해외 클라우드 사업자, 개인정보 유출 사고 조사 응하지 않아...법 명확해야

클라우드 서비스 제공사업자가 개인정보보호법상 수탁자 지위에 있다는 해석을 명확히해야 한다는 제언이 나왔다.

일반적으로 안전성 확보조치 미흡으로 유출 사고가 발생한 경우, 개인정보 보호위원회는 해당 개인정보처리자의 서버 내 로그 등을 제출 받아 사고 원인분석을 하고 이를 행정처분 근거자료로 삼는다.

클라우드 환경서 유출 사고가 터진 경우, 로그 등이 클라우드 제공사업자 영역에 보관된 사례가 많다. 개인정보 보호위원회는 클라우드측 로그 등을 제출 받을 수 있어야만 사고조사 를 제대로 할 수 있고, 법적 책임을 부과할 수 있다.

그러나 IaaS 제공 사업자 경우 그러한 인식이 없는 실정이다. 특히 해외사업자는 클라우드측 로그 제출을 요청 받고도 응하지 않아 사고조사와 법집행의 난관이 돼 왔다.

이에 따라 클라우드 서비스 제공사업자가 개인정보보호법상 수탁자 지위에 있다는 해석이 명확해야 한다는 것이다.

한국인터넷진흥원이 외주용역을 맡겨 발표한 '클라우드 분야 개인정보 보호조치 현황 분석' 연구보고서에 따르면 수탁 범위는 클라우드 서비스 내용에 따라 IaaS는 기반 인프라 제공⸱관리 부분만 수탁범위이고, SaaS라면 클라우드측에서 마련한 애플리케이션에서 이뤄지는 정보처리까지 수탁범위로 봐야 한다.

개인정보 보호법 제63조에 따라 수검업무 대상자에는 ‘수탁자’도 포함돼 있다. 클라우드 서비스 제공사업자의 수탁자 지위를 명확하게 인정하는 해석이 뒷받침돼야 한다.

특히 IaaS 제공사업자의 수탁자 지위를 명확히 하려면, 해당 IaaS상에서 개인정보 처리가 일어나는지 여부를 이용사업자로부터 ‘고지’ 받는 절차 마련이 필요하다. IaaS 제공사업자가 법적 지위를 인식하고 필요한 조치를 할 수 있다.

‘필요한 조치’는 ①클라우드 서비스 이용개 시 시 개인정보 처리에 관한 위‧수탁계약 체결이다. 법상 요구되는 위수탁 계약사항이 클라우드 이용약관에 포함돼야 한다. ② 이용기간 중 위‧수탁 점검에 응하거나 클라우드 인증, 이용사업자 서비스에서 해킹 사고 발생 시 IaaS 로그가 제출될 수 있도록 조치해야 한다. ③ 이용종료 시 당해 이용사업자측의 데이터를 파기다. 파기는 파기확인서 제공, 최소한 이용약관에 파기 약정이 있어야 한다.

또한 이용사업자가 개인정보 안전성 확보조치의 보호조치기능을 미흡하게 제공한 경우도 있다. 예컨대 애플리케이션 내 마스킹이 미흡하거나 고객정보 암호화 저장여부를 확인할 수 없는 사례다.

이러한 경우 과연 이용사업자가 고시를 준수할 수 있을지 검토가 필요하다. 만약 이용사업자가 투입해야 하는 추가 비용⸱노력이 과다하다면 클라우드 서비스 제공사업자가 해당 보호조치기능을 필수 제공하도록 개선‧권고하는 방안도 고려해야 한다.

Related Materials

클라우드 공격, 전년 대비 136% 폭증

💡Editor Pick - 북한 연계 FAMOUS CHOLLIMA 조직, 320개 이상 기업 침투 - 사이버범죄 그룹, AI 활용해 피싱, 신분 위조, 악성코드 개발 등 전략 펼쳐 - 클라우드 침입 전년 대비 136% 증가, 보이스피싱 공격 442% 급증 엔터프라이징 공격자, AI 활용한 정교한 침입 급증 크라우드스트라이크가 발표한 사이버 위협 보고서에 따르면, 2024년

The Tech EdgeCheifEditor

클라우드 생태계의 ‘책임 공유 모델’은 이미 현실이다

💡Editor’s Pick - 클라우드 보안 책임은 업체와 사용자가 상호 부담 - 사실 업체들은 대부분 잘 하고 있음 - 사용자가 낸 설정 오류가 대부분 사고의 원인 말의 힘은 대단하다. 말에 따라 있는 것이 없는 것처럼 여겨지고, 어떤 단어를 쓰느냐에 따라 큰 문제가 작게 혹은 작은 문제가 크게 번지기도 한다. 현상은 거기에

The Tech Edge문가용 기자

개인정보위, 빅3 클라우드 사업자 ‘개선권고’

💡Editor Pick - AWS, Azure, 네이버클라우드 3개사 사전 실태점검 결과 발표 - 보호법상 안전조치기능 제공 현황 점검 - “추가설정 및 별도 솔루션 구독 필요 항목에 대해 가이드 안내” 개선 권고 개인정보보호위원회(위원장 고학수, 이하 ‘개인정보위’)가 12일 AWS, Azure, 네이버클라우드 3개 클라우드 서비스 제공 사업자(CSP)에게 개선 권고했다. 개인정보위가

The Tech EdgeCheifEditor