데이터 주권, 이제 데이터 보관 장소만으로는 부족하다: 암호화 키 통제권 확보 경쟁

최근 데이터 주권에 대한 논의가 단순히 데이터가 저장되는 위치를 넘어, 데이터 암호화 키에 대한 통제권 확보로 옮겨가고 있습니다. 정부는 자국 내 서버에 데이터를 보관하는 것만으로는 충분한 주권 확보가 어렵다고 판단, 데이터 접근 및 관리의 핵심인 암호화 키에 대한 직접적인 통제를 요구하고 있습니다. 이러한 변화는 데이터 보안 및 개인 정보 보호에 대한 더욱 강력한 규제와 기술적 요구 사항으로 이어지고 있습니다.

데이터 주권의 새로운 정의: 암호화 키 통제

스위스 지방 정부 데이터 보호 책임자 협의체인 Privatim은 최근 정부 기관이 민감한 데이터를 다룰 때 엔드투엔드 암호화를 직접 구현하지 않는 한, 국제적인 서비스형 소프트웨어(SaaS) 솔루션 사용을 자제할 것을 권고했습니다. 특히 Microsoft 365와 같은 플랫폼이 제공하는 암호화 방식은 제공업체가 평문 데이터에 접근할 수 있어 데이터 주권의 핵심인 통제력을 상실하게 만든다고 지적했습니다.

해외 클라우드 기업에 대한 불신 심화

스위스의 이러한 입장은 미국 CLOUD Act와 같은 해외 감시 위험으로 인해 엔드투엔드 암호화가 없는 클라우드 솔루션은 민감한 공공 부문 데이터에 적합하지 않다는 점을 명시적으로 밝혔다는 점에서 의미가 있습니다. 독일, 프랑스, 덴마크, 유럽연합 집행위원회 역시 유사한 우려를 표명하며 해외 클라우드 기업에 대한 불신을 드러내고 있습니다.

지리적 데이터 보관 장소의 한계

Privatim은 지리적 데이터 보관 장소만으로는 해결할 수 없는 위험을 지적하며, 글로벌 기업의 불투명성을 문제 삼았습니다. 데이터가 특정 관할 구역에 저장되어 있어도 미국 CLOUD Act와 같은 역외 적용 법률에 따라 외국 정부의 접근이 가능하며, 소프트웨어 제공업체가 계약 조건을 일방적으로 수정할 수 있다는 점도 지적되었습니다.

기술적 주권 통제 강화 추세

스위스의 입장은 기술적 주권 통제를 강화하는 규제 변화를 가속화하고 있습니다. 많은 국가가 계약적 또는 절차적 보호 장치에 의존하고 있지만, 암호화 키에 대한 통제와 같은 기술적 주권 확보를 위한 움직임이 더욱 강화될 것으로 예상됩니다. 이는 클라우드 서비스 제공 방식에 대한 근본적인 변화를 예고합니다.

엔드투엔드 암호화의 장단점

고객이 직접 암호화 키를 관리하는 엔드투엔드 암호화는 데이터 보안을 강화하지만, 검색 및 인덱싱 기능 제한, 협업 기능 제약, 자동화된 위협 탐지 및 데이터 유출 방지 도구 사용 제한 등 상당한 제약이 따릅니다. AI 기반 생산성 향상 기능 역시 제공업체 측의 데이터 처리에 의존하기 때문에 엔드투엔드 암호화 환경에서는 사용이 불가능합니다. 또한 키 관리 시스템 운영에 따른 추가적인 인프라 및 비용 부담도 발생합니다.

계층화된 접근 방식의 필요성

대부분의 정부는 전면적인 암호화보다는 계층화된 접근 방식을 채택할 것으로 예상됩니다. 기밀 문서, 법적 조사, 국가 안보 관련 자료 등 민감한 데이터는 엔드투엔드 암호화로 보호하고, 일반적인 행정 기록 및 시민 서비스는 통제된 암호화 및 감사 기능을 갖춘 주류 클라우드 플랫폼을 계속 사용하는 방식입니다.

클라우드 컴퓨팅 시장의 변화

만약 스위스의 접근 방식이 국제적으로 확산된다면, 클라우드 기업은 계약적 또는 지역적 보장보다는 기술적 주권 통제를 강화해야 할 것입니다. 이미 Microsoft는 고객 제어 암호화 및 관할 구역별 접근 제한과 관련된 더욱 엄격한 모델을 출시하고 있습니다. 이는 데이터 센터 위치, 지역 지원, 계약 분할 등 기존 방식에 의존하는 정부 클라우드 전략의 변화를 의미하며, 클라이언트 측 암호화, 기밀 컴퓨팅, 외부 키 관리 등이 필수적인 요소로 자리 잡을 것입니다.

데이터 주권 확보 경쟁 심화

결과적으로 클라우드 시장은 데이터 주권에 덜 민감한 상업 고객을 위한 글로벌 클라우드 서비스와 정부와 같이 완전한 통제를 요구하는 고객을 위한 프리미엄 주권 클라우드로 양분될 수 있습니다. 미국 외 클라우드 기업 및 유럽의 신흥 업체는 엄격한 암호화 요구 사항을 충족하는 주권 솔루션을 제공함으로써 시장 점유율을 확대할 수 있습니다.

결론

데이터 주권에 대한 논의는 단순히 데이터 보관 장소를 넘어 암호화 키 통제권 확보로 진화하고 있습니다. 스위스의 사례는 데이터 주권 확보를 위한 기술적 통제의 중요성을 강조하며, 이는 클라우드 컴퓨팅 시장의 변화와 데이터 보안 및 개인 정보 보호 규제 강화로 이어질 것입니다. 정부는 데이터 보안과 활용성 사이에서 균형을 맞추는 동시에, 데이터 주권을 확보하기 위한 노력을 지속해야 할 것입니다.