디지털 주권이란?

디지털 주권이란 조직이 자체 디지털 자산을 제어할 수 있는 능력을 말합니다. 즉, 데이터가 어디에 저장되는지, 시스템이 어떻게 운영되는지, 그리고 액세스 권한이 누구에게 있는지를 결정할 수 있는 권한입니다. 

외부 공급업체에 제어권을 넘겨주는 것이 아니라, 기업이 데이터와 기술을 '지배'하는 것으로 생각하면 쉽습니다. 

디지털 주권은 인프라, 운영, AI 워크로드 등에 적용할 수 있습니다.

Red Hat의 디지털 주권 솔루션 확인하기

기업과 정부 모두 디지털 주권을 추구할 수 있습니다. 일부 정부는 유럽 연합(EU)의 일반 데이터 보호 규정(GDPR)이나 미국의 해외 데이터 합법적 활용 명확화법(CLOUD Act)처럼 관할 구역 전반의 디지털 제어권을 정의하고 집행하는 법률을 시행하고 있습니다. 이 법령들은 소비자와 지적 재산을 보호하고 자립성과 복원력을 유지하며 위험을 줄이는 것을 목표로 삼습니다. 

이 문서에서는 기업의 디지털 주권을 중점적으로 살펴보겠습니다. 

서비스 공급업체를 위한 디지털 주권 전략 살펴보기 

디지털 주권이란 자동차를 렌트하거나 리스하는 것이 아닌 직접 구매하는 것이라 볼 수 있습니다. 자동차를 소유하면 더 많은 자유와 프라이버시, 유연성, 그리고 독립성을 가질 수 있습니다. 그러나 여기에는 초기 비용과 유지 관리, 그리고 유효한 운전면허가 필요합니다. 

자동차를 소유하는 것과 마찬가지로 디지털 주권에는 막중한 책임이 따르며 많은 노력이 필요할 수 있습니다. 그러나 다음을 원하는 조직에는 그러한 투자가 가치 있을 수 있습니다. 

• 비즈니스 연속성. 디지털 주권이 있으면 문제가 생겼을 때 제3자 공급업체에 의존하는 대신 직접 상황을 제어할 수 있습니다. 

  시스템을 직접 제어하면 시스템의 이식성과 상호운용성을 확보할 수 있습니다. 그 덕분에 예상치 못한 디스럽션이 발생했을 때 마이그레이션하거나, 최악의 상황에서도 소프트웨어, 지원, 모델에 즉시 액세스할 수 있습니다. 이 모든 요소는 기업이 원하는 방식대로 운영을 지속하는 데 도움이 됩니다.

• 벤더 유연성. 디지털 주권이 있으면 다양한 벤더의 서로 다른 툴과 서비스를 자유롭게 선택할 수 있습니다. 

  자체 인프라를 제어하면 서비스 장애 위험을 줄일 수 있고, 벤더를 더 쉽게 교체할 수 있으며, 선택의 폭을 넓게 유지할 수 있습니다.

• 리스크 관리. 디지털 주권은 제어 범위를 벗어난 디스럽션으로부터 핵심 인프라를 보호하고 리스크에 노출되는 것을 사전에 줄이는 데 도움이 됩니다.

  자체 우선순위가 있는 외부 공급업체에 의존하면 원치 않는 취약점이 발생할 수 있습니다. 인프라, 데이터, 벤더를 직접 제어하면 보안, 컴플라이언스 또는 지정학적 리스크를 초래할 수 있는 종속성을 제한할 수 있습니다. 

요약하면, 디지털 주권은 '자동차를 직접 소유'하고, '렌트'의 편리함 대신 자율성을 선택하려는 조직에 타당한 전략입니다.

Red Hat Sovereignty Readiness Assessment 시작하기

디지털 자산을 제어하기 위한 전체 전략을 뒷받침하는 4가지 요소로 디지털 주권을 나누어 살펴보겠습니다.

1. 데이터 주권은 데이터를 생성, 저장, 사용할 때 현지 법률을 준수하는 것을 의미합니다. 데이터는 보통 데이터가 수집되거나 처리되는 국가의 법률을 따르지만 때로는 국제 규정이 적용되기도 합니다. AI 모델과 학습 데이터에도 동일하게 적용됩니다. 법률은 국가마다 다릅니다. 

   예를 들어 독일에서 수집된 데이터는 GDPR 지침을 준수해야 합니다. 

2. 기술 주권은 시스템이 구축되는 방식을 제어하는 것을 의미합니다. 기술을 이식성과 상호운용성을 갖추도록 설계하면 다양한 환경 간에 이동이 자유롭고 서로 다른 기술들과 연동할 수도 있습니다. 오픈 표준과 오픈소스 기술을 사용하면 단일 벤더의 독점 인프라나 소프트웨어에 대한 의존도를 줄이는 데에도 도움이 됩니다. 모든 것을 처음부터 다시 구축할 필요 없이, 더 쉽게 새로운 툴을 도입하고 환경을 변경하며 아키텍처의 진화를 이끌 수 있습니다.

   예를 들어 기업이 어떤 워크로드를 온프레미스에서 실행하고 어떤 것을 클라우드에서 실행할지 결정할 때 공급업체의 제한된 아키텍처에 얽매이지 않게 됩니다. 

3. 운영 주권은 시스템이 일상적으로 어떻게 운영되고 액세스되며 유지 관리되는지를 직접 제어하는 것을 의미합니다. 인프라를 운영, 관리, 모니터링하는 방식을 결정하면, 누가 시스템에 액세스하는지 확인하고 시스템을 안정적으로 운영할 수 있습니다. 

   예를 들어사내 IT 팀이 시스템에 액세스하고 인시던트에 대응하며 변경사항을 즉각적으로 적용할 수 있는 담당자를 결정하게 되면 벤더가 필요한 조치를 취할 때까지 기다릴 필요가 없습니다. 

4. 검증 주권(assurance sovereignty)은 기업의 기술을 자체 기준에 따라 안전하고 신뢰할 수 있으며 규정을 준수하는 상태로 유지하는 것을 의미합니다. 그러려면 정기적으로 시스템을 테스트하고, 현지 법적 요건을 충족하는지 확인하며, 최신 정책을 준수하기 위해 감사를 수행해야 합니다. 검증의 범위는 IT 인프라스트럭쳐, 소프트웨어, 그리고 운영 전반으로까지 확장됩니다.

   예를 들어 의료 서비스 제공자는 환자 데이터의 개인정보 보호를 유지하고 건강보험 정보의 이전 그리고 그 책임에 관한 법률(HIPAA) 요건을 준수하기 위해 자체 시스템을 감사합니다. 

디지털 주권이 단순한 컴플라이언스 그 이상인 이유 알아보기

디지털 주권이란 제3자 공급업체와 협력하더라도 조직 내부에서 기술에 대한 제어권을 유지하는 것을 의미합니다. 

데이터 주권(디지털 주권의 4가지 요소 중 하나)은 데이터가 수집되거나 저장되거나 처리되는 국가의 법률에 따라 데이터뿐만 아니라 AI 모델과 학습 데이터까지 규제하는 것을 의미합니다. 데이터 주권은 법적 컴플라이언스와 기업 전략이 맞물리는 지점입니다. 

데이터는 모기업이나 데이터센터가 다른 지역에 있더라도, 해당 데이터가 있는 지역의 법률을 따르게 됩니다. 따라서 전 세계적인 규모로 데이터를 수집하는 것이 까다로울 수 있습니다. 

예를 들어 미국이 본사인 기업이 파리에 지사를 두고 있다면 프랑스에서 고객 데이터를 수집하게 됩니다. 이 경우 해당 데이터는 모기업이 미국에 소재하고 있더라도 GDPR과 같은 EU 법률을 준수해야 합니다.

디지털 주권과 데이터 주권을 혼동하거나, 이와 관련된 또 다른 용어인 사이버 공간 주권과 섞어서 사용하지 않아야 합니다. 사이버 공간 주권은 정부가 자국 관할권 내에서 법률과 검열을 통해 인터넷에 대한 제어권을 행사하는 것을 의미합니다. 

예를 들어 어떤 국가에서는 자유롭게 유통되는 콘텐츠를 다른 국가에서는 접근을 제한하기도 합니다. 

디지털 주권과 거버넌스를 논할 때 명심해야 할 또 다른 두 가지 중요한 용어는 다음과 같습니다.

• 데이터 레지던시: 데이터가 물리적으로 저장되는 위치를 말합니다. 앞선 예시에서 데이터 레지던시는 프랑스입니다.
• 데이터 현지화: 특정 데이터를 국가의 관할권 내에 저장하고, 때로는 그 안에서 처리하도록 요구하는 법률을 의미합니다. 앞선 예시를 들면 미국에 본사를 둔 기업은 프랑스에서 수집한 데이터를 EU 내에 보관하거나 승인된 전송 절차를 준수해야 할 수도 있습니다. 

요약하자면 디지털 주권은 기업의 기술과 인프라 결정에 대한 제어권을 부여하는 것이며, 데이터 주권은 현지 데이터에 특정 법률을 적용하는 것입니다. 기업은 이 두 가지 사례를 모두 활용하여 해외에서 비즈니스를 운영하며 벌금을 피할 수 있게 됩니다.

데이터를 저장, 처리 또는 전송하는 모든 기업은 법률, 개인정보 보호, 보안 전략의 일환으로 데이터 주권을 반드시 포함해야 합니다.

많은 조직이 디지털 주권을 원하는 이유는 제어권과 확신을 보장하기 때문입니다. 디지털 환경 전체를 직접 감독하면 인프라, 데이터, 보안을 관리하는 방식을 결정할 수 있게 됩니다. 이러한 수준의 자율성이 확보되면 다음을 개선할 수 있습니다.

• 규제 컴플라이언스. 현지 데이터 법률을 준수하고 글로벌 데이터 전송을 내부적으로 제어할 수 있습니다. 이는 전반적인 보안과 비즈니스 연속성을 개선하는 데 도움이 될 수 있습니다.
• 운영 복원력. 재해 복구 계획을 직접 관리하면 벤더의 승인을 기다릴 필요 없이 원하는 시점에 워크로드를 이동하거나 조정할 수 있습니다.
• 리스크 관리. 외부 플랫폼에 대한 의존도를 낮추면 공급업체의 서비스 장애 리스크를 줄일 수 있고 보안 책임 소재가 누구에게 있는지가 명확해집니다.
• 비용 가시성. 주권을 확보하면 자동으로 비용이 절감되는 것은 아닙니다. 하지만 비용 투명성이 개선되며, 그에 맞춰 리소스와 예산을 조정할 수 있습니다.
• AI 거버넌스 및 모델 제어. AI를 전적으로 아웃소싱하는 대신, 학습 데이터와 모델 업데이트, 그리고 AI가 배포되는 방식을 직접 제어할 수 있습니다. 그러면 기업의 요구 사항에 맞게 AI 시스템을 미세 조정(fine-tune)하고 사용자 정의할 수 있습니다. 또한 보건 의료나 금융처럼 규제가 엄격한 산업 분야에서 중요도가 부각되는 추가 보안 계층을 확보할 수 있습니다. 

조직은 더 많은 제어권을 가짐으로써 더 높은 유연성, 더 명확한 거버넌스, 그리고 더 지속 가능한 장기적 기술 전략을 얻게 됩니다.

그러나 기억할 것이 있습니다. 모든 기술적 측면에서 최고 수준의 제어권을 확보하는 것이 모든 조직에 반드시 유익한 것은 아닐 수 있습니다. 일부 플랫폼은 퍼블릭 클라우드에서 운영할 때 더 성공적일 수 있습니다. 의사 결정권과 디지털 주권을 가장 유지하고자 하는 영역은 아마도 기업의 워크로드일 것입니다.

일부 조직이 모든 기술을 직접 유지 관리할 기회를 선뜻 확보하지 않는 데는 그만한 이유가 있습니다. 규모를 막론하고 모든 기업에 감당하기 벅찬 일일 수 있기 때문입니다. 

디지털 주권을 확보한다는 것은 컴플라이언스, 공급망, 데이터 레지던시, AI 등 모든 요소를 직접 유지 관리해야 함을 의미합니다. 그리고 이 모든 요소를 한꺼번에 제어하려 하면 다음과 같은 몇 가지 장애물에 직면하게 됩니다. 

• 비용: 디지털 주권에는 일반적으로 기업 자체의 인프라, 소프트웨어와 데이터 거버넌스 플랫폼에 대한 초기 투자와 유지 관리가 필요합니다. 하이브리드 또는 멀티클라우드 아키텍처는 비용이 많이 들 수 있지만 기술 진화에 따른 유연성을 유지하는 데 도움이 됩니다. 

  기억하세요. 주권을 확보한다고 해서 모든 것을 처음부터 다시 구축해야 한다는 뜻은 아닙니다. 그러나 인프라를 구축할 때 주권 관련 요구 사항은 반드시 고려해야 합니다. 

• 인재: 적합한 팀을 조직하고 자금을 지원하는 일은 어려울 수 있습니다. 디지털 주권을 실현하려면 기업의 구체적인 활용 사례를 이해하고 있는 플랫폼 엔지니어나 보안 엔지니어와 같은 현지 전문가가 필요합니다.
• 규제 컴플라이언스: 데이터는 여러 국가에서 수집하는 경우가 많으며, 각 국가에는 고유한 법률이 있습니다. 이러한 규제들은 서로 중복될 수 있고 심지어 상충될 수도 있습니다. 규제는 자주 바뀌는 경우도 많으므로, 운영 지연과 보안 리스크를 방지하기 위해 규제를 긴밀하게 트래킹하는 것이 중요합니다.
• 벤더 종속성: 진행 중인 비즈니스에 지장을 주지 않으면서 독점 벤더로부터 디지털 자산을 분리하는 것은 어려울 수 있습니다. 마이그레이션 시 새로운 리스크를 방지하려면 세심한 계획과 잘 설계된 아키텍처가 필요합니다.
• 조직의 복잡성: IT 팀, 보안 팀, 재무 팀, 법무 팀, 경영진이 모두 함께 협력해야 합니다. 전략을 차질 없이 수행하려면 모든 팀이 주권에 대해 같은 우선순위를 가져야 합니다. 

디지털 주권 전략은 제어와 복잡성 수준이 저마다 다르므로, 직면하게 될 과제 또한 활용 사례에 따라 달라집니다. 

• 자체 관리형 인프라는 가장 높은 수준의 제어권을 제공하지만 그만큼 가장 많은 투자와 유지 관리가 필요할 가능성이 큽니다.
• 소버린 클라우드 솔루션 또한 초기 비용이 많이 들 수 있으며, 공급업체에 따른 다양한 제한 사항이 따를 수 있습니다.
• 하이브리드 또는 멀티클라우드 아키텍처는 가장 높은 유연성을 제공하지만, 다양한 환경에 따른 운영상의 복잡성과 거버넌스 요구 사항이 수반됩니다.

여기서도 자동차 비유를 떠올려 보면 이해하는 데 도움이 됩니다. 디지털 주권 솔루션을 선택한다는 것은 더 많은 제어권과 독립성을 확보할 것인지, 아니면 낮은 복잡성과 초기 투자 비용을 우선시할 것인지 사이에서 절충안을 찾는 것입니다.

소버린 클라우드는 데이터가 저장되는 위치, 데이터에 적용되는 법률, 그리고 인프라를 운영하는 주체 등 세 가지 계층의 제어권을 시행하기 위해 구축된 클라우드 환경입니다. 

• 데이터 주권은 데이터 레지던시 및 현지화와 더불어, 현지 법적 요구 사항을 준수하기 위해 데이터의 저장 위치와 이동 방식을 정의합니다.
• 법적 관할권은 해당 데이터에 어떤 법이 적용되는지, 그리고 누가 그 데이터에 액세스할 권한을 갖는지를 정의합니다. 법적 관할권은 외국 정부, 그리고 클라우드의 기본 시스템을 관리하는 클라우드 공급업체 직원과 같은 제3자의 접근을 제한합니다.
• 운영 제어는 인프라를 누가 운영하는지를 결정합니다. 여기에는 현지에서 운영되는 인프라, 지역 지원 팀, 엄격한 ID, 그리고 액세스 관리 제어가 포함되는 경우가 많습니다. 

주권은 스펙트럼과 같습니다. 주로 데이터 레지던시에 집중하는 소버린 클라우드가 있는가 하면, 엄격한 운영과 법적 액세스까지 보장하는 추가적인 제어 계층을 제공하는 소버린 클라우드도 있습니다.

소버린 클라우드를 멀티클라우드나 하이브리드 클라우드 같은 다른 대중적인 클라우드 용어들과 혼동하기 쉽습니다. 그러나 소버린 클라우드는 단순히 유연성을 확보하거나, 컴플라이언스를 유지하거나, 데이터를 암호화하는 것에 그치지 않습니다. 

소버린 클라우드의 인프라는 데이터, 운영, 관할권에 대한 제어를 적용하는 동시에, 유연하고 확장 가능한 클라우드 컴퓨팅의 이점을 그대로 제공합니다. 소버린 클라우드는 데이터 보호와 컴플라이언스를 지원합니다. 하지만 거버넌스, 구성, 내부 보안 사례에 대한 책임은 여전히 조직에 있습니다. 

기업이 직접 정의하는 클라우드와 규칙: 소버린 클라우드에 대한 Red Hat의 약속 읽기

사이버 복원력은 조직이 악의적인 공격, 시스템 장애, 공급망 디스럽션으로부터 예방, 방어, 복구할 수 있는 능력으로, 디지털 주권을 뒷받침하는 주요 요소입니다. 기술을 제어하지 못하면 기술을 보호하는 방식 또한 완전히 제어할 수 없습니다. 

사이버 복원력을 유지하기 위한 3가지 주요 단계를 자세히 살펴보겠습니다.

• 예방: 악의적인 사용자가 취약점을 악용하기 전에 이를 먼저 식별하는 것이 도움이 됩니다. 선제적인 보안 전략에서는 엄격한 액세스 제어를 사용하고 제로 트러스트 아키텍처를 고려하며 비정상적인 동작을 지속적으로 모니터링합니다. 기업 외부로부터의 데이터 유출뿐만 아니라 내부 위협도 모두 리스크에 포함될 수 있습니다.
• 방어: 사이버 공격이 발생하면 확산 방지를 최우선 목표로 삼게 됩니다. 가장 먼저 기술에 액세스를 허용했던 보안 공백을 메우고, 영향받은 시스템을 격리해야 합니다. 영향받지 않은 영역에서는 핵심 비즈니스 기능이 유지되도록 노력해야 합니다.
• 복구: 공격 이후의 대응 계획에는 신뢰할 수 있는 백업으로부터의 시스템 복구, 기존 취약점 제거, 조작된 부분의 복원, 그리고 공격자에게 노출되었던 보안 공백을 개선하기 위한 계획 수립이 포함되어야 합니다. 고객과의 신뢰를 다시 구축하는 것 또한 복구의 일환입니다. 

소버린 인프라를 사용하면 제3자에게 의존할 필요가 없으며, 시스템을 보호, 모니터링, 복원하는 방식에 대해 더 큰 권한을 가질 수 있습니다.

Red Hat과 EU 사이버복원력법에 대해 알아보기

소버린 AI는 플랫폼, 모델, 워크로드, 데이터와 같은 AI 시스템에 디지털 주권 원칙을 적용합니다. AI 시스템을 개발, 배포, 운영하는 방식에 대한 제어권을 제공함으로써, 해당 AI 시스템이 기업의 가치관과 법적 요구 사항을 반영할 수 있도록 합니다.

이는 AI를 렌트하는 것에서 AI를 소유하는 것으로의 전환하는 것입니다. 

OpenAI나 Google 같은 빅테크 기업에 비용을 지급하고 해당 AI 시스템을 사용하는 대신, 소버린 AI를 통해 원하는 방식으로 AI를 직접 구축, 소유, 운영할 수 있습니다. 

그러나 소버린 AI가 항상 모델을 직접 소유해야 한다는 것을 의미하지는 않습니다. 기업이 오픈소스 모델을 내부적으로 호스팅하거나, 지역별 법적 요구 사항을 충족하는 인프라에서 AI를 실행하거나, 소버린 클라우드 내에 배포하는 방식도 가능합니다. 

AI를 소유하는 것은 가장 비용이 큰 옵션입니다. 하지만 올바르게 관리한다면 개인정보 보호, 거버넌스, 지식 재산에 대해 가장 강력한 제어권을 확보할 수 있습니다. 

그러나 AI 기술은 거의 매일 변화하고 있기 때문에 디지털 주권에 새로운 과제들을 던져주고 있습니다. 이러한 진화로 인해 거버넌스에 대한 필요성이 커지고 있으며, 인프라와 데이터 제어의 우선순위를 정하는 방식이 변화하고 있습니다.

소버린 AI에 대해 자세히 알아보기

Red Hat의 오픈소스 솔루션은 기업이 제어권을 유지할 수 있도록 지원함으로써 디지털 주권을 뒷받침합니다. Red Hat의 플랫폼과 서비스는 기업이 자체 데이터와 기술을 관리할 수 있는 툴을 제공합니다. 

Red Hatter에게 문의하기

따라서 Red Hat은 다음과 같은 핵심 요소들에 중점을 둡니다.

• 투명성. Red Hat® AI, Red Hat Enterprise Linux®, Red Hat OpenShift®와 같은 제품들은 소프트웨어에 대한 가시성을 제공하여 시스템이 정확히 어떻게 작동하는지 이해할 수 있게 해 줍니다.
• 하이브리드 클라우드 아키텍처. 일관된 단일 플랫폼을 통해 온프레미스, 현지 공급업체 클라우드, 엣지 등 어디에서나 애플리케이션을 실행할 수 있습니다.
• 상호운용성. 벤더 종속성을 피할 수 있습니다. Red Hat은 기업의 요구 사항에 맞는 여러 벤더의 다양한 툴을 자유롭게 조합할 수 있도록 오픈 표준을 기반으로 기술을 구축합니다.
• 오픈소스 혁신. 글로벌 개발자 커뮤니티는 오픈소스 프로젝트를 끊임없이 발전시키고 있으며, 결과적으로 Red Hat 제품을 개선하는 데 기여합니다. 이는 단일 기업의 로드맵에 갇힌 편협한 시각에서 벗어나 더 많은 아이디어를 수용할 수 있음을 의미합니다.
• 제어. 배포를 직접 감독할 때 더욱 강력한 운영 주권을 실현할 수 있습니다. 기업은 활용 사례에 맞는 최상의 결과를 얻을 수 있도록 배포 방식과 워크로드를 요구 사항에 맞게 조정할 수 있습니다. 

오픈소스 소프트웨어는 기업의 위치에 상관없이 디지털 주권을 강화하는 데 도움이 될 수 있습니다. Red Hat은 전 세계 여러 국가의 고객에게 디지털 주권 솔루션을 제공합니다. 

Red Hat이 EU에서 디지털 주권을 지원하는 방법 확인하기