무료 클라우드의 네 가지 본질적 한계

가) 암호화의 깊이와 방식이 다릅니다

산업 표준에 따르면 클라우드 환경의 데이터는 두 가지 상태 모두에서 보호되어야 합니다. 전송 중 데이터(data in transit)는 TLS와 같은 프로토콜로, 저장 데이터(data at rest)는 AES-256과 같은 강력한 대칭키 알고리즘으로 암호화하는 것이 모범 사례로 권고됩니다. NIST Special Publication 800-209(Security Guidelines for Storage Infrastructure)는 클라우드 저장소를 포함한 스토리지 인프라 전반의 보안 권고에서 데이터 보호(암호화), 격리, 접근 통제, 인증을 핵심 영역으로 명시합니다. 그러나 무료 서비스 다수는 전송 구간만 TLS로 보호하고, 저장 시 암호화 키 관리를 사용자가 통제할 수 없거나 아예 저장 암호화 옵션을 기본 제공하지 않는 경우가 적지 않습니다. 사용자가 직접 키를 보유하지 않는 한, 서비스 운영자도 — 실수든 내부자 위협이든 — 원본 데이터에 접근할 수 있다는 의미입니다.

특히 영지식(zero-knowledge) 암호화를 기본으로 제공하지 않는 무료 플랫폼에서는, 이용약관에 따라 광고나 데이터 분석 목적으로 콘텐츠를 스캔·처리할 수 있는 권한이 서비스 제공자에게 부여되는 경우가 흔합니다. 광고 타기팅, 머신러닝 학습, 정책 위반 탐지 같은 명목 아래 사용자의 파일이 자동으로 검사될 수 있으며, 그 과정에서 의도치 않은 데이터 노출 가능성이 항상 잠재합니다. "무료"의 진짜 가격은 종종 데이터 그 자체로 지불되고 있는 것입니다.

나) 공유 인프라의 그늘 — 멀티테넌시 위험

상업용 클라우드 서비스의 비용 효율성은 멀티테넌시(multi-tenancy) 아키텍처에서 비롯됩니다. 다수의 고객이 동일한 물리 서버, 하이퍼바이저, 컨테이너 런타임, 오케스트레이션 계층을 공유하는 구조입니다. 테넌트 간 논리적 격리는 가상화와 하이퍼바이저로 제어되지만, 공유 인프라 구성 요소에 취약점이 발견될 경우 의도하지 않은 테넌트 간 접근이 발생할 수 있습니다. 가상머신 모니터, 컨테이너 런타임, 오케스트레이션 도구에 결함이 있을 경우 테넌트 간 데이터 누출로 이어질 수 있다는 점은 학계 연구에서도 반복적으로 지적되어 왔습니다.

동일 하드웨어를 공유한다는 것은 사이드채널 공격, 공동 거주(co-residency) 공격, 공유 API의 권한 상승과 같은 고유한 위협 벡터가 존재한다는 뜻입니다. 무료 티어 사용자는 이러한 격리 강도에 대해 거의 정보를 얻지 못합니다. 어떤 가상화 기술이 적용되는지, 키 격리는 어떻게 이루어지는지, 사고 발생 시 통지 의무는 어떤 수준인지 — 유료 엔터프라이즈 계약에서는 명시되는 항목들이, 무료 약관에서는 대부분 추상적인 면책 조항으로 대체됩니다. "옆 방"에 누가 사는지, 그 벽이 얼마나 두꺼운지 모른 채 같은 건물에 입주하는 것과 다르지 않습니다.

다) 자격 증명 하나로 무너지는 접근 통제

2024년 5월 공개된 Snowflake 침해 사고는 클라우드 접근 통제의 취약점이 무엇을 의미하는지 분명히 보여주었습니다. 공격자는 Snowflake 플랫폼 자체의 취약점을 노린 것이 아니라, 정보 탈취형 악성코드(infostealer)로 수집된 자격 증명만으로 다단계 인증이 강제되지 않은 고객 환경에 직접 로그인했습니다. Snowflake 자체 인프라는 침해되지 않았으며, 침해 캠페인의 근본 원인은 고객 계정에 MFA가 의무화되지 않았다는 점이었습니다. 공격 그룹 ShinyHunters는 약 165개의 Snowflake 고객 환경에 접근했고, 사용된 자격 증명 중 일부는 2020년까지 거슬러 올라가는 오래된 것이었으며 그동안 한 번도 변경되지 않은 채 여전히 유효했습니다. 피해 조직에는 Ticketmaster·Live Nation, Santander Bank, AT&T, Advance Auto Parts, Pure Storage, Neiman Marcus 등 대형 기업들이 포함되었습니다.

전체 산업의 통계도 이를 뒷받침합니다. Verizon 2025 Data Breach Investigations Report는 전체 침해의 22%가 자격 증명 남용에서 시작되었고, 외부 파트너와 연관된 침해가 전년 대비 두 배인 30%까지 증가했다고 보고합니다. 후속 2026 보고서는 그 수치가 더 늘어 제3자 연관 침해가 48%에 달하며, 제3자 조직 중 누락되거나 잘못 설정된 MFA를 완전히 시정한 비율은 23%에 불과하고, 클라우드 IaaS 환경에서 관리자 계정에 MFA가 비활성화된 조직이 37%에 이른다고 지적합니다.

표준 차원에서 무엇이 기대되는지도 분명합니다. 2025년 7월 발간된 NIST SP 800-63B Revision 4는 다단계 인증(MFA)을 강력히 권장하고, 패스워드 단독 인증으로는 가장 낮은 인증 보장 수준(AAL1)에만 도달할 수 있다고 명시합니다. 개인정보가 온라인으로 제공되는 경우 최소 AAL2 이상을 선택해야 한다는 것이 NIST의 권고이며, AAL2는 다단계 인증을 의무화하는 수준입니다. 더 강력한 보호가 필요한 경우, SMS·푸시 알림 같은 공유 비밀 기반 방식이 아닌 PIV·CAC, FIDO U2F와 같은 비대칭키 암호 기반의 피싱 저항형 인증이 권고됩니다.

무료 클라우드에서 사용자가 강력한 인증 옵션을 적극적으로 켜지 않는다면, 자격 증명 한 줄이 곧 파일 전부에 대한 접근권이 됩니다. 그리고 그 자격 증명은 다른 사이트에서 유출되었거나, 피싱에 당했거나, 정보 탈취형 악성코드에 감염된 단말기에서 빠져나가 — 이미 범죄 시장에서 거래되고 있을 가능성이 매우 높습니다.

라) SLA 부재, 그리고 데이터의 영구 손실

엔터프라이즈 클라우드 계약에는 서비스 수준 협약(SLA)이 포함되어 가용성, 데이터 내구성, 복구 시간, 사고 통지 의무가 수치로 명시됩니다. 무료 티어에는 대부분 이러한 보장이 없습니다. 약관을 들여다보면 서비스 제공자는 사전 통지 없이 계정을 정지하거나 삭제할 수 있으며, 정책 위반이 의심되거나 일정 기간 비활성 상태가 지속되거나 서비스 자체가 단종될 경우 계정 — 그리고 그 안의 모든 파일 — 에 대한 접근이 단절될 수 있고, 무료 계정을 유일한 백업 수단으로 쓰는 경우 그 손실은 곧 파일의 영구 손실로 이어질 수 있습니다.

무료 클라우드를 유일한 저장소로 삼는다는 것은 그 모든 결정 권한 — 데이터의 존속 여부 자체를 — 외부의 정책과 알고리즘에 맡긴다는 의미입니다. 사업 연속성을 무엇보다 중요시해야 하는 기업 환경에서, 이는 받아들이기 어려운 위험 수준입니다.

한국 법체계에서 무료 클라우드가 가지는 법적 무게

국내 법령은 이러한 위험을 정면으로 다루고 있습니다. 개인정보 보호법 제26조는 개인정보 처리를 제3자에게 위탁하는 경우 위탁업무 수행 목적, 개인정보의 기술적·관리적 보호조치 등의 내용을 포함한 문서로 계약을 체결하도록 의무화합니다. 또한 위탁자는 수탁자가 개인정보를 안전하게 처리하는지 교육·감독해야 하며, 수탁자는 위탁받은 업무 범위를 초과한 이용이나 제3자 제공을 할 수 없고, 재위탁 시에는 위탁자의 동의를 받아야 합니다.

해석상 클라우드 서버에 개인정보를 보관·처리하는 것은 "제공"이 아닌 "위탁"으로 분류됩니다. 해외 사업자의 서비스를 이용하는 경우에는 개인정보 보호법 제28조의8에 따른 국외 이전 규정까지 추가로 적용됩니다. 정보주체와의 계약 이행을 위한 경우이거나, 해외 클라우드 업체가 ISMS-P 등 보호법 제32조의2에 따른 인증을 받고 안전조치를 이행한 경우에는 별도의 동의 요건을 갈음할 수 있습니다.

즉 기업이 무료 외산 클라우드에 업무 파일 — 그 안에 단 한 줄의 임직원 정보나 고객 정보가 포함된다면 — 을 올리는 행위는 그 자체로 법적 점검 대상이 됩니다. 무료 약관은 위탁 문서의 요건을 충족하지 못하는 경우가 대부분이며, 수탁자 감독 의무를 이행하기에 충분한 정보 공개도 이루어지지 않습니다. 인증, 감사, 사고 통지의 절차가 명시되지 않은 채 데이터를 맡긴다는 것은 법적 리스크를 사전에 자백하는 것에 가깝습니다. 사고가 발생했을 때 "무료라서 몰랐다"는 변명이 통하지 않는 영역입니다.

안전한 파일 공유의 다섯 가지 기본 원칙

첫째, 종단간 암호화를 기본으로 제공하는 서비스를 우선 하시기 바랍니다. 사용자가 키를 보유하는 영지식(zero-knowledge) 방식은 서비스 운영자조차 콘텐츠에 접근할 수 없으므로, 내부자 위협과 광범위한 노출 사고 양쪽에서 강한 보호가 됩니다. 저장 시 AES-256, 전송 시 TLS 1.2 또는 1.3 이상을 명시적으로 보장하는지 약관과 백서에서 확인하셔야 합니다. 데이터 분류 단계에서 민감 정보가 포함된 자료는 더욱 엄격한 암호화 표준을 요구하는 서비스로 분리 운영하는 것이 안전합니다.

둘째, 인증을 비밀번호 단독에서 다단계 인증으로 격상 하시기 바랍니다. SMS 기반 일회용 코드보다는 인증 앱(Authenticator), 그보다 더 안전한 FIDO2 하드웨어 키를 선택할 것을 권합니다. SMS와 푸시 알림처럼 공유 비밀에 기반한 MFA 방식은 피싱에 취약하며, 강력한 MFA는 비대칭키 암호 기반의 인증을 사용합니다. 관리자 계정과 대량 다운로드 권한이 있는 계정에는 반드시 피싱 저항형 인증을 강제하셔야 합니다. NIST SP 800-63B Rev.4 기준으로 개인정보를 다루는 서비스는 AAL2 이상이 사실상 의무에 가까운 기준선입니다.

셋째, 공유 설정을 "필요한 사람에게, 필요한 기간만, 필요한 권한으로"의 최소권한 원칙으로 운영 하시기 바랍니다. "링크가 있는 모든 사용자" 공유는 원칙적으로 지양하시고, 부득이한 경우 만료 일자, 다운로드 비활성화, 워터마크, 도메인 제한, 비밀번호 보호 같은 부가 통제를 함께 적용하셔야 합니다. 정기적으로 공유 권한을 감사하여 더 이상 필요하지 않은 외부 링크를 회수하는 절차도 정착시켜야 합니다. SaaS 환경 분석에서는 한 파일에 평균적으로 다수의 공유 권한이 부여되어 있고, 일부 파일에는 최대 35개의 공유 권한이 존재하며, 공개로 설정된 링크 중 상당수는 수년간 사용되지 않은 채 활성 상태로 방치된다는 보고가 있습니다.

넷째, 클라우드만 의존하지 않고 3-2-1 백업 원칙을 따르시기 바랍니다 . 즉 동일 데이터를 최소 3부 보관하되, 2종류 이상의 매체에 분산하고, 그중 1부는 물리적으로 분리된 위치에 보관합니다. 클라우드는 빠른 협업과 접근성에서 우수하지만, 단일 의존은 계정 정지, 정책 변경, 서비스 단종, 랜섬웨어 동기화 전파 같은 사건에 무방비입니다. 핵심 자료는 오프라인 매체에 별도로 보존해 두는 절차가 필수입니다.

다섯째, 클라우드 보안 형상 관리(CSPM)와 접근 로그 검토를 정례화 하시기 바랍니다. 공개 버킷, 만료되지 않은 외부 공유 링크, 과도하게 부여된 권한, 비정상적인 다운로드 패턴은 모두 사전 탐지가 가능한 신호입니다. 클라우드 데이터 침해의 상당수는 조직이 해당 위치에 데이터가 저장되어 있다는 사실 자체를 인지하지 못한 "쉐도우 데이터"에서 발생한다는 분석도 있습니다. 보안 이벤트는 사후 발견이 아니라 조기 차단의 영역으로 옮겨와야 합니다.

데이터의 끝, 그리고 다시 시작되는 책임

클라우드 안에서의 보안만으로 데이터 생애주기가 완성되는 것은 아닙니다. 백업 디스크와 테이프, 폐기 예정 서버의 내장 저장장치, 노트북과 외장 SSD, 그리고 클라우드 환경의 미러링용 온프레미스 매체까지 — 데이터는 결국 물리적인 형태로 어딘가에 존재하며, 그 마지막 단계에서 검증된 폐기가 이루어지지 않으면 앞 단의 모든 암호화·인증·공유 통제 투자는 역설적으로 새는 양동이가 됩니다. RTECH KOREA(알테크코리아)는 정보 자산의 종료 시점에 발생하는 이 책임의 공백을 메우는 전문 파트너입니다.

첫째, 다방법 데이터 폐기 체계 를 운영합니다. 디가우징(degaussing), 완전삭제(소프트웨어 기반 sanitization), 유압천공파쇄, 소각폐기, 더블크러쉬를 자산 종류와 보안 등급에 맞게 조합 적용하여 HDD, SSD, 플래시, 테이프 등 모든 매체에서 최적의 폐기 방식을 선택할 수 있도록 합니다. 클라우드 백업이 물리 디스크로 동기화되어 있던 경우, 그 디스크의 폐기까지 책임 범위에 포함됩니다.

둘째, Blancco 기반 SSD 완전삭제 솔루션 을 통해 NIST SP 800-88 Rev.2와 국가정보원의 저장매체 처리 지침에서 요구하는 sanitization 수준을 충족합니다. SSD는 디가우징으로 데이터를 지울 수 없는 매체 특성이 있기 때문에 인증된 완전삭제 소프트웨어가 필수이며, RTECH KOREA(알테크코리아)는 글로벌 표준 솔루션을 통해 재사용 가능한 상태로 깨끗하게 정리해 드립니다.

셋째, 목표 기반 절차 설계 를 통해 일률적인 폐기가 아니라 고객의 보안 등급, 매체 종류, 재사용 여부, 규제 요구사항에 맞춘 맞춤형 시나리오를 제공합니다. 금융·의료·공공 영역의 데이터는 더 엄격한 통제 절차가, 일반 기업의 폐기 자산은 비용 효율과 환경 영향까지 고려한 절차가 적용됩니다.

넷째, **표준화된 폐기 증명 패키지(Certificate of Sanitization)**를 NIST SP 800-88 Rev.2 권고 양식에 맞춰 제공합니다. 매체 식별 정보, 적용된 폐기 방식, 검증 단계, 담당자 서명, 입회자 기록까지 포함하는 증빙은 ISMS-P 인증 심사, 개인정보 보호위원회 조사, 국제 규제 대응에서 그대로 활용 가능한 형식입니다.

다섯째, 사전 진단 컨설팅 으로 폐기 이전 단계의 위험을 함께 점검합니다. 어떤 자산이 어디에 있고, 어떤 데이터가 어느 매체에 남아 있으며, 어떤 폐기 방식이 가장 적합한지를 함께 검토하여 사각지대를 제거합니다. 클라우드와 온프레미스가 혼합된 하이브리드 환경에서는 특히 잔여 데이터의 위치 파악이 중요한 출발점이 됩니다.

여섯째, 지속적인 운영 지원 을 통해 일회성 폐기가 아닌 자산 처분 정책의 운영 파트너 역할을 수행합니다. 정기 폐기 일정 설계, 내부 절차 표준화, 직원 교육, 사후 감사 자료 제공까지 포함됩니다.

또한 150여 개국에 이르는 글로벌 폐기 네트워크와 현장 출장 폐기 역량을 보유하고 있어, 고객이 보안 사유로 자산을 외부 반출하기 어려운 경우에도 사내에서 즉시 처리가 가능합니다. RTECH KOREA(알테크코리아)의 대표 데이터 폐기 브랜드 DieHDD™는 이러한 통합 역량을 한 곳에서 제공하는 솔루션 플랫폼입니다.

안전한 파일 공유 자가 점검 체크리스트

• 사용 중인 클라우드 서비스가 저장 데이터 암호화(AES-256 이상)와 전송 암호화(TLS 1.2 이상)를 모두 제공하는지 확인하셨습니까?

• 영지식(zero-knowledge) 또는 종단간 암호화 옵션을 검토하고, 민감한 자료에는 적용하셨습니까?

• 모든 계정에 다단계 인증(MFA)을 적용하셨습니까? 관리자 계정에는 FIDO2 같은 피싱 저항형 인증을 강제하셨습니까?

• 공유 링크는 만료 일자, 다운로드 차단, 도메인 제한, 비밀번호 보호 같은 부가 통제와 함께 사용하고 계십니까?

• "링크가 있는 모든 사용자" 공개 공유를 기본값에서 비활성화하셨습니까?

• 외부 공유 링크와 권한을 정기적으로 감사하여 불필요한 접근을 회수하고 계십니까?

• 3-2-1 백업 원칙(3부 보관, 2매체 분산, 1부 오프사이트)을 적용하고 계십니까?

• 클라우드 보안 형상 관리(CSPM) 또는 동등한 도구로 공개 버킷·잘못된 권한을 모니터링하고 계십니까?

• 무료·외산 클라우드 사용 시 개인정보 보호법 제26조(위탁), 제28조의8(국외 이전) 요건을 검토하셨습니까?

• 폐기·반납 예정인 노트북, 서버, 백업 매체에 대해 표준화된 폐기 절차와 폐기 증명서(Certificate of Sanitization) 발급 프로세스를 갖추셨습니까?

편리함의 단가는 결국 누군가가 지불합니다

무료 클라우드는 일상의 작은 협업에는 충분히 유용한 도구입니다. 그러나 그 안에 들어가는 데이터가 임직원 정보, 고객 정보, 거래 견적, 설계 도면, 의료 기록, 지적재산권을 한 줄이라도 포함하는 순간 — 편리함의 단가는 더 이상 0원이 아닙니다. 데이터 노출, 자격 증명 탈취, 영구 손실, 그리고 그 뒤에 따라오는 법적 책임과 신뢰의 손상까지 — 보이지 않는 비용은 항상 누군가가 지불하게 됩니다.

안전한 파일 공유는 선택이 아니라, 정보를 다루는 모든 조직과 개인의 의무입니다. 그리고 정보의 시작부터 끝까지 — 생성, 이동, 공유, 보관, 그리고 마지막 폐기까지 — 전 생애주기에서 보안을 책임지는 파트너가 필요합니다. RTECH KOREA(알테크코리아)는 데이터 생애주기의 마지막 한 단계, 그 누구도 다시 복원할 수 없도록 만드는 책임을 함께합니다.