클라우드 사업자와 이용자 간 표준계약서 작성 | 나라경제

KDI 경제교육·정보센터

Economic Information and Education Center

발행물

경제정책해설

클라우드 사업자와 이용자 간 표준계약서 작성

서성일 미래창조과학부 SW진흥과장 2015년 11월호

경제정책해설-서성일.pdf

[미래창조과학부] 클라우드 서비스 활성화를 위한 정보보호대책

클라우드컴퓨팅서비스는 컴퓨팅 자원의 사용을 ‘자체 구축’에서 ‘빌려쓰는 방식’으로 전환하는 ICT 패러다임 변화의 중심에 서 있다. 전기 사용과 비유하자면 과거 집집마다 소형 발전기를 통해 자가발전을 했던 환경에서 대규모 발전소로부터 일정량의 전기를 공급받고 이용한 만큼 비용을 지불하는 효율적인 형태로 변화한 것이다.

지난 9월 28일 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」(이하 「클라우드컴퓨팅 발전법」)이 시행됐다. 이 법 시행을 계기로 국내 클라우드컴퓨팅산업이 활성화될 것으로 보이며 아울러 정보유출 등 정보보호에 대한 우려도 높아지고 있는 게 사실이다.

글로벌 클라우드 시장규모는 2019년 1,822억달러가 예측되는 등 연평균 16.9% 성장률로 급성장하고 있으며, 이에 따라 미국 등 주요 선진국은 공공 부문 선도도입 등을 통해 자국의 클라우드산업 활성화 정책을 적극 추진하는 한편, 클라우드컴퓨팅서비스 제공자(이하 클라우드 사업자)의 시스템에 저장되는 정보에 대한 보호가 중요해짐에 따라 여러 가지 정보보호정책도 병행해 추진하고 있다.

‘클라우드 정보보호 기준’ 마련, 정보보호 조치 현황 자율 공개

우리나라는 민간 차원에서 보안이 우수한 클라우드컴퓨팅서비스를 개발ㆍ확산하고 있으나 클라우드 사업자의 정보보호 수준을 객관적으로 확인할 수 없고, 유출사고 발생 시 대응체계 및 이용자 보호제도 미흡 등으로 보안사고에 대한 이용자 불안이 상존하고 있는 상황이다. 이를 해소하기 위해 정부는 지난 9월 9일 클라우드 서비스 활성화를 위한 정보보호대책(이하 클라우드 정보보호대책)을 발표했다. 이번 대책은 클라우드 사업자의 정보보호 수준을 높이고 이용자의 안전한 이용환경을 조성하고자 클라우드 정보보호제도를 정착하며 관련 산업을 육성하는 등 정부 차원의 다양한 정책과 추진계획을 담고 있다.

우선 클라우드 사업자의 정보보호 수준 강화다. 클라우드컴퓨팅서비스는 제3자의 컴퓨팅 자원을 빌려서 사용하는 서비스 특성으로 인해 클라우드 사업자에게 정보를 위탁ㆍ보관해야 한다. 이에 따른 막연한 불안감은 클라우드 서비스의 국내 확산에 가장 큰 장애요인으로 작용하고 있다. 따라서 클라우드 사업자의 정보보호 수준 향상 등 정보보호 능력을 제고하고 정보유출 등 침해사고에 대한 대응체계를 선제적으로 마련하는 것이 매우 중요하다.

정부는 국내 클라우드 사업자가 정보보호를 위해 준수해야 할 관리적ㆍ기술적ㆍ물리적 조치사항 등을 포함하는 ‘클라우드 정보보호 기준’을 올해까지 마련할 예정이다. 특히 사업자가 클라우드 정보보호 기준에 준하는 정보보호 조치 현황을 자율적으로 공개하도록 권고함으로써 이용자에게 안전한 서비스를 선택할 수 있는 기회를 제공해줄 것으로 기대된다. 또한 침해사고가 발생하지 않도록 미연에 예방하는 것이 중요한 만큼 정보보호 컨설팅 전문기관(2015년 18개)을 활용해 클라우드 사업자의 정보보호 수준을 상시적으로 진단하고, 정보보호 컨설팅을 통해 개선하도록 다양한 지원 정책도 병행 추진한다.

이용자 정보를 제3의 기관에 보관하는 ‘클라우드 임치제도’ 도입

둘째, 클라우드 이용자의 정보보호제도 정착이다. 클라우드컴퓨팅서비스 이용자는 서비스에 문제가 발생할 경우 얼마나 보호받을 수 있을 지에 대한 우려가 적지 않다. 이를 해결하기 위해 정부는 「클라우드컴퓨팅 발전법」상에 서비스 가입부터 이용 종료 시까지 이용자 보호조항을 규정하고 있다. 주로 이용자의 동의 없이 제3자에게 정보제공 금지, 정보유출 등 사고발생 시 이용자에게 통지, 서비스 종료 시 이용자 정보의 반환 및 파기, 손해배상 등의 내용을 담고 있다.

또한 이러한 이용자 정보보호 조항들이 잘 지켜질 수 있도록 다양한 정보보호제도를 추진한다. 먼저 클라우드컴퓨팅서비스의 갑작스런 중단으로 인한 중요한 정보 또는 개인정보의 손실을 방지하기 위해 이용자 정보를 제3의 기관에 보관하는 클라우드 임치(escrow)제도를 도입한다. 클라우드 임치제도는 기존에 운영되고 있는 기술 임치제도와는 달리 이용자의 데이터까지 임치할 수 있으며, 서비스 중단이 장기화되는 것에 대비해 일정 기간 동일한 서비스 환경도 제공할 수 있어야 한다. 이를 위해선 클라우드 서비스 이용자가 다른 클라우드 사업자의 서비스로 변경하는 경우에도 안정적으로 이동할 수 있도록 서비스 간 상호운영성 확보가 우선적으로 이뤄져야 한다.

정부는 침해사고 발생에 따른 이용자 피해를 최소화하기 위한 제도적 장치로서 클라우드컴퓨팅서비스를 도입하는 경우 이용자가 사고 발생에 따른 불이익을 받지 않도록 표준계약서를 보급할 계획이다. 또한 사고가 발생하더라도 이용자가 적절한 피해보상을 받을 수 있도록 클라우드 사업자의 보증보험 가입을 유도하는 인센티브 제도를 도입하는 등 클라우드 이용자를 위한 다양한 정보보호제도들이 빠른 시일 내에 정착되도록 다양한 방안을 마련할 것이다.

셋째, 국내 정보보호기업의 클라우드컴퓨팅 시장 진출 확대다. 현재 국내 클라우드 정보보호기술 개발 수준은 초기단계이기 때문에 해외 글로벌 기업들이 국내 시장을 잠식할 우려가 높다. 특히 핵심기술에 대한 해외 의존도는 매우 심화될 것으로 예상되며, 클라우드컴퓨팅에서 가장 중요한 가상화기술은 이미 Vmware, MS 등 외국계 기업들이 독식한 지 오래다.

이에 정부는 클라우드컴퓨팅서비스 환경에 적합한 정보보호 핵심기술을 개발하고 맞춤형 전문인력과 정보보호 전문기업을 육성해 나갈 계획이다. 특히 클라우드컴퓨팅서비스 침해사고에 실시간으로 대응하는 등 클라우드 정보보호기술 개발에 집중 투자할 것이며, 우수기술의 신속한 활용 및 확산을 위해 시범ㆍ실증사업, 해외진출 지원 등을 적극적으로 추진할 방침이다.

이번에 발표된 클라우드 정보보호대책을 통해 피해예방 체계를 구축하는 등 클라우드 이용자 보호제도가 정착되고, 사업자의 정보보호 수준이 높아지는 등 클라우드컴퓨팅서비스에 대한 신뢰성이 강화될 것으로 전망된다. 또한 이를 통해 안전하게 클라우드 서비스를 이용할 수 있는 이용환경이 조성되면 국내 클라우드산업이 선진국 수준으로 도약할 수 있는 계기가 마련돼 우리나라가 ICT 강국에 이은 클라우드 강국으로 나갈 수 있는 성장동력을 확보할 수 있을 것으로 기대된다.

목록보기