데이터 주권이란 무엇인가요?

데이터 주권은 데이터가 수집되거나 저장되는 국가 또는 관할권의 법률 및 거버넌스 구조에 종속된다는 원칙입니다. 이는 조직이 데이터를 주로 저장하는 위치와 관계없이, 정부가 자국 국경 내에 물리적으로 존재하는 데이터에 대해 법적 권한을 행사하는 능력에 영향을 미칠 수 있습니다.

이는 귀하의 데이터를 관리하는 일련의 규칙이 회사 위치에 따라 달라지지 않기 때문에 중요합니다. 이는 데이터가 어디에 저장되는지에 따라 결정됩니다. 예를 들어, 미국 회사가 프랑크푸르트에 기반을 둔 서버에 고객 기록을 보관하는 경우, 해당 기록은 미국 법률뿐만 아니라 EU 법률의 적용을 받습니다.

이 세 가지 용어는 서로 연관되어 있지만 동일하지는 않습니다. 규정 준수는 적용 방식의 변화에 따라 영향을 받을 수 있습니다.

•     데이터 주권은 법적 개념입니다. 한 국가가 자국 영토 내에서 데이터를 규제할 권리를 의미합니다. 이는 "누가 관할권을 가지는가?"라는 질문을 다룹니다.
•     데이터 상주는 데이터가 지리적으로 어디에 위치해야 하는지를 규정하는 법적 또는 계약상 요구사항입니다. 이는 “데이터는 어디에 상주하는가?”라는 질문에 답합니다.
•     데이터 현지화는 가장 엄격한 형태를 띠고 있습니다. 이는 데이터가 한 국가 내에서 저장되고 처리되어야 하며, 국경 간 전송 제한이 따르는 법적 요건입니다. "데이터를 아예 외부로 이동할 수 있는가?"라는 질문을 다룹니다.

주권 클라우드는 한 국가의 데이터 주권 요구 사항에 따라 설계된 클라우드 서비스입니다. 외국 정부, 법원, 기업이 호스트 국가의 허가 없이 데이터를 획득할 수 없도록 하기 위해, 주권 클라우드는 글로벌 하이퍼스케일러가 운영하는 표준 퍼블릭 클라우드와 달리 현지 법인(또는 엄격하게 통제된 파트너십을 통해)에 의해 운영됩니다.

•     현지에서 관리 및 소유: 현지 기업 또는 현지인이 대다수 지분을 소유한 합작 투자 회사에 의해 운영됩니다.
•     관할권 고립: 데이터가 위치한 국가 또는 지역의 규정은 국경 간 데이터 전송 과정에 영향을 미칠 수 있습니다.
•     규제 적합성: 이는 GDPR, 프랑스의 SecNumCloud 또는 독일의 C5 표준과 같은 국내 법률에 따라 제정됩니다.

사업상 위험은 다음과 같습니다:

데이터 주권은 법적 요구 사항을 충족하는 것만을 의미하지 않습니다. 이는 또한 적절한 기술 시스템을 갖추는 것을 수반합니다. 주권을 진정으로 강화하려면 여러 기술이 결합되어야 합니다:

1.   주권 클라우드 플랫폼은 정의된 법적 및 지리적 경계 내에서 운영되는 로컬 인프라를 의미하며, 이를 통해 외국 세력이 통제하는 시스템에 대한 의존을 피할 수 있습니다.
2.   고객 관리 암호화 키(CMEK)는 조직에 암호화 키에 대한 제어권을 제공하여, 법적 요청에 응할 때에도 클라우드 제공업체가 데이터를 해독할 수 있는 능력을 잠재적으로 제한합니다.
3.   Bring Your Own Key (BYOK) / Hold Your Own Key (HYOK)는 고객이 키를 직접 보관할 수 있도록 제공하는 두 가지 다른 수준입니다. 클라우드는 일반적으로 암호화 작업을 용이하게 하지만, 데이터는 보통 복호화하지 않습니다.
4.   데이터 상주 제어는 특정 지역으로의 데이터 복제 또는 백업을 제한하는 구성입니다.
5.   기밀 컴퓨팅은 저장된 데이터나 전송 중인 데이터뿐만 아니라 처리 중인 데이터를 보호하기 위해 하드웨어 지원(예: Intel SGX 또는 AMD SEV를 통해)을 제공합니다.
6.   제로 트러스트 아키텍처는 항상 신원 확인과 액세스를 위한 최소 권한 원칙에 기반합니다.

데이터 주권의 실질적인 적용에는 복잡한 고려 사항이 따를 수 있습니다. 주요 관심사는 세 가지 핵심 영역으로 분류됩니다.

1.   비용. 주권을 구축하는 데 드는 비용은 클라우드 인프라 표준적인 것과는 다릅니다. 퍼블릭 클라우드.
2.   관리. 여러 관할권에서 운영되는 조직은 각 국가에서 서로 다른 일련의 규칙을 따라야 합니다.
3.   법률. 주권 법률 시스템은 다양한 해석을 수용할 수 있으며, 기술적 해결책이 보편적으로 적용 가능한 대응책이 되지 못할 수도 있습니다.

기타 고려 사항은 다음과 같습니다:

•     글로벌 하이퍼스케일러와는 대조적으로, 소규모 주권 준수 제공업체의 수는 그들의 기능 제공 범위와 연관될 수 있습니다.
•     국가별 표준 개발의 차이는 일관된 글로벌 규제 준수 태세 구축에 영향을 미칠 수 있습니다.