데이터 레지던시란 무엇인가요?

데이터 레지던시란 데이터의 지리적 또는 물리적 위치를 의미합니다. 이는 데이터를 처리하고 저장하는 데이터 센터, 서버 또는 기타 인프라가 위치한 국가 또는 지역으로 식별할 수 있습니다.

데이터 레지던시를 계획하고 추적하는 것은 전 세계적으로 진화하는 데이터 보안 및 데이터 프라이버시 관련 법률을 준수하는 데 도움이 되는 중요한 작업입니다. 데이터 보호 관련 법률은 관할 구역에 따라 다를 수 있으므로 조직의 데이터 자산이 있는 지리적 위치에 따라 적용되는 법적 요건이 결정될 수 있습니다.

법적 요건은 데이터 수집에 대한 동의 획득 규칙부터 데이터 스토리지 기간 제한에 이르기까지 다양합니다. 또한 일부 국가에서는 자국 국경 내에서 운영되는 조직에 대해 데이터 레지던시 요건을 두고 있습니다. 즉, 데이터가 특정 위치에 있어야 해야 하며 데이터 이전이 제한되거나 허용되지 않는 데이터 현지화를 의무화합니다.

기업은 규정 준수를 보장하기 위해 데이터 레지던시를 파악하고 추적하는 소프트웨어 솔루션을 점점 더 많이 활용하고 있습니다. 이러한 솔루션은 국경을 넘어 여러 위치 간의 데이터 흐름을 모니터링하여 데이터가 다양한 목적지에서 규제 요건을 위반하지 않도록 합니다.

오늘날 데이터 레지던시가 중요한 이유를 이해하려면 전 세계 데이터 스토리지 및 데이터 보호의 발전 과정을 살펴보는 것이 도움이 됩니다.

2000년대 초, 최신 클라우드 인프라 및 클라우드 서비스 제공업체는 데이터 관리 와 데이터 처리의 환경을 혁신적으로 변화시켰습니다. 원격 서버에 대한 온디맨드 액세스가 가능해짐에 따라 기업은 더 이상 온프레미스에서 사용 가능한 컴퓨팅 성능과 스토리지에 제한받지 않게 되었습니다. 대신, 기업은 Amazon Web Services(AWS), Microsoft Azure, Google Cloud와 같은 클라우드 제공업체가 운영하는 다양한 국가의 데이터 센터를 활용할 수 있게 되었습니다.

이러한 클라우드 기반 인프라는 빠른 확장성과 유연성을 제공할 뿐만 아니라 엣지 컴퓨팅 (데이터 생성 위치와 가까운 곳에 컴퓨팅 리소스가 있어야 하는 경우)과 같은 사용 사례에서 지연시간을 줄입니다. 더 많은 기업이 AI 워크로드를 도입함에 따라 데이터 센터 사용량은 계속 증가할 것이며, McKinsey의 2025년 연구에 따르면 데이터 센터 용량 수요는 2030년까지 거의 세 배로 증가할 것으로 예상됩니다.¹

기술 발전으로 기업이 더 많은 고객 데이터를 수집, 처리 및 저장할 수 있게 되자, 각국 정부는 소비자를 보호하기 위한 데이터 프라이버시 관련 법률을 마련하기 시작했습니다. 유럽 연합(EU)은 1995년 데이터 보호 지침(Data Protection Directive)과 2018년 발효된 획기적인 일반 데이터 보호 규정(GDPR)을 통해 데이터 수집 및 보호 분야를 선도했습니다. GDPR은 조직이 개인 데이터를 보호하는 방법에 대한 요건을 설정하고, EU 거주자(이하 '데이터 주체')의 개인 데이터 수집, 사용 및 보유에 대한 권리를 규정합니다.

호주, 브라질, 캐나다, 중국, 인도, 일본, 남아프리카공화국, 아랍에미리트 등 EU 외부 국가는 결국 자체적인 데이터 보호법을 제정했습니다. 오늘날 거의 80%의 국가가 데이터 프라이버시 및 보호 관련 법률을 보유하고 있습니다.²

많은 경우, 입법자의 데이터 보호 노력에는 데이터 현지화 법률도 포함되었습니다. 이는 조직이 특정 지역 밖으로 데이터를 이전하는 것을 제한하고 해당 지역의 데이터 레지던시를 유지 관리하도록 요구하는 조치입니다. 데이터 현지화 지지자는 개인정보 보호 권리에 대한 우려 외에도 보안 및 사이버 보안 문제를 제기했습니다. 민감한 데이터가 원산지 국가 외부에 저장될 경우 해당 국가의 보안 기관이 접근하기 어려울 뿐만 아니라 해외 감시 및 국제 범죄 조직의 데이터 유출에 취약해질 수 있다는 것입니다.

현지화 요건은 국경 간 개인 데이터 이전을 완전히 금지하는 경우(러시아)부터 민감한 의료 데이터와 같은 특정 유형의 데이터 이전을 제한하는 경우(호주)까지 다양합니다.³ McKinsey에 따르면, 4분의 3의 국가가 데이터 현지화 규칙을 시행하고 있습니다.⁴

클라우드 컴퓨팅의 성장과 각 국가의 데이터 프라이버시 및 현지화 관련 법률 발전이라는 두 가지 추세가 맞물리면서 기업은 자사 데이터가 항상 정확히 어디에 저장되는지 파악하는 것이 매우 중요해졌습니다. 오늘날 조직은 전 세계 데이터 센터에 분산된 방대한 데이터 에코시스템이 관련 관할 구역의 규정 준수 요건을 충족하는지를 판단해야 하는 과제에 직면해 있습니다. 그리고 어떤 법률이 어떤 데이터 자산에 적용되는지 판단하려면 규제 대상 데이터의 레지던시를 확인하고 추적해야 합니다.

데이터 레지던시와 데이터 주권 은 서로 다르지만 밀접하게 관련된 용어입니다. 데이터 레지던시는 데이터가 저장되는 특정 위치를 의미하는 반면, 데이터 주권은 국가가 자국 국경 내에서 생성되거나 처리된 데이터에 대해 법적 및 규제적 권한을 갖는다는 원칙입니다. 즉, 데이터 레지던시는 지리적 개념이고 데이터 주권은 법적 개념입니다.

데이터 레지던시는 어 국가의 데이터 주권 관련 법률이 적용되는지 결정하는 데 중요한 요소인 경우가 많으며, 데이터 흐름에 따라 데이터 레지던시와 주권이 모두 둘 이상의 국가에 걸쳐 적용될 수 있습니다.

예를 들어 미국에 본사를 둔 기업이 EU 회원국 내에서 데이터를 수집하고 저장하는 경우 GDPR 요건을 준수해야 합니다. 이 경우 데이터는 해당 국가에 상주하게 되므로 EU가 데이터 주권을 갖게 됩니다. 만약 해당 기업이 데이터를 캐나다의 SaaS 앱으로 이전하여 처리한다면, 데이터는 캐나다에도 상주하게 됩니다. 이는 결국 캐나다에도 데이터 주권을 부여하게 되며, 캐나다의 개인정보보호 및 전자문서법(PIPEDA)을 준수해야 할 가능성이 높아집니다.

데이터 레지던시 및 데이터 현지화와 관련된 법률 및 규정의 글로벌 환경은 복잡하고 끊임없이 변화하며, 일부 규칙은 다른 규칙보다 더 엄격합니다. McKinsey의 연구원은 현지화 조치를 네 가지 카테고리로 분류합니다.⁵

• 데이터를 특정 지리적 지역에 저장하고 처리하도록 요구하는 의무 사항으로, 궁극적으로 기업은 해당 관할 구역에 현지 인프라를 구축하거나 사용해야 합니다.
  
  
• 데이터를 원래 지역 외부로 복제하는 것을 허용하는 규정으로, 복사본은 원래 지역에 유지해야 합니다.
  
  
• 개인 데이터를 원래 관할 구역 밖으로 이전할 경우 조직이 개인의 동의를 얻도록 요구하는 규정.
  
  
• 원래 관할 구역 외부로 데이터 이전을 허용하지만 데이터 프라이버시 보호를 위한 조치를 시행하도록 요구하는 규정.

관할 구역마다 다른 요건이 포함될 수 있으며, 일부는 특정 유형의 민감한 데이터에만 적용됩니다.

기업이 데이터 저장소 전반에 걸쳐 데이터 레지던시를 추적하고 관리하지 못하면 다양한 위험이 발생할 수 있습니다.

특히 국경 간 데이터 흐름이 있는 규제 산업 분야의 기업은 데이터 레지던시를 추적하고 다양한 관할 구역의 규정을 준수하기 위해 소프트웨어를 활용하고 있습니다. 가장 일반적인 솔루션 유형은 데이터 보안 태세 관리(DSPM)입니다.

DSPM 플랫폼은 온프레미스 및 클라우드 리소스 전반에 걸쳐 데이터를 찾고 데이터 흐름을 추적합니다. 민감한 데이터를 찾아 분류하고 적용 가능한 규제 프레임워크를 준수하지 않을 위험을 식별할 수 있습니다. 즉, DSPM은 특정 국가에 저장되거나 처리되는 데이터가 해당 국가의 법률을 준수하지 않고 처리될 경우 조직에 경고를 보낼 수 있습니다.

또한 많은 DSPM 솔루션은 잠재적 위험을 해결하기 위한 단계별 해결 지침을 제공하여 기업이 데이터 레지던시 및 주권 문제가 비용이 많이 드는 문제로 발전하기 전에 대응할 수 있도록 합니다.