통념: 데이터가 국내에 있으면 안전한가
브로드컴의 VM웨어 인수 이후 라이선스 정책이 바뀌면서 국내 기업과 기관은 가상화 환경을 교체할 선택지를 찾고 있다. 상포테크놀로지는 보안 제품을 기반으로 사업을 시작해 HCI와 VDI, 프라이빗 클라우드까지 영역을 넓혔고, 한국지사를 통해 국내 시장을 공략하고 있다.
HCI(하이퍼컨버지드인프라)는 서버의 연산 능력과 저장장치, 네트워크를 소프트웨어로 통합해 관리하는 기반 인프라다. “데이터를 국내에 저장하면 데이터 주권도 지켜진다”는 생각은 충분하지 않을 수 있다. 저장 위치와 별개로 누가 관리 권한을 갖고 운영정보에 접근할 수 있는지가 중요하기 때문이다.
반론과 맹점: 개인정보 방침만으로는 부족하다
상포는 개인정보처리방침에서 한국을 포함한 EEA 외 이용자의 일부 개인정보를 중국 계열사로 이전할 수 있다고 밝힌다. 국가안보 관련 상황에서 동의 없이 개인정보를 처리하거나 공개할 수 있다는 예외도 둔다. 다만 개인정보 방침만으로 HCI 고객의 운영정보 접근 범위까지 알 수는 없다.
핵심은 중국 본사와 현지 기술 인력이 고객의 시스템 정보에 어디까지 접근하는지, 고객이 중국 측 접근을 차단할 수 있는지다. 참고 뉴스에는 이 통제 방식이 명확히 공개돼 있지 않다. 따라서 중국 법률상 협조 의무가 있다는 사실만으로 실제 접근이 이뤄진다고 단정할 수는 없지만, 접근 권한과 통지 절차가 불투명하다면 의심과 검증은 필요하다.
반대 의견도 있다. 상포는 보안 제품을 바탕으로 성장했고, HCI 도입은 VM웨어 대체 수요에 대응하는 선택지일 수 있다. 그러나 제품 이력이나 가격·기능 비교가 데이터 통제 구조를 대신 설명해 주지는 않는다. 브로드컴과 레드햇은 정부 요구에 대한 검토, 고객 통지, 정보 최소화 절차를 공개하고 있다. 상포에도 같은 수준의 설명을 요구할 근거가 된다.
최악의 시나리오에서 잃는 것
관리 권한이나 원격 접근 경로가 통제되지 않는다면 문제는 개인정보에 그치지 않을 수 있다. 서버·스토리지·네트워크와 가상화 환경이 묶인 만큼, 운영정보 노출이나 접근 통제 실패는 핵심 시스템의 보안과 운영에 영향을 줄 가능성이 있다. 구체적인 피해가 발생했다고 볼 근거는 없지만, 영향 범위를 작게 가정할 이유도 부족하다.
결론
상포 HCI 검토 때는 제품 성능과 비용에 더해 데이터 주권을 실제 통제 권한으로 확인해야 한다.
- 중국 본사와 현지 인력의 원격 접근 범위, 승인·기록 방식을 문서로 확인한다.
- 고객이 원격 접근을 차단할 수 있는지, 정부 요구가 있을 때 통지·이의 제기·정보 최소화 절차가 있는지 묻는다.
- 답변이 불명확하면 핵심 시스템 적용을 보류하고, 접근 가능한 데이터와 운영 권한을 기준으로 도입 범위를 제한한다.
- #상포
- #상포HCI
- #데이터주권
- #하이퍼컨버지드인프라
- #VM웨어