.jpg)
.jpg)
미래부, 클라우드상 망분리와 개인정보보호 이슈 등 추후 논의 후 입법예고
[보안뉴스 김경애] ‘클라우드컴퓨팅 발전 및 이용자보호에 관한 법률’이 지난 9월 28일부터 시행됐지만 아직까지 현실에서의 클라우드 산업 활성화에 있어서는 많은 문제들이 산적해 있다. 이에 미래부는 23일 팔래스호텔에서 클라우드컴퓨팅발전법의 주요 내용과 궁금한 사항에 대한 질의응답 시간을 마련했다.
Q. 공정한 거래질서와 이용자 보호를 위해 클라우드법 제24조에 명시된 표준계약서를 클라우드 사업자가 수정하거나 가감할 수도 있나?
표준계약서는 권고 취지로 강제사항이 아니다. 따라서 표준계약서의 큰 취지가 변하지 않는 이상 사업자 특성에 맞춰 수정하는 건 가능하다.
Q. 클라우드 서비스를 금융사가 이용하는데 있어 망분리에 대한 이슈는?
망분리는 물리적 망분리만 인정할 것인지 논리적 망분리도 인정해 줄 것인지를 두고 이슈가 있는데, 이 부분은 좀더 논의 후 정리해야할 사항이다.
Q. 클라우드컴퓨팅발전법 제27조에는 클라우드컴퓨팅서비스 제공자는 이용자와의 계약이 종료됐을 때 이용자에게 활용가능한 상태로 반환해야 한다고 명시하고 있다. 이는 어떤 상태를 의미하나?
암호화를 했을 경우, 이를 해제해서 사용할 수 있도록 하는 등 이용자가 데이터를 활용할 수 있을 정도라고 보면 된다.
Q. 제28조 이용자 정보의 임치의 경우 반드시 사업자가 임치해야 하나?
이 조항의 취지는 클라우드컴퓨팅 서비스 제공자의 갑작스런 파산 등에 따른 서비스 중단, 정보의 유실 등에 대비하는 차원이라고 볼 수 있다. 따라서 강제조항은 아니며 사업자는 이를 거부할 수 있다.
Q. 보안이나 개인정보에 관한 국내 CC인증제도 가이드라인 만들고 있는 걸로 알고 있다. 클라우드 서비스 제공자 입장에서 이 부분은 중요한 요소인데 어떤 기준을 참고했나?
국내의 특수성을 고려해서 ISMS 제도와 ISO27001 정보보호 기준 등을 참고하고 있으며, 좀더 면밀히 검토해서 조만간 세부적인 정보보호기준을 마련할 계획이다.
Q. 개인정보보호법과 정통망법상 규정된 개인정보보호 조항이 클라우드 산업의 발전을 저해하는 요소가 있다는 지적도 있다. 특히, 해외에 데이터센터를 둔 기업은 해외 이전시 소비자에게 별도의 동의를 받아야 하는데, 번거롭고 비용이 발생하는 등 저해요소로 작용된다. 이 부분에 있어 범부처 간에 의견조율은 있는지?
클라우드컴퓨팅발전법 통과 후, 개인정보보호 이슈가 많이 제기된 상태라 현재로서는 답변이 어렵다. 개인정보보호와 관련된 부분은 행자부와 방송통신위원회와 향후 논의할 계획이다.
Q. 이용자 정보의 개념에 대해 보다 구체적으로 설명한다면?
이용자 정보는 음악, 개인정보, 개인문서, 영업비밀 등 모든 정보가 해당되며, 기존의 개인정보만을 규율하는 정통망법과 개인정보보호법과의 규율대상에서 차이가 있다. 따라서 패스워드와 로그인 정보는 클라우드법에서 이용자 정보에 해당하지 않는다.
Q. 클라우드컴퓨팅발전법에서 정보보호기준 입법예고는 언제쯤인지?
정보보호기준안을 올해 말까지 완료할 계획이다. 내년 상반기 공청회를 거쳐 다양한 의견을 수렴한 후 입법예고할 방침이다.
Q. 법 제10조에 있는 세제 지원은 어떤 형태로 진행되나?
국가와 지방자치단체는 클라우드서비스 발전과 이용 촉진을 위해 조세특례제한법과 지방세틀례제한법 등에서 고지하는 것만 지원이 가능하다. 따라서 현재는 세제 혜택이 없는 상황이다. 하지만 내년쯤 필요한 세제 지원 방안을 추진할 계획이며, 현재는 클라우드 활성화를 위해 생산성 향상 기술 부분을 포함시키려 하고 있다.
Q. 시행령 25조에 따르면 클라우드 서비스 중단 시 통지하게 돼 있는데 당사자간의 계약으로 합의할 수 있나?
해당 조항은 이용자 보호 차원에서 통지하는 것이 바람직하다.
Q. 전자상거래 기업은 주소를 홈페이지에 기재해야 한다. 하지만 클라우드의 경우 데이터센터가 어디에 있고 서버 위치를 노출하는 것은 문제가 있다. 가이드라인이 있으면 거기에 맞추면 될 것 같다. 이에 대한 계획은?
클라우드컴퓨팅발전법이 만들어졌음에도 불구하고 규정이 맞지 않은 경우가 있다. 이에 미래부에서는 연말까지 어떤 규제가 문제가 있는지 총체적으로 조사할 예정이다. 발굴된 규제들은 내년 상반기까지 개선방안을 마련할 계획이다.
Q. 클라우드 서비스에 있어 10분 이상 장애가 발생했을 때 문제가 있는 이용자에게만 고지해야 하나, 전체에 고지해야 하나?
해당 이용자만의 서비스 중단이라면 해당 장애가 있는 이용자에게만 통지하면 된다.
Q. 공공기관도 퍼블릭 클라우드를 이용할 수 있나?
현재 공공기관을 대상으로 퍼블릭 클라우드 서비스를 시범사업으로 진행하고 있으며, 내년부터는 공공기관이 퍼블릭 클라우드를 이용할 수 있도록 제도를 마련 중에 있다. 이와 관련해서는 연말 안에 발표할 계획이다. 여기에는 사전조치와 보안인증 체계가 매우 중요하며, 서비스 형태로의 조달체계 개선이 요구된다.
[김경애 기자(boan3@boannews.com)]
[보안뉴스 김경애] ‘클라우드컴퓨팅 발전 및 이용자보호에 관한 법률’이 지난 9월 28일부터 시행됐지만 아직까지 현실에서의 클라우드 산업 활성화에 있어서는 많은 문제들이 산적해 있다. 이에 미래부는 23일 팔래스호텔에서 클라우드컴퓨팅발전법의 주요 내용과 궁금한 사항에 대한 질의응답 시간을 마련했다.
Q. 공정한 거래질서와 이용자 보호를 위해 클라우드법 제24조에 명시된 표준계약서를 클라우드 사업자가 수정하거나 가감할 수도 있나?
표준계약서는 권고 취지로 강제사항이 아니다. 따라서 표준계약서의 큰 취지가 변하지 않는 이상 사업자 특성에 맞춰 수정하는 건 가능하다.
Q. 클라우드 서비스를 금융사가 이용하는데 있어 망분리에 대한 이슈는?
망분리는 물리적 망분리만 인정할 것인지 논리적 망분리도 인정해 줄 것인지를 두고 이슈가 있는데, 이 부분은 좀더 논의 후 정리해야할 사항이다.
Q. 클라우드컴퓨팅발전법 제27조에는 클라우드컴퓨팅서비스 제공자는 이용자와의 계약이 종료됐을 때 이용자에게 활용가능한 상태로 반환해야 한다고 명시하고 있다. 이는 어떤 상태를 의미하나?
암호화를 했을 경우, 이를 해제해서 사용할 수 있도록 하는 등 이용자가 데이터를 활용할 수 있을 정도라고 보면 된다.
Q. 제28조 이용자 정보의 임치의 경우 반드시 사업자가 임치해야 하나?
이 조항의 취지는 클라우드컴퓨팅 서비스 제공자의 갑작스런 파산 등에 따른 서비스 중단, 정보의 유실 등에 대비하는 차원이라고 볼 수 있다. 따라서 강제조항은 아니며 사업자는 이를 거부할 수 있다.
Q. 보안이나 개인정보에 관한 국내 CC인증제도 가이드라인 만들고 있는 걸로 알고 있다. 클라우드 서비스 제공자 입장에서 이 부분은 중요한 요소인데 어떤 기준을 참고했나?
국내의 특수성을 고려해서 ISMS 제도와 ISO27001 정보보호 기준 등을 참고하고 있으며, 좀더 면밀히 검토해서 조만간 세부적인 정보보호기준을 마련할 계획이다.
Q. 개인정보보호법과 정통망법상 규정된 개인정보보호 조항이 클라우드 산업의 발전을 저해하는 요소가 있다는 지적도 있다. 특히, 해외에 데이터센터를 둔 기업은 해외 이전시 소비자에게 별도의 동의를 받아야 하는데, 번거롭고 비용이 발생하는 등 저해요소로 작용된다. 이 부분에 있어 범부처 간에 의견조율은 있는지?
클라우드컴퓨팅발전법 통과 후, 개인정보보호 이슈가 많이 제기된 상태라 현재로서는 답변이 어렵다. 개인정보보호와 관련된 부분은 행자부와 방송통신위원회와 향후 논의할 계획이다.
Q. 이용자 정보의 개념에 대해 보다 구체적으로 설명한다면?
이용자 정보는 음악, 개인정보, 개인문서, 영업비밀 등 모든 정보가 해당되며, 기존의 개인정보만을 규율하는 정통망법과 개인정보보호법과의 규율대상에서 차이가 있다. 따라서 패스워드와 로그인 정보는 클라우드법에서 이용자 정보에 해당하지 않는다.
Q. 클라우드컴퓨팅발전법에서 정보보호기준 입법예고는 언제쯤인지?
정보보호기준안을 올해 말까지 완료할 계획이다. 내년 상반기 공청회를 거쳐 다양한 의견을 수렴한 후 입법예고할 방침이다.
Q. 법 제10조에 있는 세제 지원은 어떤 형태로 진행되나?
국가와 지방자치단체는 클라우드서비스 발전과 이용 촉진을 위해 조세특례제한법과 지방세틀례제한법 등에서 고지하는 것만 지원이 가능하다. 따라서 현재는 세제 혜택이 없는 상황이다. 하지만 내년쯤 필요한 세제 지원 방안을 추진할 계획이며, 현재는 클라우드 활성화를 위해 생산성 향상 기술 부분을 포함시키려 하고 있다.
Q. 시행령 25조에 따르면 클라우드 서비스 중단 시 통지하게 돼 있는데 당사자간의 계약으로 합의할 수 있나?
해당 조항은 이용자 보호 차원에서 통지하는 것이 바람직하다.
Q. 전자상거래 기업은 주소를 홈페이지에 기재해야 한다. 하지만 클라우드의 경우 데이터센터가 어디에 있고 서버 위치를 노출하는 것은 문제가 있다. 가이드라인이 있으면 거기에 맞추면 될 것 같다. 이에 대한 계획은?
클라우드컴퓨팅발전법이 만들어졌음에도 불구하고 규정이 맞지 않은 경우가 있다. 이에 미래부에서는 연말까지 어떤 규제가 문제가 있는지 총체적으로 조사할 예정이다. 발굴된 규제들은 내년 상반기까지 개선방안을 마련할 계획이다.
Q. 클라우드 서비스에 있어 10분 이상 장애가 발생했을 때 문제가 있는 이용자에게만 고지해야 하나, 전체에 고지해야 하나?
해당 이용자만의 서비스 중단이라면 해당 장애가 있는 이용자에게만 통지하면 된다.
Q. 공공기관도 퍼블릭 클라우드를 이용할 수 있나?
현재 공공기관을 대상으로 퍼블릭 클라우드 서비스를 시범사업으로 진행하고 있으며, 내년부터는 공공기관이 퍼블릭 클라우드를 이용할 수 있도록 제도를 마련 중에 있다. 이와 관련해서는 연말 안에 발표할 계획이다. 여기에는 사전조치와 보안인증 체계가 매우 중요하며, 서비스 형태로의 조달체계 개선이 요구된다.
[김경애 기자(boan3@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김경애기자 기사보기
[2024-11-01] 
