[김경환 변호사의 IT법] 〈13〉클라우드 해킹 사고, ‘책임 공유’를 넘어 ‘기본 보안 의무’로

클라우드 기반 인프라에서 해킹 사고가 반복적으로 발생하면서, 단순히 사용 기업과 서비스 제공자 간의 ‘책임 공유’ 모델만으로는 실질적인 피해 예방이 충분치 않다는 우려가 커지고 있다. 김경환 변호사는 최근 기고에서 한국 내외의 주요 클라우드 해킹 사고 사례와 함께, 기존 논의가 ‘책임 분담 표’로 환원되는 데 그치고 있음을 비판적으로 짚는다. 그에 따르면 국내에서 클라우드 보안 위협에 대해 논의가 활발해진 것은 비교적 최근의 일이고, 아직까지는 고객사의 책임 또는 CSP(Cloud Service Provider) 책임처럼 이분법적으로 돌아가는 경향이 강하다. 이 문제는 단순한 기술적 사안이 아니라 법적, 경제적, 정책적 함의를 모두 갖고 있으며, 실제 미국, 유럽 등의 규제도 점차 ‘기본 보안 의무의 명확화’로 방향을 전환하는 추세다.

해외에서는 이미 AWS S3 버킷 데이터 유출, 마이크로소프트 클라우드에서의 인증정보 노출 등으로 인해 기업 데이터 유실이나 개인정보 대량 유출 사건이 사회적 파장으로 번진 바 있다. 미국의 경우 2025년 개정된 NIST(미국표준연구소) 클라우드 보안 가이드라인은 기업이 클라우드 사용에 나설 때 CSP 선정부터 운영, 정보 삭제에 이르기까지 매우 구체적인 보안 조치 이행을 권고한다. 또 EU의 GDPR(일반개인정보보호법)과 DORA(디지털 운영회복력법) 등은 클라우드 사업자와 고객 모두의 책임을 구체적으로 연계하며 시정 명령 및 과징금 부과 기준을 세분화했다. 글로벌 IT 거버넌스가 ‘책임 분리’를 넘어 ‘최소수준의 보안 의무’ 명문화로 이동하고 있음을 보여주는 흐름이다.

국내 현실은 다소 온도 차가 있다. 대형 클라우드 사업자(예: 네이버클라우드, KT, NHN)은 자체적으로 SOC(Service Organization Control) 인증, 금융클라우드 보안 등 고도화된 규정과 프로세스를 구축해왔으나, 다수 중소기업 및 공공기관에서는 사전 보안 평가, 클라우드 보안 인증(CSAP) 등 제도적 기준만 준수하는 것으로 운영이 끝나는 경우가 잦다. 이는 서비스 이용 기업 자체 보안 역량의 불균형이 주요 사고 배경임을 시사한다. 최근 정부의 클라우드 보안 강화 정책 역시 ‘외주 공동책임’이란 원칙을 제시하지만, 실제로는 법적 분쟁에서 책임소재가 불분명해 피해 기업이 보상을 받지 못하는 사례도 여전하다. 특히 클라우드 서비스의 특성상 다수의 기업이 물리적으로 같은 자원을 공유하는 구조라 한 곳의 사고가 연쇄적으로 파급될 위험성은 국내외 동일하게 지적되고 있다.

김 변호사는 현행 논의의 한계를 지적하며, 기존의 ‘책임 분할’ 모델에서 벗어나 모든 클라우드 이해관계자의 ‘기본 보안 의무’를 구체적으로 입법·정책적으로 명확히 설정해야 한다고 조언한다. 단순히 이용약관이나 계층별 책임 표로 끝나는 것이 아니라, 최소한의 암호화, 접근제어, 다중인증 도입, 백업·복구 테스트 내역 보유, 공급망 리스크 점검 등을 실질적 의무로 규정해야 한다는 것이다. 이와 더불어 사고 발생 시 신속 알림, 사고 내역 투명 공개, 분쟁해결 프로세스 및 피해 구제 기준 마련 등이 핵심 과제로 꼽힌다.

미국의 대표적 정책 변화는 클라우드 ‘책임 분담’의 실효성이 한계에 달했음을 보여준다. 연방정부는 이미 ‘Zero Trust Architecture(제로트러스트 아키텍처)’ 원칙을 각 기관에 강제화하고, 이를 미이행 시 실질적 불이익을 부과하고 있다. 즉, 공급자-수요자 모두가 기술 수준과 관계없이 ‘기본 이상’을 반드시 이행해야 한다는 점을 법제화해 시장 내 예외를 허용하지 않는 추세다. EU 역시 2026년부터 모든 금융기관에 대한 클라우드 의존도 심사와 ‘최소 보안 프레임워크’를 의무화하며, 하위 위탁업체에도 동일한 책임을 적용한다.

한국 역시 디지털정부·금융을 중추에 두고 있기 때문에, 시장의 신뢰 회복과 글로벌 사업자와의 경쟁력을 확보하려면 ‘체크리스트식 준수’보다는 실질적 위험관리와 피해신고, 사고공유와 보상 체계까지 일원화된 거버넌스가 필수적이다. 클라우드 보안 사고가 대규모 사회적·경제적 파장으로 확산되는 현 단계에서, 각 이해관계자 모두가 더 이상 책임 ‘떠넘기기’ 논쟁에 머물러선 곤란하다.

비즈니스, 정부, 공급자, 법조계가 함께 ‘최소·기본 보안 규정’을 구체화해 시행하는 동시에 불이행시 명확한 제재가 있는 체계로의 개편이 요구된다. 기술 진입장벽이 낮아진 만큼, 피해와 후속비용은 오히려 커진다는 점을 간과해선 안 된다. 글로벌 규제의 선도 사례를 참조해 한국도 실효성 있는 법·시스템 마련에 속도를 내야 할 시점이라는 점을 다시 강조한다.

— 이한나 ([email protected])