-
상생파트너 ㅣ 대기업·공기업
대형 클라우드, 기본제공 보안 미흡 주의 필요
개인정보위, 아마존·MS·네이버에 고객 안내 개선권고
- 기사입력2025-06-12 16:00
이창호 기자 (xg139@junggi.co.kr) 다른기사보기
-
대형 클라우드 서비스들이 기본으로 제공하는 보안조치에 법령상 필수적인 조치 중 일부가 빠져 있는 것으로 나타났다.개인정보보호위원회는 3대 클라우드 서비스 제공사업자에 대한 사전 실태점검 결과, 고객안내에 대한 개선을 권고했다고 12일 밝혔다.이번 사전 실태점검은 클라우드를 기반으로 개인정보처리시스템을 운영하는 이용사업자들이 클라우드 상 안전조치 기능 미비로 인해 개인정보 보호법 위반 또는 개인정보 유출 위험에 노출되는 것을 선제적으로 예방하기 위해 진행됐다.점검 대상은 아마존(AWS), 마이크로소프트(Azure), 네이버클라우드 등 3개사로, 국내 약 65만개 사업자가 이들의 클라우드 서비스를 사용 중이다.점검 결과, 점검대상 클라우드 서비스들은 보호법상 필수 안전조치 기능 자체는 제공하고 있었으나, 일부 기능의 경우 이용사업자가 추가설정을 해야 하거나, 별도 솔루션을 구독해야만 하는 경우도 있어 이용사업자들에게 적극적인 안내가 필요했다.예를 들어 점검대상 서비스들은 접속 아이피 주소 대역 제한 기능을 기본으로 갖추고 있지만, 실제 이용사업자가 자사 환경에 맞게 허용·제한할 아이피 주소 대역을 추가로 설정해야만 한다. 2차 인증 기능의 경우 대개 기본 탑재돼 있으나, 일부 추가설정이 필요한 부분이 있어 이용사업자의 주의가 필요한 상황이다.또, 점검대상 클라우드 서비스들은 기록보존 기능 자체는 기본으로 제공하지만 보존기간이 대개 수십 일 수준으로 단기에 그치고 있었다. 이용사업자가 법이 정한 1~3년의 보존의무를 이행하려면, 기록을 별도로 장기 보관하는 기능을 자체 구현하면서 필요한 별도 저장용량을 구입하거나, 또는 클라우드사업자가 제공하는 별도 기록 관리 솔루션을 구독해야 한다.그 외 암호 키 관리, 악성프로그램 방지 등 기능도 별도 솔루션으로 구독해야 하는 경우가 다수 있었다.개인정보위는 클라우드사업자 3사를 대상으로 이들이 제공하는 안전조치 기능 중 추가 설정 또는 별도 솔루션 구독이 필요한 기능의 존재 및 설정방법을 개발문서를 통해 이용사업자에게 명확히 알릴 것을 개선권고했다. 또 타 클라우드 사업자 및 이용사업자들을 대상으로도 한국인터넷진흥원 등 전문기관과 함께 적극적으로 계도해 나갈 계획이다. 중기이코노미 이창호 기자
<저작권자 ⓒ 중기이코노미. 무단전재 및 재배포 금지>
