하이브리드 클라우드 보안에서의 데이터 주권
- 클라우드 데이터 주권은 단순히 데이터의 위치뿐만 아니라, 어떤 법률이 데이터를 규율하는지, 그리고 누가 데이터에 접근할 수 있는지를 다룹니다.
- 보안 도구는 트래픽을 복호화하고, 증거를 복사하며, 로그를 내보내기 때문에 주권 침해의 위험을 초래합니다.
- 검사가 어디에서 이루어지는지, 어떤 정보가 외부로 유출되는지, 로그가 어디에 저장되는지, 그리고 누가 복호화된 데이터에 접근할 수 있는지 물어보십시오.
- 로컬 검사, 거주지 정보를 반영한 로깅, 고객 주도형 키 관리는 주권 요건을 충족시킬 수 있으며, 각 처리 및 접근 경로를 검증할 수 있습니다.
- EU 클라우드 주권 프레임워크와 DORA는 주권을 측정 가능한 조달 및 규정 준수 요건으로 규정하고 있습니다.
하이브리드 클라우드 보안에서 데이터 주권이란, 보안 통제 조치에 의해 생성된 사본 및 메타데이터를 포함한 민감한 데이터가 해당 데이터의 소유 기관과 관련 규제 당국이 허용하는 방식에 의해서만 처리, 저장 및 접근되도록 보장하는 분야입니다. 하이브리드 환경에서는 어떤 보안 기능을 로컬에서 실행하고, 어떤 기능을 서비스 제공업체의 클라우드에서 실행할지 신중하게 결정해야 합니다.
이 문서는 ‘하이브리드 클라우드 보안’ 가이드의 일부입니다. 본 내용은 일반적인 정보일 뿐, 법적 조언이 아닙니다. 관련 요건에 대해서는 법무 및 규정 준수 담당 부서와 확인하시기 바랍니다.
데이터 상주 vs. 데이터 주권 vs. 데이터 현지화
‘데이터 상주’는 데이터가 저장되는 장소를 의미하며, ‘데이터 현지화’는 데이터를 해당 국가 내에 보관해야 한다는 법적 요건을, ‘데이터 주권’은 어떤 법률이 데이터를 규율하고 누가 데이터에 접근할 수 있는지를 의미합니다.
| 용어 | 그 의미는 무엇인가 | 예시 문제 |
|---|---|---|
| 데이터 소재지 | 데이터가 물리적으로 저장되는 위치 | 당사의 고객 데이터베이스는 EU 지역 내에 위치해 있습니까? |
| 데이터 현지화 | 특정 데이터가 해당 국가 내에 보관되어야 한다는 법적 요건 | 이 범주의 데이터는 반드시 국내에 보관되어야 합니까? |
| 데이터 주권 | 어떤 법률이 해당 데이터를 규율하며, 누가 데이터에 대한 접근을 강제하거나 접근 권한을 얻을 수 있는가 | 외국 기관이나 서비스 제공업체 직원이 이에 접근할 수 있습니까? |
데이터의 지역 내 보관은 필수적이지만, 그것만으로는 충분하지 않습니다. 해당 지역에 저장된 데이터라도 다른 곳에 있는 서비스 제공업체 직원이 접근할 수 있거나, 외국 법률에 따라 강제될 수 있으며, 다른 국가의 로그 및 지원 시스템으로 복사될 수도 있습니다.
보안 도구가 어떻게 주권 침해 위험을 초래하는가
보안 도구는 조직의 가장 민감한 데이터를, 대개 복호화된 형태로 처리하여 로그나 증거 자료에 복사해 넣기 때문에 주권상의 취약점을 초래합니다.
주요 노출 지점은 다음과 같습니다:
- 검사. secure web gateway 는 TLS 트래픽을 해독하여 검사합니다. 이 과정에서 게이트웨이가 실행되는 곳이라면 어디에서나 인증 정보, 개인 데이터 및 기밀 문서가 평문 형태로 노출됩니다.
- 증거 사본. DLP 엔진은 조사 담당자가 검토할 수 있도록 정책을 발동시킨 콘텐츠의 사본이나 발췌본을 저장할 수 있습니다.
- 로그 및 원격 측정 데이터. URL, 파일 이름, 사용자 식별 정보 및 기기 세부 정보는 대개 공급업체의 중앙 리전에 위치한 로깅 및 분석 플랫폼으로 전송됩니다.
- 위협 분석. 의심스러운 파일은 클라우드 샌드박스로 전송되어 실행 테스트를 거칠 수 있습니다.
- 지원 액세스. 문제 해결 과정에서 공급업체 엔지니어가 테넌트 데이터를 확인할 수 있습니다.
따라서 클라우드 전용 보안 아키텍처를 활용하면, 조직의 자체 애플리케이션이나 스토리지에서는 데이터를 국경 너머로 전송하지 않더라도 데이터를 국경 너머로 전송할 수 있습니다.
어떤 안보 체제에서든 고려해야 할 네 가지 주권 문제
모든 보안 아키텍처의 주권적 입장을 정의하는 네 가지 질문은 다음과 같습니다. 검사가 어디에서 이루어지는지, 환경에서 어떤 정보가 유출되는지, 로그가 어디에 저장되는지, 그리고 누가 민감한 데이터에 접근할 수 있는지입니다.
1. 검사는 어디에서 이루어지나요?
트래픽이 복호화되는 모든 지점(온프레미스 장비, 클라우드 접속 지점, 브라우저 제어 기능, 엔드포인트 에이전트 등)을 파악하십시오. 온프레미스 검사를 통해 규제 대상 트래픽 흐름 중 현지에서 적용되는 부분을 조직의 자체 인프라 내에 유지할 수 있습니다. 클라우드 서비스로 전달되는 트래픽과 사고 증거의 위치를 별도로 평가하십시오. TLS 검사에 관한 NSA 지침은 평문 데이터가 존재하는 범위를 제한하기 위해 기업 네트워크 내에서 한 번만 검사를 수행할 것을 권장합니다.
2. 환경에서 무엇이 빠져나가는가?
보안 스택이 인프라 외부로 전송하는 항목을 나열해 보십시오: 전체 페이로드, 샌드박싱용 파일 샘플, DLP 사고 증거, 메타데이터, 또는 정책 업데이트만 전송하는 경우 등입니다. 각 항목은 서로 다른 방식으로 제어할 수 있습니다.
3. 로그 파일은 어디에 저장되나요?
로그는 데이터입니다. 액세스 로그는 신원과 활동을 연결해 주며, DLP 로그에는 민감한 콘텐츠 자체가 포함될 수 있습니다. 어떤 로그를 어떤 관할 구역 밖으로 전송할 수 있는지, 그리고 로그를 로컬에 저장한 후 중앙 SIEM으로 선택적으로 전달할 수 있는지 여부를 결정하십시오.
4. 누가 민감한 데이터에 접근할 수 있습니까?
복호화된 콘텐츠나 사고 증거를 열람할 수 있는 주체를 파악하십시오. 관리자, 관리형 서비스 제공업체, 보안 업체의 지원 담당자, 클라우드 제공업체 등이 해당됩니다. 그런 다음 이들 중 누구라도 해당 정보를 공개하도록 강제할 수 있는 법적 체계를 검토하십시오. 예를 들어, 미국의 CLOUD 법은 미국 당국이 데이터가 어디에 저장되어 있든 상관없이 미국에 기반을 둔 제공업체에게 보유하거나 관리하는 데이터를 제출하도록 요구할 수 있음을 명확히 하고 있습니다.
규제 및 조달 동인
GDPR의 데이터 이전 규정, EU 클라우드 주권 프레임워크, DORA 및 부문별 규정은 주권을 단순한 선호 사항에서 필수 요건으로 전환시키고 있다.
GDPR의 데이터 이전 규정. GDPR 제5장에 따라, 유럽경제지역(EEA) 외부로 개인 데이터를 이전하려면 적정성 결정, 표준 계약 조항과 같은 적절한 보호 조치, 또는 특정 예외 조항이 필요합니다. 개인 데이터가 포함된 보안 텔레메트리 데이터도 동일한 규정의 적용을 받습니다.
EU 클라우드 주권 프레임워크. 2025년 10월에 처음 발표된 유럽연합 집행위원회의 클라우드 주권 프레임워크는 클라우드 제공업체를 전략, 법률 및 관할권, 데이터 및 AI, 운영, 공급망, 기술, 보안 및 규정 준수, 환경적 지속가능성 등 8가지 목표에 따라 평가합니다. 제공업체들은 0에서 4까지의 ‘주권 효과성 보증 수준(SEAL)’을 부여받습니다. 2026년 4월, 집행위원회는 최소 SEAL-2(데이터 주권 수준)을 충족하는 4개 제공업체에 최대 1억 8천만 유로 규모의 주권 클라우드 계약을 수여했습니다. 이 프레임워크는 EU 기관을 위해 마련되었지만, 모든 구매자에게 주권 요건에 대한 실질적인 기준을 제시합니다.
금융 기관을 위한 DORA. ‘디지털 운영 복원력법(Digital Operational Resilience Act)’은 2025년 1월 17일부터 시행되고 있습니다. 이 법은 적용 대상 금융 기관이 ICT 제3자 위험을 관리하고, ICT 서비스 계약 목록을 유지하며, 탈퇴 및 집중 위험에 대한 대비책을 마련할 것을 요구합니다. 은행의 트래픽을 처리하는 보안 서비스는 해당 제도의 적용을 받는 ICT 서비스에 해당합니다.
산업 분야 및 국가별 규정. 의료, 국방, 공공 부문 및 핵심 인프라 기관은 종종 추가적인 현지화 또는 인증 요건을 충족해야 합니다.
은행업용 하이브리드 클라우드 아키텍처
은행들은 일반적으로 자체 인프라에 암호 해독 기능과 로그를 보관하는 한편, 원격 근무 직원 및 SaaS를 위해 지역 제한이 있는 클라우드 서비스를 이용합니다.
은행은 주권 문제를 명확히 보여줍니다. 은행은 클라우드 SaaS와 원격 근무가 필요하지만, 동시에 엄격한 감독 기준에 따라 고객의 금융 데이터를 보관해야 합니다. 전형적인 하이브리드 패턴은 다음과 같습니다:
- 현지 처리가 필요한 경우, 은행이 통제하는 집행 절차에 따라 지점 및 본사 간의 업무 흐름을 규율하고, 클라우드 기반 서비스 및 증거 자료 저장은 별도로 평가해야 합니다.
- 원격 근무 직원의 경우, 승인된 지역으로 제한된 클라우드 접속 지점을 사용하십시오.
- 검사 기록과 DLP 증거 자료는 해당 국가 내에 보관하고, SOC에서 필요로 하는 자료만 전달합니다.
- 검증 인증 기관에는 고객이 관리하는 키와 하드웨어 보안 모듈을 사용하십시오.
- 감사관들이 로컬 및 클라우드 환경에서의 정책 적용이 일관되게 유지되도록 하나의 정책 세트를 관리하십시오.
- DORA 정보 등록부에 보안 공급업체를 등재하고, 이에 퇴출 계획도 포함시키십시오.
보험사, 결제 기관, 투자 회사에도 동일한 기준이 적용됩니다.
주권을 뒷받침하는 아키텍처 패턴
7가지 아키텍처 패턴을 활용하면 클라우드 서비스를 포기하지 않으면서도 대부분의 주권 요구 사항을 충족할 수 있습니다.
| 패턴 | 다루는 내용 |
|---|---|
| 지역 안전 점검 | 복호화된 웹 페이로드는 사용자의 인프라에 남아 있지만, 클라우드 기반 서비스로 전달되는 트래픽은 그렇지 않습니다. |
| 지역별 또는 국내 접속 지점 | 승인된 관할 구역으로 제한되는 클라우드 검사 |
| 레지던시를 고려한 로깅 | 로그는 로컬에 저장되며, 선택적으로 전달됩니다. |
| 고객이 직접 관리하는 키 및 HSM 통합 | 검사 증명서 및 암호화에 대한 통제 |
| 전용 출구 IP 주소 | 트래픽은 해당 조직이 소유한 주소에서 발신되며, 관할권 및 IP 평판 요건을 충족합니다. |
| 온프레미스 샌드박싱 | 환경을 벗어나지 않고 의심스러운 파일을 분석 |
| 단일 정책 엔진 | 적용 시점에 관계없이 데이터를 일관되게 처리 |
보안 업체를 위한 주권 관련 점검 목록
후보 목록을 선정하기 전에 이 체크리스트를 활용하여 보안 업체의 주권 관련 주장을 검증하십시오.
- 주어진 트래픽 등급에 대한 모든 검사를 당사 인프라에서 실행할 수 있습니까?
- 기본적으로 어떤 데이터 요소들이 우리 환경을 벗어나며, 각각 비활성화할 수 있나요?
- 로그, 증거 자료 및 원격 측정 데이터는 어떤 국가에 저장되나요?
- 어떤 공급업체 직원이 테넌트 데이터에 접근할 수 있으며, 어디서, 어떤 승인 절차를 거쳐 접근할 수 있습니까?
- 판매자 및 그 하위 처리자에게는 어느 관할권의 법률이 적용됩니까?
- 자체 HSM이나 키 관리 시스템을 사용할 수 있나요?
- 공급업체의 클라우드에 접속할 수 없게 되면 어떤 기능이 계속 작동하나요?
- 어떤 인증이 적용됩니까(예: FedRAMP, IRAP, BSI C5, SOC 2 Type II, CSA STAR)?
스카이하이가 데이터 주권을 어떻게 지원하는가
Skyhigh는 필요한 경우 웹 검사 및 검사 키를 고객 인프라에 보관함으로써 데이터 주권을 지원합니다. 데이터 보호 사고 관련 증거 자료는 Skyhigh 클라우드에 보관되며, 이는 귀사의 데이터 주권 요구 사항과 관련하여 별도로 검토해야 할 사항입니다.
Skyhigh Hybrid SSE Mesh는 규정 준수가 요구되는 경우 데이터 플레인을 물리적으로 온프레미스에 유지합니다. SSL/TLS 복호화 및 웹 검사는 Secure Service Gateway에서 로컬로 실행되므로, 웹 페이로드는 고객사의 인프라 내에서 복호화됩니다. 데이터 보호, remote browser isolation, AI 보안 제어, CASB 및 데이터 보안 상태 관리를 포함하여 Skyhigh 클라우드를 통해 적용되는 서비스는 게이트웨이로부터 관련 트래픽을 수신하므로, 해당 트래픽 흐름을 고객사의 데이터 상주 및 주권 요구 사항에 맞춰 범위를 설정하십시오. 로컬 ZTNA는 조직 자체의 게이트웨이에서 실행됩니다. 선택한 제품 및 버전에 대해 검사 키 보호, HSM 통합 여부, 온프레미스 샌드박싱 지원 여부를 확인하십시오. 전용 아웃바운드 IP 및 소스 IP 고정 기능은 클라우드에서 검사되는 트래픽의 아웃바운드를 제어하는 데 도움이 되지만, 이 기능만으로는 콘텐츠가 처리되는 위치를 확정할 수는 없습니다(Skyhigh Security). 또한 플랫폼의 클라우드 레지스트리는 데이터 거주지, 법적 조건 및 기타 속성에 따라 클라우드 서비스를 평가하므로, 정책을 통해 사용자를 규정 준수 서비스로 유도할 수 있습니다.
출처
- 유럽연합. 규정 (EU) 2016/679(일반 데이터 보호 규정), 제5장. https://eur-lex.europa.eu/eli/reg/2016/679/oj
- 유럽연합. 규정 (EU) 2022/2554 (디지털 운영 복원력법). https://eur-lex.europa.eu/eli/reg/2022/2554/oj
- 유럽연합 집행위원회. “주권 클라우드 프레임워크 설명” (2026년 6월 1일). https://commission.europa.eu/news-and-media/news/sovereign-cloud-framework-explained-2026-06-01_en
- 유럽연합 집행위원회. “집행위원회, 전략적 조달을 통해 클라우드 주권 강화” (2026년 4월 17일). https://commission.europa.eu/news-and-media/news/commission-advances-cloud-sovereignty-through-strategic-procurement-2026-04-17_en
- 미국 법무부. CLOUD Act 관련 자료. https://www.justice.gov/criminal/cloud-act-resources
- NSA. 전송 계층 보안(TLS) 검사에서 발생하는 위험 관리 (2019년 11월). https://media.defense.gov/2019/Nov/18/2002212783/-1/-1/0/MANAGING%20RISK%20FROM%20TLS%20INSPECTION_20191106.PDF
- Skyhigh Security. “Skyhigh Hybrid SSE Mesh를 활용한 시만텍 엣지 Secure Web Gateway 현대화” (2026년 7월 15일). https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
- Skyhigh Security. “Skyhigh SSE 플랫폼으로 하이브리드 도입이 한층 더 쉬워졌습니다” (2024년 10월 3일). https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html