AWS, NATO 32개국 전역 ‘NATO RESTRICTED’ 클라우드 승인…실제로 가능한 일은

AWS가 NATO의 NATO RESTRICTED 등급 업무를 위한 클라우드 역량을 동맹 32개 회원국 전체에서 승인받았다. AWS에 따르면 이는 해당 용도로 전 회원국의 승인을 받은 첫 클라우드 사업자다. 이제 NATO 기관, 회원국 정부, 방산 파트너는 NATO 회원국에 위치한 AWS 리전에서 승인 범위에 포함된 AWS 서비스를 이용해 적격 NATO RESTRICTED 워크로드를 처리할 수 있다. 1721

다만 이를 ‘어떤 방산·정부 시스템이든 즉시 AWS로 이전할 수 있다’는 허가로 해석해선 안 된다. 각국 당국은 별도의 승인과 추가 보안 검증을 요구할 수 있으며, 실제 시스템은 승인된 서비스 범위 안에서 구성하고 해당 인가 절차를 마쳐야 한다. 25

NATO RESTRICTED는 무엇인가

NATO RESTRICTED는 NATO 정보 분류 체계에서 가장 낮은 기밀 등급이다. 공개될 경우 NATO의 이익이나 작전에 해를 끼칠 수 있어 일반에 공개해서는 안 되는 정보를 대상으로 한다. 24

이번 승인의 핵심은 조직이 이 등급의 업무를 클라우드에서 검토할 때, 클라우드 사업자 자체에 대한 기초 보안 평가를 처음부터 반복하지 않아도 될 수 있다는 데 있다. 그러나 모든 AWS 서비스가 승인된 것은 아니며, 데이터를 어느 AWS 리전에나 둘 수 있다는 뜻도 아니다. 공표된 범위는 NATO 회원국에 소재한 리전의 승인된 AWS 서비스다. 1721

AWS는 어떻게 승인받았나

AWS는 NATO RESTRICTED 정보를 퍼블릭 클라우드에서 처리하기 위한 보안 요구사항을 규정한 NATO 기술 지침 D32에 대한 준수 사실을 문서화했다고 밝혔다. 이후 스페인 **국가암호센터(CCN)**가 AWS의 클라우드 역량을 평가했고, NATO가 이를 승인해 동맹 전체에 공표했다. 21

NATO RESTRICTED 인가에서는 NATO가 절차를 회원국 또는 NATO 통신·정보청(NCIA)에 위임할 수 있다. 이때 해당 기관은 NATO 호스트 국가 역할을 수행한다. 21

즉 AWS가 모든 임무 시스템에 대해 자동 승인을 받은 것이 아니다. 대신 다른 인가 판단이 활용할 수 있는 사업자 수준의 공통 보안 기준선을 마련한 것이다.

회원국별 인가에는 어떤 변화가 있나

AWS는 NATO 회원국 안에 리전 15곳을 운영하고 있으며, 이 가운데 7곳은 유럽 본토에 있다고 설명했다. 2136

공통으로 사전 평가된 사업자 보안 기준선이 생기면, 각국 정부는 자체 인가 과정에서 클라우드 제공자에 대한 기초 통제 검토를 상당 부분 되풀이하지 않아도 될 수 있다. 이에 따라 중복 업무와 소요 시간, 규정준수 부담을 줄일 가능성이 있다. 그러나 최종 인가 권한은 여전히 각국의 담당 기관에 있다. 2536

실무적으로는 다음 세 층위를 구분해야 한다.

• 클라우드 사업자 승인: 평가된 AWS 클라우드 역량과 보안 통제를 다룬다.
• 국가별 인가: 각국의 법률, 보안, 주권, 운영 요건을 다룬다.
• 시스템별 승인: 개별 워크로드의 아키텍처, 데이터, 사용자, 선택 서비스 구성을 다룬다.

이번 조치가 의미 있으면서도 국가의 통제권을 없애지는 않는 이유가 여기에 있다.

방산 클라우드 시장에서의 의미

이번 승인은 NATO 및 유럽 방위 현대화 시장에서 AWS에 뚜렷한 선점 효과를 준다. 상용 퍼블릭 클라우드 사업자도 보호 대상 NATO 업무를 위한 동맹 공통 보안 기준을 충족할 수 있다는 사례가 됐기 때문이다.

그렇다고 계약 수주나 실제 배포가 보장되는 것은 아니다. 유럽 각국 정부는 데이터 저장 위치, 운영 자율성, 조달 조건, 기타 디지털 주권 요건을 계속 따로 평가한다. 마이크로소프트, 구글, 지역 사업자, 프라이빗 클라우드도 고객의 기술·상업·국가안보 조건을 충족한다면 경쟁할 수 있다. 이번 승인으로 줄어드는 것은 어디까지나 NATO RESTRICTED 용도에서의 사업자 수준 보안 보증 부담이라는 중요한 마찰 요소다.

NATO의 상용 클라우드 활용 신호

이번 결정은 NATO가 보안 요구사항을 충족하는 상용 기술을 활용할 의지가 있음을 보여준다. AWS는 이번 결과가 NATO와 회원국, 방산 파트너가 적격 보호 워크로드를 처리할 때 선택할 수 있는 방안을 넓혔다고 밝혔다. 17

확장 가능한 컴퓨팅, 데이터 플랫폼, 분석 환경, 현대적 애플리케이션 인프라가 필요하지만 NATO 보안 제약도 충족해야 하는 조직에는 중요한 변화다. D32 기반 접근법은 퍼블릭 클라우드를 국방 환경 밖의 기술로 보는 대신, 어떤 보안 통제가 갖춰져야 하는지를 기준으로 삼는다.

AWS의 기밀 클라우드 전략과의 연결점

이번 NATO RESTRICTED 승인은 미국 정부·국방 분야의 더 민감한 업무를 겨냥한 AWS의 별도 서비스들과도 맞물린다. AWS Secret Cloud for Industry는 보안 인가를 받은 미국 방산 계약업체와 기타 국가산업보안프로그램(NISP) 조직이 계약업체 소유의 기밀 워크로드를 AWS에서 직접 운영하도록 지원한다. AWS는 이를 통해 자본 집약적인 자체 온프레미스 인프라를 사용량 기반 클라우드 모델로 대체할 수 있으며, 생성형 AI, 머신러닝, 고성능 컴퓨팅 같은 기능도 지원한다고 설명한다. 2

정리하면 AWS는 NATO 회원국 리전에서 NATO 관련 보호 워크로드를 지원하는 한편, 미국의 기밀 임무에는 별도 환경을 제공하는 전략을 펼치고 있다.

결론: ‘일괄 허가’가 아니라 재사용 가능한 보안 기반

AWS의 NATO RESTRICTED 승인은 동맹 차원에서 재사용할 수 있는 보안 기반으로 보는 것이 정확하다. 적격 사용자는 NATO 회원국 내 리전에서 승인된 AWS 서비스를 이용해 NATO RESTRICTED 시스템을 구축할 수 있고, 국가별 인가 기관은 공통 출발점을 확보하게 된다. 1721

하지만 이 승인이 국가 주권 요건을 뛰어넘거나 시스템별 승인을 없애지는 않는다. 정부와 방산 공급업체에 주어진 기회는 보안 절차의 면제가 아니라, 개별 배포를 평가할 때 더 빠르고 일관된 검토를 시작할 수 있다는 데 있다. 25