저는 퓨어스토리지에서 유럽, 중동 및 아프리카 지역 법무 책임자를 맡고 있으며 데이터 보호 실무 자격을 갖고 있어 퓨어스토리지의 보안, 규정 준수 및 데이터 보호에 관한 질문을 하는 고객과 마주하곤 합니다. 저는 우리의 제품이 GDPR 규정을 준수하는 기업에서 어떻게 사용되는지에 관한 질문뿐만 아니라 퓨어스토리지의 데이터 보호 정책에 대한 질문도 자주 받습니다. 이러한 논점 몇 가지를 GDPR과 보안 및 암호화 관련 블로그를 통해 여러분과 나누면 큰 도움이 될 것이라 믿습니다. 보안과 암호화는 우리가 데이터 스토리지 및 GDPR 규정 준수 전략과 관련해 고객에게 선사하는 핵심적 이점 중 하나입니다.
GDPR이란 무엇인가요?
GDPR 규정은 장소에 상관 없이 디지털 및 기타 형식으로 된 EU 거주자의 개인 데이터를 다루는 모든 조직에 적용됩니다.
기본적으로 GDPR은 데이터 주체 당사자가 다른 사람들이 보유하고 있는 자신에 관한 개인 데이터의 소유자임을 선언하며, 이를 둘러싼 당사자의 권리를 명시하고, 해당 데이터를 수집, 처리, 저장하는 단체의 의무를 데이터 보안 및 가용성을 중점으로 두어 명시합니다. GDPR에는 한 개인이 자신의 개인 데이터에 관해 갖는 다음과 같은 권한이 설명되어 있습니다.
- 개인 데이터 액세스 권한
- 개인 데이터에 포함된 확인 가능한 오류를 수정할 수 있는 권한
- 특정 법적 한도 내에서, 개인 데이터 관련 작업을 제한할 수 있는 권한
- 잊혀질 권한 – 더 이상 정당한 목적으로 사용되지 않는 개인 데이터를 폐기할 권한
GDPR에서는 EU 거주자의 개인 데이터를 다루는 단체를 다음 두 가지로 분류합니다.
정보 관리 단체
정부, NGO, 기업 등 개인 데이터 취급이 필요한 목적을 지닌 단체입니다.
정보 취급 단체
정보 관리 단체를 대신해 처리 작업을 실행하는, 문서 처리 및 IT 서비스 공급업체와 같은 단체입니다. 모든 디지털 데이터 처리 작업을 자체적으로 수행하는 기업처럼 하나의 단체가 두 역할을 모두 담당할 수 있습니다.
GDPR의 범위 내에서의 처리는 다음 두 작업을 모두 의미합니다.
- 서류 정리, 변경, 공지 등과 같은 수작업
- 데이터를 디지털 형식으로 처리, 저장, 전송 및 폐기하는 자동화 작업
GDPR은 정보 관리 단체 및 정보 취급 단체가 정해진 개인 데이터만 취득하고 허용된 개인 데이터 작업만 수행하도록 제한하며, 무단 액세스, 손실, 폐기 등으로부터 개인 데이터를 보호하기 위한 요건을 지정합니다. 또한 해당 규정에 따라 정보 관리 단체는 어떤 개인 데이터를 저장하고 어떤 작업을 수행하는지 당사자에게 공개해야 하고, 개인 데이터의 확인 가능한 오류를 수정해야 하며, 더 이상 정당한 목적으로 필요하지 않은 개인 데이터는 폐기해야 합니다. 끝으로, GDPR은 규정 준수를 위한 절차적 메커니즘을 간략히 보여주고 본 규정을 위반할 경우 받게 되는 실질적 처벌을 명시합니다.
기업에서 GDPR을 준수하기 위한 방안
2018년 5월 25일부터 EU 거주자의 개인 데이터를 취급하는 단체는 GDPR을 준수해야 합니다. 규정 준수란 곧 개인 데이터 규정의 위반을 방지하기 위한 확인 가능한 절차를 말합니다. 여기서 개인 데이터 규정 위반이란 ‘전송, 저장, 또는 다른 방법으로 처리된 개인 데이터의 우발적 또는 불법적 파괴, 손실, 수정, 무단 공개, 또는 액세스’를 야기하는 사건을 말합니다,[1]
GDPR을 준수하고자 하는 단체는 강력한 데이터 취급, 저장, 보존 정책 및 프로세스뿐만 아니라 적합한 고용, 교육, 운영 및 감사 정책을 마련해야 합니다. 이는 곧 디지털 기술의 관점에서 적절하게 관리 및 유지될 경우 개인 데이터의 도용, 무단 공개, 수정, 부주의하고 악의적인 파괴 등을 저지하는 견고한 방어책이 될 수 있는 컴퓨팅, 스토리지 및 통신 기능을 의미합니다.
GDPR은 일차적으로 EU 거주자의 개인 데이터에 대해 수집 가능한 데이터 종류, 개인 데이터의 사용 용도 및 보호 방식, 개인이 개인 데이터에 대해 갖는 권리 등에 대한 정책을 다룹니다. 이차적으로는 디지털 형식 데이터를 무단 액세스로부터 보호하는 방법, 가용성을 유지하는 방법, 필요성이 사라졌을 때의 폐기 방법 등 기술적인 면을 다룹니다.
FlashArray의 이점
퓨어스토리지는 자체 시스템 내에 저장된 데이터의 물리적 악용으로부터 보안이 유지될 수 있도록 최선을 다하며, 권한이 부여된 사용자에게 가용성이 제공됩니다. 예를 들어 알아보겠습니다.
가용성
플래시어레이(FlashArrays)에 저장된 데이터는 스토리지 구성 요소에 심각한 장애가 발생하더라도 언제든 사용할 수 있습니다. 플래시어레이의 변경 불가능한 스냅샷은 주요 시점을 기준으로 수정 할 수 없는 데이터 레코드 세트를 제공합니다.
보안
관리자는 적절한 자격 증명이 있어야 플래시어레이에 액세스할 수 있으며 각 자격 증명에는 정의된 역할이 있습니다. 어떠한 관리자도 저장된 데이터를 액세스하거나 수정할 수 없습니다. 스토리지에서는 항상 AES-256을 통해 모든 데이터를 암호화합니다. 물리적 보안이 필요하면 KMIP(Key Management Interoperability Protocol) 서버 또는 이동식 스마트카드(SmartCard)를 추가할 수 있습니다.[2]
새로운 처리 시스템을 구현하려는 정보 관리 단체와 정보 취급 단체는 이와 같은 플래시어레이 기능을 통해 GDPR 규정 준수 기능을 기본적으로 내장할 수 있습니다.[3]
전체 GDPR 규정 준수 전략에서 플래시어레이는 주요 요소로 자리잡을 수 있습니다. 이를 위해 플래시어레이는 전송 중인 데이터를 위해 강력한 네트워크 보안 및 견고한 시스템 액세스/데이터 취급 정책을 함께 활용합니다. 이 경우 디지털 형식의 개인 데이터를 포괄적이고 경제적인 방식으로 보호할 수 있습니다.
GDPR은 5월 25일이 최종 기한이지만 모든 것이 이때 끝나지는 않습니다. 규정 준수는 지속적으로 진행되는 활동 주기라고 할 수 있습니다. 각 기업은 자체 정책 관리에 계속해서 최선을 다할 뿐만 아니라 규정 준수 프로그램 전반을 뒷받침하는 프로세스, 거버넌스 및 기술에 적극적이고 꾸준한 관심을 보여야 할 것입니다. 차후에 게시될 블로그를 참고하거나 퓨어 보안 블로그를 방문하면 Pure에서 이러한 문제를 어떻게 해결하는지 더 자세히 알 수 있습니다.
[1] EU 공식 저널 – 4.5.2016, 기사 4(12)
[2] Pure Storage 기술 요약서 TB-160201, 플래시어레이 데이터 보안(FlashArray Data Security)에서는 악조건 하에서도 플래시어레이가 저장된 데이터를 손실 및 무단 액세스로부터 보호하는 방법에 대해 설명합니다.
[3] GDPR 제 25항, ‘기본 데이터 보호 설계 및 설정(Data protection by design and by default)’ 중 발췌: “…정보 관리 단체는 정보 처리 수단의 종결 시점과 정보 처리 자체의 진행 시점에서 개인 데이터 처리의 가명화(pseudonymisation)와 같은 적절한 기술적 및 조직적 수단을 구현해야 합니다. 이러한 수단의 목적은 데이터 최소화와 같은 데이터 보호 원칙을 효과적으로 구현하는 것, 그리고 필수 안전 장치를 처리 과정에 통합해 본 규정 요건을 준수하고 데이터 주체의 권리를 보호하는 것입니다.”
