데이터 주권(Data Sovereignty)이 클라우드 선정 기준이 되는 시대
Airbus가 클라우드 공급자 선정 입찰에서 이례적인 평가 항목을 도입했다. 기술 역량, 비용, 가용성과 같은 전통적인 기준과 동등한 가중치로 "비유럽 역외 법률로부터의 데이터 보호"를 평가 점수에 포함시킨 것이다. 그 결과 Airbus는 유럽 주권 클라우드 사업자인 Scaleway를 선택했다. 이 결정은 단순한 공급사 교체가 아니라, 데이터 주권 요구사항이 실질적인 아키텍처 의사결정의 핵심 축으로 자리잡고 있음을 보여주는 사례다.
미국의 CLOUD Act는 미국 기업이 운영하는 클라우드 서비스에 저장된 데이터에 대해 미국 정부가 접근을 요구할 수 있는 법적 근거를 제공한다. 이는 데이터가 물리적으로 EU 데이터센터에 있더라도 적용될 수 있다. GDPR 준수만으로는 충분하지 않다는 인식이 유럽 대형 기업들 사이에서 확산되고 있으며, Airbus의 사례는 이 흐름을 공식적인 조달 프로세스 차원에서 명문화했다는 점에서 주목할 만하다.
멀티클라우드 전략의 보완재로서의 주권 클라우드
중요한 점은 Airbus가 AWS 등 기존 하이퍼스케일러를 완전히 배제한 것이 아니라는 사실이다. Scaleway의 도입은 기존 멀티클라우드 전략을 대체하는 것이 아니라 보완하는 형태로 설계되었다. 즉, 워크로드의 성격과 데이터 민감도에 따라 공급사를 분리하는 전략이다.
백엔드 시스템 설계 관점에서 이 접근은 익숙한 패턴이다. 민감 데이터(계약서, 설계 도면, 개인정보)는 주권 클라우드 환경에, 범용 컴퓨팅이나 글로벌 CDN은 하이퍼스케일러에 배치하는 방식이다. 실무에서는 이를 위해 데이터 분류 체계(Data Classification)를 먼저 수립하고, 각 클래스에 맞는 스토리지 및 처리 환경을 정의하는 작업이 선행되어야 한다.
# 데이터 분류 예시
data_classification:
confidential:
storage: sovereign-cloud # Scaleway 등 유럽 주권 클라우드
jurisdiction: EU-only
internal:
storage: multi-cloud # AWS, GCP 등 병행 사용 가능
jurisdiction: flexible
주권 클라우드 선언만으로는 부족하다
실무 현장에서 가장 중요한 경고는 이것이다. "주권 클라우드"라는 레이블 자체가 보안을 보장하지 않는다. Airbus 사례에서도 실무자들이 강조한 핵심은 **검증 가능한 통제 수단(verifiable controls)**의 확보다. 공급자가 역외 법률로부터 독립적임을 주장하더라도, 이를 감사(audit)하고 증명할 수 있는 메커니즘이 없다면 의미 있는 보호라고 보기 어렵다.
Java 백엔드 개발자 입장에서 이는 다음과 같은 실질적인 체크리스트로 이어진다.
- 암호화 키 관리: 키가 공급자가 아닌 자사 또는 신뢰된 EU 기관에 의해 관리되는지 확인
- 감사 로그 접근성: 클라우드 접근 이력을 독립적으로 조회하고 보존할 수 있는지 검토
- 계약적 보호: 데이터 접근 요청 시 통지 의무, 법적 대응 절차가 SLA에 명시되어 있는지 확인
- 공급자 소유 구조: 모회사나 투자자가 역외 법률의 적용을 받는 국가에 있지 않은지 검토
이 흐름은 대형 하이퍼스케일러에 국한되지 않는다. 소규모 미국 SaaS 벤더들—모니터링 도구, CI/CD 플랫폼, 로깅 서비스 등—역시 동일한 기준의 검토 대상이 되고 있다. 백엔드 팀이 외부 서비스를 도입할 때 기능 요구사항 못지않게 데이터 주권 관점의 검토가 필요한 시점이다.
정리
- Airbus는 클라우드 공급자 평가에서 역외 법률 보호를 기술 역량과 동등한 점수 항목으로 포함시켰으며, 이는 데이터 주권이 실질적인 조달 기준으로 격상되었음을 의미한다.
- 주권 클라우드는 기존 멀티클라우드를 대체하는 것이 아니라 데이터 민감도 기반의 워크로드 분리 전략으로 활용되며, 시스템 설계 단계에서 데이터 분류 체계 수립이 선행되어야 한다.
- "주권 클라우드" 선언 자체보다 암호화 키 관리 주체, 감사 로그 독립성, 계약적 통지 의무 등 검증 가능한 통제 수단의 확보가 실질적인 보호의 핵심이다.