법무법인 민후 김경환 대표변호사는 이번 기고문에서 기업의 클라우드 이용이 빠르게 확대되는 가운데, 해킹 등 사이버 침해 사고가 발생했을 때 클라우드 서비스 제공업체(CSP)가 ‘책임 공유 모델’을 근거로 이용기업에 과도한 책임을 부담시키는 구조적 문제를 짚었습니다.

현행 책임 공유 모델에서는 클라우드 인프라의 물리적 보안을 CSP가 담당하고, 데이터·계정·접근 권한 등의 관리는 이용기업이 책임지는 것이 일반적입니다. 그러나 실제 침해 사고는 접근 권한 설정 오류, 계정 유출, 보안정책 미비 등 양측의 책임 경계가 불분명한 영역에서 주로 발생합니다. 특히 전문 인력과 기술적 정보가 부족한 중소·중견기업은 CSP의 내부 작동 구조와 정교한 로그 데이터를 직접 검증하기 어려워, 사고 원인을 충분히 규명하지 못한 채 손실을 부담할 가능성이 큽니다.

김 변호사는 이러한 정보 비대칭과 책임 불균형을 해소하기 위해 CSP에 ‘최소한의 기본 보안 의무’를 법적·제도적으로 부과해야 한다고 강조했습니다. 이용자가 복잡한 설정을 별도로 하지 않더라도 치명적인 정보 유출을 방지할 수 있도록 ‘기본 보안(Security by Default)’을 시스템에 구현하고, 외부 노출 위험이 큰 데이터베이스 설정이나 다중 인증(MFA) 미적용 등 고위험 상태를 자동으로 차단하거나 즉시 경고하도록 해야 한다는 것입니다.

아울러 침해 사고를 효과적으로 분석할 수 있는 CSP가 자신의 과실이 없음을 증명하도록 입증책임을 강화하고, 이상징후 탐지 시 신속한 통지 의무와 고객의 손해 확대를 방지할 의무도 함께 마련해야 한다고 제언했습니다.

김경환 변호사는 클라우드가 단순한 외부 서버를 넘어 국가 산업을 뒷받침하는 핵심 인프라로 자리 잡은 만큼, ‘책임 공유’가 서비스 제공자의 면책 수단으로 활용되어서는 안 된다고 강조했습니다. 이용기업을 실질적으로 보호하고 안전한 클라우드 생태계를 조성하기 위해서는 CSP의 책임 범위를 합리적으로 정립하고 기본 보안 기준을 제도화하는 정책적 전환이 필요하다는 내용입니다.

기고문 전문은 우측 상단의 [기사바로보기]를 통해 확인하실 수 있습니다.