"중국산 서버 빗장 건다"… 日, 데이터센터 보안 인증제 2027년 도입

경제안보추진법 개정 추진… 데이터센터·클라우드 제공업체에 엄격한 보안 인증 체계 신설
지분 구조·장비 조달처·보안 절차 전면 실사… 위험 감지 시 정부 '사업 중단 명령' 권한 부여
금융·의료·국가 R&D 기관에 공인 인프라 이용 강력 권고… 알리바바 등 中 빅테크 직격탄

일본 정부가 금융, 의료, 핵심 연구개발(R&D) 등 국가 주요 인프라 분야에서 중국과 러시아 등 '우려 국가'로부터 초래되는 데이터 유출과 사이버 공격 리스크를 차단하기 위해 데이터센터와 클라우드 서비스에 대한 정부 공인 보안 인증 제도를 전격 도입한다.

새로운 인증제 하에서 기업의 자본 지분 구조와 하드웨어 장비의 원산지, 공급망 보안 체계를 종합 평가해 공인 인증을 부여하고, 민감 정보를 다루는 핵심 공공·민간 기관에는 미인증 사업자와의 계약을 원천적으로 차단하거나 엄격한 감독을 가하는 강력한 경제안보 규제망을 구축한다는 구상이다.

10월 20일(현지시각) 일본 종합 경제 미디어 닛케이 아시아 보도에 따르면, 일본 정부는 2027 회계연도(2027년 4월~2028년 3월) 이후 발효를 목표로 일본 내 데이터센터 운영사와 국내 서버 기반 클라우드 서비스 제공업체를 포괄하는 국가 보안 인증 시스템을 구축하기로 확정했다.

경제안보추진법 개정… "위험 인프라엔 사업 중단 명령"

일본 정부는 내년 1월 소집되는 정기 국회에 《경제안보추진법(경제안전보장추진법)》 개정안을 제출할 계획이다.

개정안의 핵심은 국가 핵심 인프라에 중대한 데이터 보안 위해를 가할 우려가 있는 데이터 센터 및 디지털 프로젝트에 대해 도쿄 당국이 법적 강제력을 지닌 '사업 중단과 시정 명령'을 내릴 수 있도록 권한을 대폭 강화하는 것이다.

정부 권고에 따라 금융기관, 대형 의료기관, 국책 연구소 및 국가 안보와 직결되는 민감한 개인정보를 취급하는 민간 기업들은 의무적으로 정부 인증을 획득한 데이터센터와 클라우드 업체만을 이용해야 한다.

형식상으로는 기업의 인프라 선택권을 보장하지만, 미인증 서비스를 이용하는 기관은 데이터 관리 현황에 대해 당국의 집중 실사와 감사를 받아야 하므로 사실상 우려 국가의 서비스 선택이 불가능해진다.

'JC-STAR' 모델 준용… 자본 지분·장비 조달 출처 전면 현미경 검증

인증 기준의 모델로는 일본 경제산업성이 IoT(사물인터넷) 기기와 네트워크 장비에 부여하는 사이버 보안 표준인 'JC-STAR' 체계가 적용될 예정이다.

주요 평가 항목에는 데이터센터를 실질적으로 지배하는 모기업의 소유 지분 구조, 내부 정보유출 방지와 접근 권한 통제 프로토콜, 그리고 서버·네트워크 스위치 등 물리적 하드웨어 장비의 조달선이 망라된다.

JC-STAR 라벨은 특정 국가를 공식적으로 명시해 배제하지는 않지만, 지금까지 중국산 네트워크 장비가 해당 인증을 획득한 사례는 전무하다.

특히 2026년 4월부터 전력망에 연계되는 태양광 발전 인버터와 대형 에너지저장장치(ESS) 배터리에도 이 기준이 의무화되면서 중국산 전력 인프라가 대거 퇴출 수순을 밟고 있는 만큼, 이번 데이터센터 인증 역시 중국계 하드웨어와 서비스를 사실상 전면 퇴출하는 결과를 낳을 것으로 관측된다.

알리바바 등 中 클라우드 정조준… "국가정보법 차단용 방화벽"

이번 조치는 아마존웹서비스(AWS), 마이크로소프트(MS) 등 미국 빅테크와 함께 일본 내 클라우드 점유율을 공격적으로 확장해 온 알리바바 클라우드 등 중국계 IT 대기업들을 정조준하고 있다.

그동안 일본은 국가 핵심 데이터를 보관·처리하는 민간 데이터센터 사업자를 법적으로 통제하는 거버넌스 체계가 취약하다는 안팎의 지적을 받아왔다.

특히 중국 정부가 유사시 민간 기업에 정보 활동 협력과 데이터 제공을 강제할 수 있는 《국가정보법》을 시행하고 있는 상황에서, 중국계 클라우드 인프라가 일본의 금융 결제나 의료 데이터망에 침투할 경우 사이버 테러나 백도어를 통한 대규모 정보 탈취를 통제할 수 없다는 안보적 위기감이 극에 달했다.

유럽연합(EU) 집행위원회가 제3국 영향력을 차단하는 엄격한 위험 관리 지침을 시행하고, 한국이 정보통신망법에 의거해 정보보호관리체계(ISMS) 인증을 의무화한 것처럼, 일본 역시 경제안보 법 개정을 통해 국가 데이터 주권 수호의 빗장을 걸어 잠그는 셈이다.

글로벌 디지털 인프라 전문가들은 "미·중 기술 패권 갈등이 첨단 반도체 하드웨어에서 데이터를 저장하고 연산하는 데이터센터 자체로 급속히 번지고 있다"며 "일본의 이번 인증제 도입은 동아시아 전반에서 중국산 통신·컴퓨팅 인프라를 완전히 고립시키는 강력한 디지털 디커플링의 신호탄이 될 것"이라고 평가했다.

신경원 글로벌이코노믹 기자 shincm@g-enews.com