디지털 전환의 거센 물결 속에서 기업들은 자산과 데이터를 앞다퉈 클라우드로 이전하고 있다. 유연한 확장성과 비용 절감, 고도화된 정보기술(IT) 인프라 활용이라는 이점은 클라우드를 시대의 필수재로 만들었다. 그러나 최근 클라우드 환경을 노린 사이버 침해 사고가 빈번하게 발생하면서, 그 화려한 이면에 숨겨진 심각한 구조적 모순이 수면 위로 드러나고 있다. 바로 사고 발생 시 모든 법적·재정적 책임을 이용기업에 전가하는 클라우드 서비스 제공업체(CSP)들의 일방적인 행태다.
현재 글로벌 클라우드 시장을 지배하는 주요 거대 기업들은 일명 '책임 공유 모델(Shared Responsibility Model)'을 핵심 원리로 내세운다. 이 모델에 따르면 인프라 자체의 물리적 보안은 CSP가 담당하고, 그 위에서 구동되는 데이터, 계정 관리, 접근 권한 설정 등은 이용기업이 책임진다. 언뜻 들으면 역할과 책임이 명확히 분담된 합리적인 구조처럼 보인다. 하지만 침해 사고가 현실화되는 순간, 이 '공유'라는 단어는 거대 테크 기업들의 가장 완벽한 면책 방패로 변질된다.
클라우드 환경에서의 침해 사고는 대개 접근 권한 설정 오류나 계정 유출, 복잡한 정책 미비 등 경계선 영역에서 발생한다. 이 때 CSP는 “자사의 인프라 자체에는 아무런 결함이 없었으며, 고객사의 관리 소홀과 설정 실수로 인한 사고”라며 신속하게 선을 그어버린다. 문제는 수천 가지에 달하는 보안 옵션을 완벽히 이해하고 운용할 수 있는 전문 인력이 부족한 중소·중견 기업 입장에서, CSP의 내부 작동 원리나 정교한 로그 데이터를 직접 검증할 길이 턱없이 부족하다는 점이다. 정보의 극심한 비대칭성 속에서 이용기업은 사고 원인을 온전히 규명하기도 전에 모든 손실을 홀로 감당해야 하는 처지에 내몰린다.
이러한 모순을 해결하기 위해서는 클라우드 서비스 제공업체에 '최소한의 기본 보안 의무'를 법적·제도적으로 강제하는 패러다임의 전환이 절실하다. 자동차 제조업체가 안전벨트와 에어백을 기본 탑재해야만 도로에 차를 출시할 수 있듯, 클라우드 기업 역시 이용자가 별도로 복잡한 설정을 거치지 않아도 치명적인 유출 사고를 막을 수 있는 '기본 보안(Security by Default)'을 시스템상에 기본 구현해 둘 의무를 가져야 한다.
예를 들어, 외부로 무단 노출되기 쉬운 데이터베이스 설정이나 다중 인증(MFA) 미적용 상태 등 고위험 설정이 발생할 경우, CSP가 이를 사전에 자동 차단하거나 즉각적인 위험 경고를 보낼 최소한의 '관찰 및 주의 의무'를 부과해야 한다. 시스템의 구조와 위험을 가장 잘 아는 주체는 바로 인프라를 설계하고 운영하는 CSP 자신이기 때문이다. 복잡한 시스템 구조 뒤로 숨어 “고객이 잘못 설정했다”며 면책권만 주장하는 것은 거대 플랫폼의 전형적인 책임 회피에 불과하다.
클라우드는 단순한 외주 서버가 아닌 국가 산업 인프라의 핵심 축이다. 수익은 막대하게 거둬들이면서 리스크와 책임은 전적으로 소비자에게 떠넘기는 구조는 정당화될 수 없다. 사고 발생 시 효과적인 사고 분석을 할 수 있는 CSP가 자신들의 과실이 없었음을 증명하도록 입증 책임을 강화하는 한편, 동시에 최소한의 기본 보안 표준을 의무화해야 한다. 이상징후 탐지 후 신뢰할 수 있는 방법을 통한 신속한 통지 의무나 고객의 손해 확대를 줄이는 손해배상 확대방지 의무 부과도 병행돼야 한다. '책임 공유'가 면책의 핑계가 아닌, 이용자를 보호하고 생태계의 안전을 담보하는 진정한 상생의 약속이 되도록 정책적 결단이 시급히 이뤄져야 한다.
김경환 법무법인 민후 변호사