데이터 컴플라이언스와 클라우드 컴퓨팅의 충돌과 해결 방향

포레스터는 최근에 클라우드 컴퓨팅에 대한 아주 흥미로운 보고서 몇 가지를 발표했다. 필자는 프라이빗 클라우드에 대한 주제를 다룬 “클라우드 컴퓨팅: 누구의 예측이 옳을까”라는 제목의 기사에서 그 중 한 가지에 대해서 살펴보았다.

필자는 프라이빗 클라우드 컴퓨팅을 구현하기 위해서는 vSphere와 몇 가지 부가 모듈을 구매하는 것 이상, 즉 표준화, 프로세스 리엔지니어링, 그리고 조직의 재정비가 필요하다는 포리스터의 제임스 스태튼(James Staten)의 관점을 검토했다.

이번에도 포리스터에서 첸시 왕 박사가 작성한 데이터 컴플라이언스 요구조건과 실제 제공되는 클라우드 컴퓨팅 간의 충돌로 인해 제기되는 과제들을 분석한 “클라우드에서의 컴플라이언스 : 매수자 위험 부담 원칙”이란 훌륭한 보고서가 하나 더 발표되었다.

왕 박사의 지적대로, 대부분의 데이터 컴플라이언스 법규는 해당 스토리지가 어디에 위치해 있는지에 대한 소재지 결정뿐 아니라 저장된 인프라 데이터까지도 책임을 지는 당사자가 통제한다는 가정을 전제로 제정된 것이다.

실질적으로는 어떤 법규도 서비스 공급업체가 책임을 지는 조직을 대신해서 데이터를 보관할 수도 있다는 점을 인정하고 있지 않다. 결국, 대부분의 컴플라이언스 상황은 데이터에 대한 상당 부분의 통제가 사용자의 손을 벗어나 있다는 명백한 사실에도 불구하고 모든 책임을 클라우드 컴퓨팅 환경 사용자에게 지우고 있다.

왕 박사의 분석 중 몇 가지가 필자의 눈을 끌었다:

1. 불투명한 데이터 위치. SaaS 공급업체 보다는 IaaS 공급업체의 데이터센터(그리고 결국에는, 데이터 스토리지)가 어디에 있는지를 알기가 더 쉽다. 보고서에서 구글은 누군가의 데이터가 어디에서 호스팅되고 있는지를 명확하게 설명할 수 없었거나 데이터의 위치가 특정 지역으로 한정된 것으로 밝혀졌다. 확실히, 위치에 대한 어떤 불투명성도 적용 법규를 준수하고 있는지를 확인하려는 고객에게는 진짜 문제를 유발한다.

2. 불공평한 책임 소재. 오직 하나의 법률만이 서비스 공급업체의 역할을 명확하게 인정하고 있는데, HIPPA 규정에 대한 HITECH 규정이 그것이다. 다른 모든 법규는 모든 책임을 사용자에게 미루고 있다. 필자는 이런 상황을 ‘비대칭적 위험’이라고 부른다. 컴플라이언스는 책임 공유라는 사실에도 불구하고, 대부분 또는 모든 위험이 사용자에게 전가되기 때문이다.

3. 클라우드 서비스 업체의 한계. 클라우드 공급업체가 합법적인 컴플라이언스 조치에 대한 책임을 지고 있다고 떠들어대는 사람들은 한 가지 명백한 장애를 간과하고 있다. 클라우드 공급업체는 대부분 자신의 인프라에 어떤 데이터가 저장되는 지를 모르고 있으므로 해당 데이터에 어떤 법적인 조건이 적용되는지를 알 수 없다.

아마존(Amazon) 같은 기업에서는, 신용 카드와 계정 ID만 있으면 클라우드 기반 애플리케이션을 실행할 수 있다는 사실이 애플리케이션의 컴플라이언스 요구조건을 검증하거나 (실제로, 이해할 수 있는) 방법이 전혀 없음을 의미한다. 이 사실은 계속 강조할 필요가 있다. 클라우드 공급업체에게 컴플라이언스란 이유로 어떤 조치를 취해야만 할지를 생각하게 만들 방법이 전혀 없다. 그러므로 클라우드 공급업체가 앞장 서서 컴플라이언스 요구조건을 충족시키라고 주장하는 것은 비현실적이다.

4. 클라우드 기반 PCI는 실제로 존재하지 않는다. 왕 박사는 클라우드 공급업체에게 있어서 PCI 컴플라이언스를 달성하는 것은 경제적으로 매력적이지 않아 보여서, 대부분의 공급업체가 신경을 쓰고 있지 않다고 기술하고 있다. 우리가 제안하는 표준 권고안은 애플리케이션을 클라우드 환경에 두고, PCI 컴플라이언스에 전문성이 있는 다른 공급업체에게 PCI 지향적인 호출(Call)을 하는 것이다.

권고안에 대해서 왕 박사는 두 가지 유형의 컴플라이언스 조치를 제안한다:

1. 평가하라. 한 가지 접근방식은 공급업체의 컴플라이언스 대책에 대한 논의 (그리고 아마도 감사)를 통해서 클라우드 공급업체의 컴플라이언스 상황을 평가하는 것이다. 필자는 이런 조치가 잘못된 조언이라고는 생각하지 않지만, 클라우드 공급업체가 마주 앉아서 구현된 방안에 대한 논의를 하자는 고객의 요청에 쉽게 질릴 수도 있으므로 모든 사용자에게 실용적이지는 않다.

어떤 경우에도, 상호작용이 많은 모델은 저렴하고 손이 많이 가지 않는 서비스를 원하는 다수의 클라우드 공급업체에게는 어울리지 않는다. 자동화된 방식으로 원격지에서 액세스할 수 있는 표준 클라우드 감사 방안을 개발하려는 노력이 진행 중이다. 이 방식이 컴퓨팅이 진행하는 방향에 훨씬 더 부합되며, 표준 방안을 프로비저닝 워크플로우의 일환으로 액세스 하여 규칙 기반의 엔진에서 자원 배치에 대한 의사 결정을 총괄할 수 있는 가능성도 있다.

2. 보상하라. 또 다른 접근방식은 클라우드 공급업체의 단점을 최소화하기 위한 보상 방안을 구현하는 것이다. 5가지 방안이 밝혀졌는데, ▲ 데이터 세탁이나 익명화 ▲ 데이터 암호화 ▲ 강력한 보안 인증을 가지고 있는 클라우드 공급업체 모색 ▲ 클라우드 공급업체가 필요한 컴플라이언스 대안을 제시하는 것을 조장하기 위해 더 많은 비용 지불 ▲그리고 (5) 프라이빗 클라우드 호스팅 이용하기.

처음 3가지 권고안은 훌륭한 제안이며 클라우드 공급업체의 컴플라이언스 대책 마련 여부에 관계없이 고려해보도록 처방할 예정이다. 이런 단계는 클라우드 공급업체의 대책이 실패하거나 기대에 못 미치더라도 보호 기능을 제공하며, 어떤 클라우드 공급업체가 개입돼 있더라도 모범 사례가 될 것이다.

네 번째와 다섯 번째도 의미는 있지만, 표준화된 자동화 서비스에 초점을 맞춰서 이득을 취하는 클라우드 공급업체가 존재하는 세상에서는 달성할 수 없을 것이다. 추구할 만한 가치는 있지만, 해당 상황에서 실행 불가는 하다고 해서 놀라지는 말라.

앞날을 바라보면서, 왕 박사는 다음 3가지 이유 때문에 클라우드 공급업체가 컴플라이언스 지원과 효율성을 기반으로 차별화하고 경쟁할 것이라고 예측하고 있다. ▲비용을 분산할 수 있고, ▲프로세스를 자동화해 그 결과 컴플라이언스 통제란 측면에서 매우 효율적으로 운영할 수 있으며, ▲규제와 법률적인 요구조건이 현재 중요하고 미래에는 더 중요해 질 것이므로 필수적이다.

다음과 같은 조건 하에 왕 박사의 의견에 동의한다. 컴플라이언스가 중요해질 것이다. 하지만, 진정으로 승리할 서비스 공급업체는 자동화된 내부 통제 기능을 필자가 앞서 언급한 자동화된 감사 메커니즘식의 자동화된 탐색 프로세스와 굳건하게 결합시키는 방법을 고안해내는 업체일 것이다.

수작업으로 이루어지는 상호작용, 감사, 방대한 체크 리스트 등의 현행 컴플라이언스 평가 모델은 과거의 비 클라우드 세계에서는 의미가 있었다. 미래의 클라우드 세계에서는, 속도와 민첩성이 핵심적이므로, 고가의 비용은 물론이고 장기간의 노동력 집약적인 프로세스 중간의 수동 감사 메커니즘은 장기적으로 유지될 수 없다. 운영 자동화만으로는 충분하지 않다, 모든 주변 상호작용 역시 자동화될 필요가 있다.

*Bernard Golden)은 컨설팅 기업인 하퍼스트라투스(HyperStratus)의 CEO이다.  editor@idg.co.kr