미국 : 시스템을 지키는 것이 개인의 보호보다 우선

유럽 : 개인의 정보보호에 초점을 맞춘 정책

작년 여름 에드워드 스노든이 NSA의 정보 수집 현황을 폭로하면서 세계가 들썩였던 적이 있다. 그 여파는 아직까지도 유효하다. 스노든의 그 폭로는 그 내용 자체로도 쇼킹했지만 무엇보다 “우리는 왜 정보를 보호하는가?”, “누구로부터 보호하는가?”에 대한 본질적인 질문을 다시 한 번 던진 것이나 다름없었다.

스노든의 폭로에 대한 나라들의 반응도 가지각색이었다. 이런 반응을 관찰하면서 국가들이 “보안 vs. 프라이버스” 문제를 어떤 식으로 생각하고 있고 어떻게 접근하고 있는지도 파악할 수 있었다. 그리고 이 문제를 어떻게 바라보느냐는 곧 보안 시스템을 어떤 식으로 구성하고 구축하느냐와 곧바로 연결된다. “보호해야 할 정보가 무엇인가?”의 질문에서 출발하느냐 “어떻게 해야 해커들이 얼씬도 못하게 하는가?”에서 출발하느냐는 크게 다른 결과를 낳는다.

유럽과 미국을 대략 비교해보면 유럽의 프라이버시 관련 보호 정책은 굉장히 엄격하다. 미국의 보안 시스템 설계의 가장 기본 원리는 시스템을 공격으로부터 보호하는 것이다. 유럽에서는 기업들이 어떤 식으로 개인의 정보를 공개하고 저장해야 하는지를 법이 엄격하게 규정하고 있다. 유럽의 각 정부 역시 엄격하게 이를 준행하도록 요구하고 있으며 유럽연합 내에서도 개인정보의 공개 및 저장에 대한 공통의 법규가 마련되어 있다. 여기에 더해 유럽의 기업들은 추가적인 프라이버시 층위인 고용인의회(employee council)를 마련해 직원들의 정보를 보호하고 있다.

미국에서는 회사들이 개인정보의 공개와 저장에 대한 ‘자치권’을 가지고 있다. 미국 정부 역시 웹을 통해 사람들을 추적하고 제3자에게 정보를 파는 행위를 제한한다고는 하지만 최소한의 개입만 하고 있다. 미국의 기업들은 데이터를 어떻게 다루는지에 대해 얼마나 공개할 것인지 스스로 결정할 권리도 가지고 있다. 한 마디로 미국의 회사들은 기업에게 민감한 정보를 보호하고 공격으로부터 시스템을 지켜내기 위해 온갖 수단을 동원하지만 고객이나 직원들의 프라이버시에 대해서는 조금은 소홀한 경향이 있다.

결국 역사와 문화에 따라 달라져

정보를 생성한다는 건 전 세계 공통이다. 정보유출 사고나 백도어 등의 위협 역시 어디서나 같다. 그렇다면 왜 그에 대한 반응은 제각각일까? 가장 먼저는 지리에 따른 문화 및 정치 유산의 차이에서 그 이유를 찾을 수 있다. 유럽의 문화는 미국의 그것보다 보통 훨씬 보수적이고 위험부담을 최대한 줄이는 걸 선호한다. 미국은 위험을 감수하더라도 혁신을 더 높은 가치로 여긴다. 그래서 미국의 기술 전문가들 중에는 프라이버시를 너무 엄격하게 지키다보면 혁신을 이룰 수 없다고까지 말한다. 또한 개인주의 경향이 강한 미국이다 보니 개인정보를 어떻게 다루어야 하는지 역시 회사가 결정할 수 있도록 하는 풍토가 있는 것이다. 하지만 유럽에서는 개인의 프라이버시를 정부가 보호해야 할 것으로 이해하고 있다.

역사적 배경에서도 미국과 유럽의 차이점을 찾을 수 있다. 유럽의 국가들, 특히 세계2차대전 이후의 독일 정부는 국민을 대상으로 한 비밀 스파이 행위에 대해 굉장히 민감해졌다. 그 결과 개개인의 프라이버시를 과도할 정도로 강조하는 법안 및 정책이 자리 잡게 되었고 정부 및 대규모 조직들은 이런 법안 및 정책을 꼭 준수할 수밖에 없게 되었다. 반면 개개인에 대한 프라이버시 침해 행위가 작년에서야 문제가 된 미국은 역사적으로 유럽보다 이런 점에 있어서 상당히 늦다고 볼 수 있다.

데이터 프라이버시에 대한 논란은 개별 회사를 넘어 정부가 개인의 사적인 정보에 어느 정도나 접근권한을 가져야 할지로까지 확대되고 있다. 스노든이 언론에 유출한 NSA 문건을 통해 대중은 미국 정보국이 미국 기업들의 소비자 정보를 별다른 문제의식 없이 요구해왔다는 걸 알게 되었다.

최근 마이크로소프트는 유럽에 있는 데이터 센터에 저장된 고객 정보를 넘기라는 미국 법원의 판결에 항소했다가 패했다. 미국 법원은 유럽 데이터 센터에 있긴 하지만 결국 미국 회사가 관리하는 데이터가 자신들의 권한 아래 있다고 판단한 것이다. 이는 미국 정부가 미국 기업들이 가지고 있는 정보에 대해 어떤 식으로 인식하고 있는지를 잘 보여주는 사례다. 그들에게 있어 데이터의 물리적 위치는 고려 사항이 아니다. 이는 유럽이 가지고 있는 데이터 프라이버시 개념과 정면으로 부딪힌다. 이 때문에 미국 클라우드 서비스 제공업체들은 추후 국제적인 사업을 벌일 때 어느 정도 난관에 부딪힐 것으로 예상된다.

쉥겐 클라우드(Schengen Cloud)

독일 수상인 앙겔라 메르켈은 유럽연합의 최전선에서 미국 정보국의 심각한 스파잉 행위에 저항하고 있다. 유럽의 몇몇 국가들에서는 이른바 쉥겐 클라우드라고 하는 데이터 보호 정책을 이제는 실현해야 한다는 목소리가 일고 있다. 쉥겐 클라우드란 유럽 국가들만을 대상으로 하는 통합 전자 커뮤니케이션 네트워크를 말하며 미국의 개입 없는 유럽 국가들만의 소통 공간을 원하는 그들의 열망을 나타낸다. 하지만 미국은 이에 거세게 반대하고 있다. 유럽에 있는 정보 및 커뮤니케이션 업체들에게 불공평한 이점이 주어진다는 논리다.

데이터 프라이버시에 대한 미국과 유럽의 인식 차이는 벌써 기업 간 사업 진행과 국가 간 정치적 관계에 적지 않은 영향을 주고 있다. 독일은 이미 버라이즌과의 계약을 갱신하지 않겠다고 발표했다. 버라이즌이 미국 정부와 뭘 주고받을 지 알 수 없기 때문에 찜찜하다는 것이 이유였다. 더불어 독일 정부는 다른 정부에 어떤 정보도 넘기지 않을 수 있는 통신회사와 계약을 하겠다고 발표했다. 이런 움직임이 주류가 되면 될수록 미국 기업들은 불리한 위치에서 경쟁해야 한다. 이미 IFTF는 보고서를 통해 미국의 클라우드 산업은 3백 5십억 달러에 상당하는 손해를 볼 것이라고 예견하기도 했다. 그래서 어떤 기업들은 본사를 미국이라는 땅 덩어리 바깥으로 옮기고도 있다.

기기는 점점 인터넷과 연결되고 있고 그에 따라 생성되는 정보는 날마다 빠른 속도로 늘어나고 있다. 정보를 가지고 사업을 하는 업체들은 이제 프라이버시냐 보안이냐 사이에서 고민하는 것이 아니라 한쪽 편에 서서 분명한 입장을 취해야 한다.

ⓒDARKReading

[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>