[데이터주권 시리즈] 주권 확보를 위한 다섯 가지 요건

구조와 흐름

• 데이터 소재지와 별개로 법인 지배 구조, 운영 접근 권한, 암호화 키, 공급망, 네트워크 경로를 분리해 보는 데이터 주권 판정
• CSF는 사업자 비교용 평가 틀, SecNumCloud는 준수 조항을 둔 국가 자격으로 구분
• 소재지만 역내이고 실질 통제권은 역외에 있는 상태를 CSF의 SEAL-1 사례로 제시

선택 이유

• 역외 법 집행 명령이 법인 지배 구조, 운영 인력, 사업자 보관 키를 통해 데이터에 닿는 위험
• 하위 수탁자·하드웨어·펌웨어·소프트웨어 업데이트와 데이터 이동 경로까지 포함한 노출 지점 확인 필요
• 데이터 유형, 유출 영향, 적용 규제를 기준으로 다섯 요건의 우선순위 설정

주의할 점

• 사업자 암호화만으로 사업자 자신의 복호화 가능성까지 차단하지 못하는 한계
• BYOK는 사업자 키 관리 시스템에 키 접근 경로가 남고, HYOK는 고객의 키 인프라 운영 및 키 유실 책임 수반
• 인증 보유나 역내 데이터센터 소재만으로 모든 주권 요건 충족 여부 판단 불가

적용해볼 점

• 계약 상대 법인의 준거법·지분·의결권, 운영 인력의 관할·접근 동의·감사 기록 확인
• 키 생성·보관 위치와 사업자 접근 경로, 하위 수탁자 목록·변경 통지·감사 범위 검토
• 역외 경유 트래픽과 청구 정보·운영 기록 등 인프라 밖으로 나가는 정보 점검