데이터안전법이 중소기업 IT 구매에 미치는 실제 영향

데이터보안법이 중소기업 IT 구매에 미치는 실제 영향

2021년 9월 《데이터보안법》이 정식 시행된 지 3년이 지난 지금, 베이징의 많은 중소기업 대표님들은 다소 난처한 현실을 마주하고 있습니다. 규정 준수 체크리스트는 갈수록 길어지는데 구매 결정은 오히려 더 어려워졌다는 점입니다. 예전에는 IT 공급업체를 고를 때 가격과 사후 서비스를 봤다면, 이제는 데이터 보안 역량이 충분한지까지 따져야 합니다. 이는 불안을 조장하려는 것이 아니라 실제 규제 압력이 전달되고 있다는 뜻입니다. 제가 그동안 제조업과 무역 기업의 IT 계획을 세워오면서 거의 모든 고객이 같은 질문을 던졌습니다. 구매할 때 공급업체의 어떤 데이터 보안 자격을 봐야 하는가 하는 점입니다. 이 글에서는 실무 경험을 바탕으로 데이터보안법이 IT 구매에 미치는 영향을 풀어 설명하고, 특히 분류·등급화, 국외 이전 심사, 현지 저장, 공급업체 평가, ISO 27001 적용이라는 다섯 가지를 중점적으로 다룬 뒤 마지막에 바로 활용할 수 있는 컴플라이언스 체크리스트를 첨부합니다.

분류·등급화: 구매 결정의 첫 번째 관문

데이터보안법의 핵심 논리는 ‘데이터 분류·등급화 보호’입니다. 법 제3조는 국가 안보, 국민경제의 명맥, 중요 민생, 중대한 공공 이익과 관련된 데이터는 국가 핵심 데이터에 해당하므로 엄격하게 관리하고, 그 밖의 데이터는 중요도에 따라 등급별로 보호한다고 명확히 규정하고 있습니다. 이 제도는 IT 구매의 평가 기준에 직접적인 영향을 미쳤습니다.

중소기업에게 가장 중요한 과제는 자사 데이터를 먼저 정확히 파악한 뒤 구매 계획을 세우는 것입니다. 의료기기 부품을 수출하는 한 무역 기업의 경우, 고객 주문 데이터, 생산 공정 파라미터, 공급업체 견적서 등은 얼핏 평범해 보이지만 의료기기 등록 정보나 수출국 법규 요건과 관련되면 중요 데이터 범주로 올라갈 수 있습니다. 일단 중요 데이터로 인정되면 저장 매체, 네트워크 장비, 심지어 사무용 소프트웨어의 선택까지 제한을 받게 됩니다.

저희 고객 중 순이구에 있는 한 식품 가공 기업은 자체 문서 시스템을 구축하려고 중고 파일 서버를 구매한 적이 있습니다. 그런데 정기 점검에서 구청 시장감독관리국이 해당 서버가 소규모 전산실에 위탁 운영되고 있으며, 그 전산실에 등급보호 신고도 데이터 보안 관리 제도도 없다는 사실을 발견했습니다. 결국 처벌은 받지 않았지만 시정을 요구받아 보안 자격을 갖춘 클라우드 스토리지 서비스를 다시 구매해야 했습니다. 이 사례는 등급화·분류가 형식적인 절차로 끝나는 일이 아니라 구매 방안의 보안 기준선을 결정한다는 점을 보여줍니다.

국외 이전 심사와 현지 저장: 나란히 놓인 두 갈래 컴플라이언스 레드라인

데이터의 국외 이전은 중소기업의 IT 구매에서 가장 실수하기 쉬운 부분입니다. 《데이터보안법》 제31조는 중요 데이터의 국외 이전 시 보안 평가를 받아야 한다는 요건을 명확히 했고, 이에 따른 《데이터 국외 이전 보안 평가 방법》은 신고 조건과 절차를 더욱 구체화했습니다. 실제 집행에서는 연매출 1,000만 위안을 넘고 중요 데이터의 국외 이전이 관련된 기업은 성급 네트워크 정보 부서에 보안 평가를 자진 신고해야 합니다.

여기서 특히 유의해야 할 실무적 세부 사항이 있습니다. 많은 기업이 서버를 국외로 옮겨야만 데이터 국외 이전에 해당한다고 생각하지만, 실제로는 SaaS 서비스의 국외 호출, 해외 자회사의 국내 데이터 접근, 심지어 직원이 해외 이메일로 업무 파일을 전송하는 것까지 데이터 국외 이전 행위로 인정될 수 있습니다. 저는 크로스보더 전자상거래를 하는 차오양의 한 기업이 미국 CRM 시스템을 도입해 고객 연락처와 주문 데이터를 저장했다가 국외 이전 평가를 받지 않았다는 이유로 주무 부서의 면담을 받은 사례를 봤습니다. 시정 방안은 20만 위안이 넘는 비용을 들여 국산 CRM 시스템을 다시 구매하고 데이터를 전부 국내 서버로 이전하는 것이었습니다.

IT 운영 아웃소싱 서비스의 경우, 해외 공급업체보다 현지 서비스 업체를 선택하는 편이 컴플라이언스 측면에서 훨씬 안전합니다. Siwenlide는 순이구, 차오양구, 하이뎬구에서 장기적으로 협력하는 고객을 두고 있으며, 저희 서비스 팀은 전원 국내에 있어 데이터가 국외로 나가지 않습니다. 이것이 가장 기본적인 컴플라이언스 약속입니다.

공급업체 평가와 ISO 27001 적용: 구매 단계의 확실한 담보

데이터보안법 제3조는 데이터 처리자가 전 과정에 걸친 데이터 보안 관리 제도를 수립·정비해야 한다고 규정하며, 이는 기업이 IT 제품과 서비스를 구매할 때 공급업체의 보안 역량을 평가할 의무가 있음을 뜻합니다. 공급업체가 데이터 보안 관리 제도 문서를 제공할 수 있는지, 전담 보안 책임자가 있는지, 보안 감사에 협조할 수 있는지는 모두 구매 협상에서 필수 조항이 되었습니다.

ISO 27001 정보보안 경영시스템 인증은 현재 시장에서 가장 널리 통용되는 데이터 보안 역량의 보증입니다. 이 인증을 취득했다는 것은 공급업체가 위험 평가, 자산 식별, 보안 정책, 내부 심사, 경영 검토 등의 단계를 포함한 완전한 정보보안 관리 체계를 갖추었음을 의미합니다. 중소기업이라면 ISO 27001 인증을 보유한 IT 공급업체를 우선 선택하는 것이 컴플라이언스 심사에서 의문을 받을 위험을 크게 낮춰 줍니다.

1. 공급업체에 ISO 27001 인증서 원본 제시를 요구하고, 인증서 유효 기간과 인증 범위가 제공받는 IT 서비스 내용을 포함하는지 확인합니다
2. 공급업체가 등급보호 2급 또는 3급 신고를 갖추었는지 확인하고, 신고 등급이 처리하는 데이터의 등급과 일치해야 합니다
3. 공급업체의 데이터 보안 관리 제도가 데이터 분류·등급화, 접근 통제, 암호화 요건, 비상 대응 등 핵심 항목을 포함하는지 확인합니다
4. 공급업체의 물리적 보안과 환경 보안을 평가하고, 서버 위탁 전산실이 소방, 온도 제어, 침입 경보 등 기본 설비를 갖추었는지 확인합니다
5. 공급업체의 과거 보안 사고 기록과 시정 조치 상황을 확인하여 보안 운영 역량을 파악합니다

한 가지 언급할 만한 점은 데이터보안법과 ISO 27001이 체계 논리에서 상당히 높은 정합성을 보인다는 것입니다. ISO 27001은 위험 관리 프로세스를 강조하고, 데이터보안법은 기업이 데이터 보안 관리 제도를 수립하고 위험 평가를 실시할 것을 요구합니다. 두 가지의 접점은 위험 평가 방법론입니다. 기업이 데이터 자산을 정리하고 분류·등급화할 때 ISO 27001의 위험 평가 도구와 템플릿을 그대로 활용하면 중복 작업을 줄일 수 있습니다.

기업이 IT 구매 과정에서 공급업체가 해당 자격을 제공하지 못하는 상황을 마주한다면, 보안 강화 기능을 갖춘 제품 조합을 구매하는 방안을 고려할 수 있습니다. Siwenlide가 제공하는 네트워크 장비 패키지 서비스에는 계약 기간 동안 장비 제공과 구축뿐 아니라 보안 설정과 운영 지침이 함께 포함되어, 고객이 컴플라이언스 요건을 기술적 차원에서 이행하도록 돕습니다.

중소기업 데이터 보안 컴플라이언스 구매 체크리스트

위 분석을 종합해 데이터보안법이 IT 구매에 요구하는 실제 사항을 실행 체크리스트로 정리했습니다. 기업 IT 책임자와 대표님이 참고하시기 바랍니다. 이 체크리스트는 법률 자문은 아니지만 규제 점검에서 흔히 주목하는 지점은 대부분 담고 있습니다.

첫째, 데이터 자산 정리와 분류·등급화입니다. 모든 컴플라이언스 작업의 출발점이자 가장 쉽게 건너뛰는 단계입니다. 일주일 정도 시간을 내어 기업 핵심 업무 시스템에 대응하는 데이터 유형, 저장 위치, 접근 인원, 흐름 경로를 모두 그려 데이터 자산 목록을 만드는 것을 권합니다. 분류 기준은 《데이터 분류·등급화 지침》을 참고하여 데이터를 핵심 데이터, 중요 데이터, 일반 데이터 세 등급으로 나눕니다. 이 단계를 제대로 해두어야 이후 구매 결정에 근거가 생깁니다.

둘째, 현재 IT 아키텍처의 컴플라이언스 격차를 평가합니다. 분류·등급화 결과에 비추어 기존 서버, 저장 장치, 네트워크 장비, 클라우드 서비스가 해당 보안 요건을 충족하는지 점검합니다. 특히 데이터가 국외 서버나 인증되지 않은 전산실에 잘못 저장되어 있지는 않은지, 접근 권한이 최소 필요 원칙에 따라 설정되어 있는지, 민감 데이터가 암호화되어 저장·전송되는지에 유의합니다.

셋째, 신규 구매의 보안 사양 요건을 정합니다. 컴플라이언스 격차 분석 결과에 따라 구매 요구서에 데이터 보안 관련 조항을 명확히 합니다. 핵심 요소로는 공급업체 자격 요건(ISO 27001, 등급보호 인증), 데이터 저장 위치 요건(반드시 국내), 데이터 국외 이전 제한 조항, 보안 사고 대응 기한, 서비스 연속성 보장, 비밀 유지 의무와 위약 책임이 있습니다.

넷째, 계약 전 보안 실사입니다. 번거롭다고 넘기지 마십시오. 이 단계를 충실히 해두면 앞으로의 많은 문제를 덜 수 있습니다. 공급업체에 자격 증서, 보안 제도 문서, 비상 대응 계획을 요구하고, 필요하면 현장 방문을 마련해 전산실 환경과 운영 팀의 실제 상황을 확인할 수 있습니다.

다섯째, 계약 이행 중의 지속적인 감독입니다. 데이터 보안 컴플라이언스는 일회성 작업이 아닙니다. 기업은 최소 연 1회 공급업체의 자격 유효성을 심사하고, 공급업체의 보안 공지와 사고 통보에 주의하며, 내부 데이터 보안 관리 제도를 적시에 갱신해야 합니다.

전담 IT 인력이 없는 소규모 기업이라면 완전한 보안 자격을 갖춘 IT 운영 아웃소싱 서비스를 곧바로 선택해 컴플라이언스 책임을 전문 서비스 업체에 통째로 맡기는 것을 권합니다. Siwenlide가 서비스하는 300여 개 고객 중 상당수도 이런 방식으로 데이터 보안 컴플라이언스에 대한 부담을 해결했습니다.

데이터보안법의 시행은 중소기업의 IT 구매에 분명 복잡성을 더했습니다. 하지만 이는 기업이 자신의 데이터 자산 관리 수준을 다시 돌아보게 만드는 계기가 되기도 합니다. 컴플라이언스 요건을 구매 기준으로 전환하면 규제 점검을 통과할 수 있을 뿐 아니라 기업 자체의 네트워크 보안 방어 역량도 실질적으로 높일 수 있습니다. 엄정한 구매 요구서 한 부와 완전한 공급업체 평가 프로세스는 실제로 기업 데이터 보안의 기초를 다지는 일입니다.