내 금고에 넣고, 내 열쇠로 잠근다

귀중품을 은행에 맡긴다고 해봅시다. 방법이 두 가지 있습니다.

하나는 창구에 물건을 넘기는 겁니다. 은행이 알아서 어딘가 보관하고, 필요할 때 꺼내 줍니다. 편합니다. 대신 그 물건이 지금 어느 지점 어느 방에 있는지 나는 모릅니다.

다른 하나는 대여금고입니다. 금고 칸은 은행 건물 안에 있지만, 열쇠는 내가 가집니다. 은행 직원도 내 열쇠 없이는 그 칸을 열지 못합니다.

둘 다 은행을 쓰는 건 똑같습니다. 그런데 열쇠를 누가 쥐느냐가 다릅니다. 이번 편은 이 차이에 대한 이야기입니다.

점검 결과도 어딘가에는 남는다

앞선 4편에서 클라우드 환경을 아무것도 설치하지 않고 점검하는 방법을 다뤘습니다. 그런데 점검을 하고 나면 결과물이 생깁니다. 어느 서버에 어떤 구멍이 있는지, 어떤 계정에 권한이 과하게 붙어 있는지 적힌 문서입니다.

이 문서는 회사의 약점을 정리해 놓은 지도입니다. 그래서 EU 고객, 특히 금융이나 공공 쪽에서는 계약 전에 꼭 이걸 묻습니다. “그 지도는 어디에 보관됩니까?”

창구에 맡기는 방식과 금고를 빌리는 방식

추정 점검 서비스가 결과를 자기 서버에 모아 두는 건 흔한 구조입니다. 잘못된 방식이라는 뜻이 아닙니다. 다만 그 순간 질문이 하나 더 붙습니다. 그 서버는 어느 나라에 있고, 그 회사 직원은 내 지도를 볼 수 있느냐는 질문입니다.

사실 SecurityHero RMF는 대여금고 쪽을 택했습니다. 스캔 결과와 리포트는 고객이 지정한 S3 버킷에 저장됩니다. S3는 AWS의 파일 보관소입니다. 그리고 그 파일은 고객이 소유한 KMS 키로 암호화됩니다. KMS는 AWS의 열쇠 보관 서비스이고, 이렇게 고객이 자기 열쇠를 쓰는 방식을 BYOK(Bring Your Own Key, 열쇠는 네가 가져와라)라고 부릅니다.

정리하면 이렇게 갈립니다. 오른쪽 칸의 ’열쇠 주인’만 봐도 됩니다.

사실 데이터가 고객의 저장소 경계를 벗어나지 않기 때문에, 이 구조는 DORA와 NIS2가 요구하는 데이터 통제 요건에 대응하는 근거가 됩니다.

“국경을 넘지 않는다”는 말의 진짜 뜻

사실 EU에는 적정성 결정이라는 제도가 있습니다. EU가 “저 나라는 개인정보를 우리만큼 잘 지킨다”고 인정해 주는 결정입니다. 인정받은 나라로는 데이터를 보내기가 한결 수월해집니다. 한국과 일본은 이 결정을 받은 나라입니다. 그래서 EU 진출 여건이 그만큼 유리합니다.

추정 그런데 가장 단순한 답은 따로 있습니다. 애초에 안 내보내는 것입니다. 적정성 결정을 근거로 설명하려면 상대 회사의 법무팀을 설득해야 합니다. 반면 “데이터가 고객님 계정 밖으로 나가지 않습니다”는 설득할 게 없습니다. 나가지 않았으니 어느 국경을 넘었는지 따질 일도 없습니다.

헷갈리는 말 정리

짚고 넘어갈 것

• 이 글은 법률 자문이 아닙니다. NIS2를 비롯한 규제의 적용 여부와 해석은 나라마다, 업종마다, 회사 규모마다 다릅니다. 실제 판단은 자격 있는 법률 전문가와 하셔야 합니다.
• RMF 리포트는 인증서가 아닙니다. 규제 대응에 쓰는 기술 근거자료입니다. 인증서 발급이나 사고 신고(NIS2 제23조 등), 법적 대리는 여기에 포함되지 않습니다.
• BYOK가 모든 규제 질문을 끝내주지도 않습니다. 저장 위치와 열쇠 소유는 데이터 통제의 한 축일 뿐입니다. 접근 기록을 어떻게 남길지, 보관 기간을 얼마로 잡을지는 각 회사가 정책으로 정해야 하는 몫입니다.
• 이 글의 제품 관련 서술은 공개된 제품 사양의 범위 안에서만 썼습니다. 실제 구성은 고객 환경에 따라 달라질 수 있습니다.

---

시리즈 목차

1. EU에 물건 팔려면 왜 보안 서류를 내야 하나
2. 리스크 평가라는 말이 어렵게 들리는 이유
3. 고칠 게 3천 개인데 뭐부터 하나
4. 아무것도 설치하지 않고 어떻게 점검하나
5. “데이터가 국경을 넘지 않습니다”가 무슨 뜻인가 ← 지금 이 글
6. 서류 하나로 여러 나라를 상대하기