개인정보위, 클라우드 기업들과 고객보호 강화방안 후속 논의

최장혁 개인정보보호위원회 부위원장 / 사진제공=개인정보보호위원회

개인정보보호위원회가 지난달 클라우드 사업자들의 개인정보보호 실태 조사를 실시한 후 후속 조치로 클라우드 이용자들과 간담회를 개최했다고 16일 밝혔다.

최장혁 개인정보위 부위원장은 16일 서울 태평로 프레스센터에서 클라우드 서비스 제공·이용 사업자 간담회를 주재하는 자리에서 "클라우드 환경에서 개인정보 처리의 안전성 확보는 참여 사업자 모두의 노력이 필요하다"며 "개인정보위는 사업자가 안전한 개인정보 처리 환경을 내재할 수 있도록 기술 지원 방안과 더불어 행정·재정 지원방안을 적극 모색할 것"이라고 밝혔다.

이날 간담회에는 CSP(클라우드 인프라 사업자)인 AWS(아마존웹서비스) MS(마이크로소프트) 네이버클라우드 등 3개사와 MSP(클라우드 관리 사업자)인 메가존클라우드, 베스핀글로벌, 진인프라, 클루커스 등 4개사가 참석했다.

앞서 지난달 개인정보위는 AWS, MS, 네이버클라우드 등 3개사에 대해 개인정보보호법 위반 여부 조사 결과를 발표했다. 이들 3개사는 국내에서 약 65만여 사업자에 클라우드 컴퓨팅 인프라를 제공하고 있다.

조사 결과 이들 3개사는 개인정보 취급자의 시스템 접속 기록을 10~90일 정도로 단기로만 제공하고 있었다. 현행 법령상 개인정보 취급자의 접속 기록은 1~2년간 보존돼야 하고 개인정보 취급자에게 권한을 부여한 기록은 3년간 보존해야 하는데 사업자들이 이 규정을 준수하려면 별도로 클라우드 기업에 돈을 내야 했다.

이외에도 이들 3개사는 개인정보 취급자가 개인정보처리 시스템에 접속할 때 IP(인터넷주소) 대역 제한 기능, 외부 인터넷에서 시스템에 접속할 때 아이디·비밀번호 외에 로그인에 필요한 2차 인증 기능 등을 기본적으로 갖추고 있었으나 사업자가 이 기능을 활용하려면 자사 환경에 맞게 추가조치를 해야했다. 3개 클라우드 인프라 기업들이 이용자들에게 이 사실을 보다 잘 알릴 필요가 있다는 지적이다.

이번 조치의 결과로 개인정보위와 KISA(한국인터넷진흥원)는 이용자들이 클라우드 인프라를 활용하는 과정에서 개인정보 유출 등 사고가 발생하지 않도록 하기 위한 안내서를 개발 중이다. AWS, MS, 네이버클라우드 3사가 각사 고객을 대상으로 맞춤형 정보를 제공하는 안내서가 각각 준비되고 있다.

또 개인정보위는 클라우드 사업자로 하여금 △이용자의 데이터에 접근하지 않는다는 사실을 약관 등에 명시하고 △보안 인증 등을 통해 제3의 전문기관으로부터 주기적 점검을 받고 이를 이용자에게 알리는 등 개인정보보호법상 위수탁 관리감독 절차를 대체할 수 있는 해결방안을 제시하기도 했다.

황국상 기자 gshwang@mt.co.kr