서비스가 여러 사업자를 거치는 다단계 재판매 구조에서는 최종 이용자가 누구인지, 사고가 발생했을 때 어느 사업자가 책임을 져야 하는지도 명확하지 않았다.
◇노후 스토리지 장애로 292곳 데이터 소실
5일 국회 과학기술정보방송통신위원회 김선민 의원실에 접수된 민원과 과학기술정보통신부 답변자료에 따르면 지난 6월 24일 클라우드 인프라 사업자의 노후 스토리지 장애가 발생했다.
이 사고로 기업·병원·교육기관 등 고객사 292곳의 홈페이지와 데이터베이스 등이 영구 소실된 것으로 파악됐다.
서비스는 인프라를 소유·운영하는 A사에서 재판매·운영 사업자인 B사로 넘어간 뒤 웹에이전시 C사를 거쳐 최종 고객사에 제공되는 구조였다.
A사 → B사 → C사 → 고객사 292곳으로 이어지는 구조에서 인프라 장애가 최종 이용자의 데이터 손실로 이어진 것이다.
출처=김선민 의원실(조국혁신당)
현행법의 가장 큰 문제는 데이터가 영구적으로 사라져도 ‘데이터 멸실’ 자체를 별도로 신고하거나 통지하도록 한 규정이 없다는 점이다.
과기정통부는 김 의원실 질의에 “데이터센터 설비 노후화 등으로 발생한 데이터 멸실 자체를 별도의 통지 대상으로 규정한 조항은 없다”고 답했다.
관련 신고 규정도 없어 정부가 데이터 멸실 발생 현황을 별도로 집계하지 않고 있다고 설명했다.
현행 클라우드컴퓨팅법 제25조는 침해사고나 이용자 정보 유출이 발생하거나, 사전 예고 없이 일정 기간 이상 서비스가 중단된 경우 이용자에게 알리도록 하고 있다.
하지만 노후 설비 장애로 데이터가 영구 소실된 경우는 데이터 멸실 자체만으로 별도 통지 대상이 아니다.
◇노후 설비 관리 기준도 뚜렷하지 않아
사고를 예방하기 위한 기준도 부족하다.
과기정통부 답변자료에 따르면 클라우드 품질·성능 기준과 정보통신설비 유지보수 관련 기준에서 설비의 노후도나 데이터센터 스토리지의 교체·관리 기준을 직접 규정한 내용은 확인되지 않았다.
클라우드 이용자는 사업자 내부 설비가 얼마나 오래됐는지, 언제 교체하거나 이전할 예정인지 알기 어렵다.
이에 따라 사고가 발생하기 전 위험을 파악하고 대비하기가 쉽지 않은 구조다.
◇한 사업자가 ‘이용자’이면서 ‘제공자’
다단계 재판매 구조에서는 법적 지위도 복잡해진다.
과기정통부는 이번 사례에서 A사는 클라우드컴퓨팅서비스 제공자에 해당한다고 봤다.
B사는 A사의 서비스를 이용하는 ‘이용자’이면서, 다시 C사에 서비스를 제공하는 ‘제공자’가 될 수 있다고 설명했다.
C사 역시 B사의 이용자인 동시에 최종 고객사에 클라우드 서비스를 제공한다면 제공자에 해당할 수 있다.
한 사업자가 누구와 계약하느냐에 따라 이용자이자 제공자가 될 수 있는 셈이다.
문제는 이런 다단계 구조에서 최종 이용자의 보호 범위와 사업자별 책임을 명확하게 규정한 장치가 부족하다는 것이다.
◇위험정보를 미리 알려줄 의무도 불명확
상위 사업자가 설비 노후화나 교체·이전 계획을 알고 있더라도 이를 하위 사업자나 최종 이용자에게 사전에 알려야 할 법적 의무 역시 명확하지 않다.
현행법의 이용자 통지 의무는 침해사고, 정보 유출, 일정 기간 이상의 서비스 중단 등 사고가 발생한 경우를 중심으로 규정하고 있기 때문이다.
사고가 발생하기 전에 알 수 있는 ‘설비 노후화’ 같은 위험은 통지 대상에 포함되지 않는다.
◇민원은 부처 사이 7차례 오가
책임 소재가 불명확한 상황은 민원 처리 과정에서도 드러났다.
이번 이용자 보호조치와 제도 개선 관련 국민신문고 민원은 과기정통부와 방송미디어통신위원회 사이를 5일 동안 모두 7차례 오갔다.
이후 국민권익위원회가 해당 민원을 ‘핑퐁민원’으로 분류해 강제 조정했다.
과기정통부는 민간 업체 간 클라우드 서비스 중개는 민간 당사자 간 계약관계를 기본으로 하는 민법상 일반원칙에 따라 판단해야 한다고 설명했다.
데이터 멸실에 따른 손해배상 역시 이용약관이나 서비스수준협약(SLA) 등에 따라 해결할 민간 영역이라는 입장이다.
김선민 의원(조국혁신당). 사진=이데일리 DB
김선민 의원은 “클라우드 장애로 고객사 292곳의 데이터가 사라졌는데도 노후 설비 장애에 따른 데이터 멸실을 어떻게 통지하고 관리할지 법적 기준이 명확하지 않다”고 지적했다.
이어 “클라우드 서비스가 여러 단계로 재판매되는 현실에서 최종 이용자의 보호 범위와 사업자별 책임도 불명확하다”며 “데이터가 사라진 뒤 책임을 따지는 데 그치지 않고 노후 설비와 같은 위험요인을 사전에 관리할 수 있는 체계를 마련해야 한다”고 말했다.
김 의원은 과기정통부에 클라우드 설비 노후화와 데이터 멸실 실태를 조사하고 다단계 재판매 과정에서 이용자 보호와 사업자 책임에 법적 공백이 없는지 점검할 것을 촉구했다.
또 현행 클라우드컴퓨팅법의 미비점을 보완하는 개정안을 발의할 예정이다.
