[김경환 변호사의 IT법] 〈13〉클라우드 해킹 사고, '책임 공유'를 넘어 '기본 보안 의무'로

김경환 법무법인 민후 변호사 디지털 전환의 거센 물결 속에서 기업들은 자산과 데이터를 앞다퉈 클라우드로 이전하고 있다. 유연한 확장성과 비용 절감, 고도화된 정보기술(IT) 인프라 활용이라는 이점은 클라우드를 시대의 필수재로 만들었다. 그러나 최근 클라우드 환경을 노린 사이버 침해 사고가 빈번하게 발생하면서, 그 화려한 이면에 숨겨진 심각한 구조적 모순이 수면 위로 드러나고 있다. 바로 사고 발생 시 모든 법적·재정적 책임을 이용기업에 전가하는 클라우드 서비스 제공업체(CSP)들의 일방적인 행태다. 현재 글로벌 클라우드 시장을 지배하는 주요 거대 기업들은 일명 '책임 공유 모델(Shared Responsibility Model)'을 핵심 원리로 내세운다. 이 모델에 따르면 인프라 자체의 물리적 보안은 CSP가 담당하고, 그 위에서 구동되는 데이터, 계정 관리, 접근 권한 설정 등은 이용기업이 책임진다. 언뜻 들으면 역할과 책임이 명확히 분담된 합리적인 구조처럼 보인다. 하지만 침해 사고가 현실화되는 순간, 이 '공유'라는 단어는 거대 테크 기업들의 가장 완벽한 면책 방패로 변질된다. 클라우드 환경에서의 침해 사고는 대개 접근 권한 설정 오류나 계정 유출, 복잡한 정책 미비 등 경계선 영역에서 발생한다. 이 때 CSP는 “자사의 인프라 자체에는 아무런 결함이 없었으며, 고객사의 관리 소홀과 설정 실수로 인한 사고”라며 신속하게 선을 그어버린다. 문제는 수천 가지에 달하는 보안 옵션을 완벽히 이해하고 운용할 수 있는 전문 인력이 부족한 중소·중견 기업 입장에서, CSP의 내부 작동 원리나 정교한 로그 데이터를 직접 검증할 길이 턱없이 부족하다는 점이다. 정보의 극심한 비대칭성 속에서 이용기업은 사고 원인을 온전히 규명하기도 전에 모든 손실을 홀로 감당해야 하는 처지에 내몰린다. 이러한 모순을 해결하기 위해서는 클라우드 서비스 제공업체에 '최소한의 기본 보안 의무'를 법적·제도적으로 강제하는 패러다임의 전환이 절실하다. 자동차 제조업체가 안전벨트와 에어백을 기본 탑재해야만 도로에 차를 출시할 수 있듯, 클라우드 기업 역시 이용자가 별도로 복잡한 설정을 거치지 않아도 치명적인 유출 사고를 막을 수 있는 '기본 보안(Security by Default)'을 시스템상에 기본 구현해 둘 의무를 가져야 한다. 예를 들어, 외부로 무단 노출되기 쉬운 데이터베이스 설정이나 다중 인증(MFA) 미적용 상태 등 고위험 설정이 발생할...