급증하는 공공 AI 수요에 대응하기 위해 민간 클라우드 활용과 자체 데이터센터 운영의 최적 조합을 모색하고 있다. 특히 SK바이오팜과 통신 3사가 참여하는 난치성 암 신약 연구 등 대규모 AI 연산 수요가 증가하면서, 공공 정보시스템의 안정적 운영을 위한 재해복구(DR) 체계 구축이 시급한 과제로 대두되었다.

정부는 이번 기준 마련 과정에서 단순히 비용 효율성만을 따지지 않고, 보안성과 안정성을 종합적으로 분석하는 접근법을 취하고 있다. 공공데이터의 특성상 개인정보 및 민감정보 유출 위험을 최소화해야 하며, 동시에 24시간 무중단 서비스를 보장할 수 있는 DR 체계가 필수적이기 때문이다. 특히 AI 학습 데이터에 포함될 수 있는 개인의료정보 등은 ISMS-P 인증 기준에 부합하는 보안 통제가 요구된다.

국내 IT 산업 생태계에 미치는 영향도 중요한 고려 요소다. 글로벌 클라우드 사업자에 대한 과도한 의존은 기술 종속과 데이터 주권 문제를 야기할 수 있어, 국내 클라우드 및 데이터센터 사업자의 역량 강화를 병행하는 방향으로 정책이 설계되고 있다. 이는 장기적으로 국가 정보 인프라의 자립도를 높이고 재난 상황에서도 독립적 복구 능력을 확보하려는 전략으로 해석된다.

아울러 이번 기준에는 재해경감우수기업 인증과 유사한 사전 예방적 관점이 반영될 것으로 보인다. 단순히 장애 발생 후 복구하는 것을 넘어, 잠재적 위험을 사전에 식별하고 완화하는 ISO 22301 기반의 사업연속성관리(BCM) 체계가 공공 클라우드 선정 기준에 포함될 가능성이 높다.

전문가 시각

재해복구 체계 구축 시 가장 중요한 것은 RTO(목표복구시간)와 RPO(목표복구시점)의 명확한 설정이다. 공공 AI 인프라의 경우 서비스 유형에 따라 차등화된 DR 등급을 적용해야 하며, 특히 의료·금융 등 개인정보를 다루는 시스템은 RTO 1시간 이내, RPO 15분 이내 수준의 엄격한 기준이 필요하다. 민간 클라우드 활용 시에도 물리적으로 분리된 복수의 가용영역(AZ) 구성과 정기적인 DR 훈련(안전한국훈련 수준) 실시가 필수적이다.

기업 입장에서는 이번 정부 기준이 민간 부문의 DR 체계 고도화를 촉진하는 계기가 될 것으로 전망된다. LH공사 재해경감우수기업 인증심사에서 확인한 바로는, 중소기업의 경우 백업은 수행하나 실제 복구 테스트를 생략하는 경우가 많다. 공공 부문이 엄격한 DR 기준을 제시하면, 공공시스템 구축에 참여하는 민간 기업들도 자연스럽게 ISO 22301 인증 취득 등 사업연속성 관리 수준을 높이게 될 것이다. 특히 클라우드 서비스 제공자(CSP)는 ISMS-P 인증과 더불어 재해복구 역량을 객관적으로 입증할 수 있는 인증체계 확보가 경쟁력 확보의 핵심이 될 전망이다.

CPPG·ISMS-P 연계 포인트

재해복구(DR) 체계 요구사항: ISMS-P 인증기준 2.9.1항(재해·재난 대비)은 중요 정보시스템에 대한 재해복구 계획 수립과 정기적 시험을 요구한다. RTO/RPO 설정, 백업 데이터의 원격지 보관, 연 1회 이상 복구 훈련 실시가 핵심이며, 공공 클라우드 활용 시에도 동일 기준이 적용된다.

사업연속성관리(BCM) 체계: ISO 22301은 사업영향분석(BIA)을 통한 핵심 프로세스 식별, 위험평가, 연속성 전략 수립, 정기 훈련 및 개선의 PDCA 사이클을 요구한다. 공공 AI 인프라처럼 국가 핵심 서비스의 경우 BCM 체계 구축이 필수이며, 클라우드 서비스 공급망 전체에 대한 연속성 관리가 필요하다.