클라우드컴퓨팅 법·제도와 신뢰

서비스 가용률이 목표보다 높으면 사고를 알리지 않아도 될까

새봄시가 외부 클라우드에서 신청 서비스를 운영한다. 제공자는 한 달 가용률이 계약 목표보다 높았다고 보고한다. 그런데 같은 날 두 번 서비스가 끊겼고 일부 신청자는 마감 전에 접수하지 못했다. “월간 목표를 지켰으니 문제없다”는 결론에는 어떤 판단이 빠졌을까?

서비스 수준의 수치, 이용자에게 사고를 알릴 의무, 신청인의 피해와 대체 처리, 이용자 정보의 보호는 서로 다른 질문이다. 인증받은 서비스를 선택했어도 이용기관이 설정한 권한·프로그램·운영 절차가 적절한지는 별도로 확인해야 한다. 외부에 맡긴다는 것은 책임이 사라지는 것이 아니라 책임의 경계를 명확히 해야 한다는 뜻이다.

이 절의 새봄시·구름서비스·CL-A1·CL-X1 및 추가 판단 사례는 자체 교육용이다. 특정 업체의 약관·장애 실적·인증·실제 손해를 평가하지 않는다. 확인 기준일은 2026년 9월 20일이며, 법률 제21066호와 시행령 제35947호의 아래 명시한 범위를 사용한다. 본문에서 배운 일반 판단과 실제 계약·사건의 법률 검토를 구별한다.

앞선 설명과 연결

정보자원과 서비스 운영에서는 공공서비스의 자료 확인·결정·장애 책임을 나눴다. 개인정보 이동에서는 위탁·재위탁·국외 이전을 별도로 판단했다. 여기서는 클라우드 제공자와 이용자의 계약·보호·사고·종료를 연결하며 기술 구조와 서비스별 관리 범위는 서비스·배치 모델과 공유책임에서 확장한다.

1. 빌려 쓰는 것은 자원이나 서비스이지 책임의 면제가 아니다

클라우드컴퓨팅은 정보통신자원을 집적·공유하고 이용 수요에 따라 필요한 자원을 이용하도록 하는 방식이다. 법상 클라우드컴퓨팅서비스는 이러한 자원을 상용으로 타인에게 제공하는 서비스다. 단순히 인터넷을 사용한다는 사실만으로 모든 외부 프로그램을 같은 법적 서비스라고 분류하지 않는다.¹

제공자는 클라우드 서비스를 제공하고, 이용자는 그 서비스를 이용한다. 새봄시가 구름서비스와 계약하고 시민에게 신청 기능을 제공한다면, 클라우드의 이용자인 새봄시와 신청정보의 당사자인 시민은 다른 역할이다. 개인정보 보호법의 정보주체·처리자·수탁자 역할은 별도로 대조한다.

법의 이용자 정보는 이용자가 서비스를 이용해 제공자의 정보통신자원에 저장하는 정보 중 이용자가 소유하거나 관리하는 정보다. 개인정보뿐 아니라 내부 업무문서·사업자료도 관련될 수 있다. 반대로 제공자가 보유한 모든 기술정보를 무조건 이용자의 소유물로 선언하는 정의도 아니다. 어떤 자료가 누구의 관리 아래 저장되었는지 확인한다.¹²

이 표는 IaaS·PaaS·SaaS를 책임 관점에서 읽는 지도다. 같은 유형 안에서도 실제 제공 범위는 다르므로 이름만 보고 책임표를 확정하지 않는다. 사업자가 관리하는 영역이 넓어져도 이용자가 누구에게 어떤 자료를 공개하는지와 업무 결과를 책임질 일은 남는다.

2. 공동 책임은 잘못됐을 때 서로 책임을 미루는 구호가 아니다

공동 책임은 제공자와 이용자가 각자 관리하는 자원·설정·행위에 맞춰 보안·운영 책임을 나누는 관점이다. 기반시설은 제공자가 관리하면서 자료·접근권한·애플리케이션 설정은 이용자에게 남는 경우가 있다. 그 경계는 실제 서비스·계약·법률에 따라 확인한다.³

구름서비스가 물리적 시설을 보호해도 새봄시가 저장공간을 잘못 공개하면 업무 자료가 노출될 수 있다. 반대로 제공자 설비의 장애를 이용자가 프로그램 암호만 바꿔 예방할 수는 없다. 한 통제를 전체 보호의 대체물로 보지 않고 실제 실패 경로에 책임을 붙인다.

‘공동’은 책임의 절반씩을 나눈다는 수치가 아니다. 예를 들어 제공자가 백업 기능을 운영하고 이용자가 보존·복구 설정을 정한다면 양쪽의 조치가 함께 필요하다. 계약과 담당 업무에 확인 공백이 있는지를 찾고, 상대방이 할 것이라는 추측을 완료 근거로 쓰지 않는다.

인증서나 계약 조항은 중요한 입력이지만 실제로 모든 설정이 바르게 작동했다는 증거는 아니다. 누구의 어느 구성·기간에 관한 자료인지 확인하고 이용자 영역의 정상·거부·복구 결과를 별도로 확인한다.

3. 공공 이용 촉진·보안인증·디지털서비스 선정은 같은 승인이 아니다

법 제20조제1항은 국가기관등이 업무에 클라우드컴퓨팅서비스를 이용할 수 있도록 노력할 것을, 제2항은 보안인증을 받은 서비스를 우선적으로 고려할 것을 정한다. 이를 ‘모든 기관의 모든 업무를 반드시 이전한다’로 바꾸지 않는다. 반대로 우선 고려 규정만 읽고 기관별 보안·조달·정보 취급의 추가 조건이 모두 선택사항이라고 결론 내려서도 안 된다.⁴

클라우드 보안인증(CSAP)은 제공하는 서비스가 정한 정보보호 기준에 적합한지 평가·인증하는 제도다. 회사 이름이 같거나 같은 회사의 다른 서비스가 인증됐다는 이유만으로 이번 서비스·구성·지역이 포함된다고 판단하지 않는다. 법 제23조의2와 해당 인증서·서비스 목록·적용 범위를 대조한다.⁵

새봄시가 인증받은 기반 위에 자체 신청 프로그램을 만들었다면 하부 기반의 인증과 상부 프로그램의 개인정보·권한·업무 품질은 다르다. 인증 표시를 할 때에도 실제 인증된 대상과 혼동시키지 않는다. 유효기간·변경·사후관리와 기관별 추가 요건은 해당 문서를 따로 확인한다.

제20조제3항의 디지털서비스 선정에는 클라우드 서비스 자체뿐 아니라 지원 서비스와 다른 기술을 융합한 서비스도 들어갈 수 있다. 따라서 이용지원시스템의 선정·등록, 특정 서비스의 보안인증, 새봄시의 실제 구매·운영 적합성을 세 개의 다른 판단으로 기록한다. 목록에 있다는 사실로 인증과 계약조건까지 자동 충족시키지 않는다.⁴

공공 이용의 목적은 구매 실적이 아니라 필요한 업무와 주민 서비스를 안전하게 제공하는 것이다. 공통 자원 활용·유연한 용량의 이점과 정보의 성격·의존성·운영 역량·이전 비용을 비교한다. 진흥 규정으로 실제 적합성 검토를 생략하지 않는다.

4. 계약은 가격표와 가용률 한 줄보다 넓어야 한다

서비스 수준 협약(SLA)은 제공받을 서비스의 수준, 측정 방식과 미달 시 조치를 합의한 것이다. 가용률·응답시간·지원·복구 등을 사용할 수 있지만 모든 계약이 같은 지표·분모·제외 시간을 쓰지는 않는다. 상품 페이지보다 실제 채택한 약정과 적용 범위를 읽는다.

이는 자체 계약 검토 항목이지 각 행이 모두 같은 조문의 의무라는 뜻은 아니다. 국외 이전은 서버 주소뿐 아니라 해외 지원 인력의 접근·복제·재수탁과 목적을 살피고 앞 개인정보 법규를 적용한다.

SLA 미달 때 받는 감액이나 크레딧은 실제 피해 배상·법정 통지와 같은 것이 아니다. 계약상 구제·책임·한도와 강행 규정의 관계를 확인한다. ‘월 SLA의 허용 중단시간’, ‘통지 대상 중단 기간을 정한 계약 조항’, ‘복구시간 목표’도 각각 무엇을 측정하는지 구별한다. 하나의 숫자로 다른 두 항목까지 정했다고 보지 않는다.

5. 이용자 정보의 목적·제공·계약 종료를 함께 본다

제27조제1항은 법원의 제출명령이나 법관이 발부한 영장에 의한 경우와 구별하여, 이용자 동의 없는 제3자 제공·서비스 제공 목적 외 이용을 제한한다. 정보를 제공받은 제3자도 같은 항의 제한을 받는다. 동의에 따라 이용·제공할 때는 수령자·목적·항목·보유 및 이용 기간·거부권과 불이익을 알리고, 그 사항을 변경할 때도 고지·동의를 다룬다.⁶

새봄시가 클라우드 이용자로서 동의했다고 시민 개인정보의 처리근거·목적·위탁·국외 이전까지 자동으로 충족하지는 않는다. ‘서비스 개선 분석’이라는 이름만으로 목적 외 이용과 수령자의 독자적 활용을 숨기지 않는다. 누가 어떤 자료를 무슨 목적으로 처리하는지에 따라 각각의 법률과 권리를 확인한다.

반환·파기는 종료의 종류와 단서를 함께 읽는다.⁶

제4항의 ‘사업 종료일 전까지’라는 표현은 반환에 연결된다. 그 문구만으로 모든 자료의 파기 시각도 하나로 확정하지 않고 제6항이 위임한 하위규정의 방법·시기, 특약과 다른 법률을 함께 본다.

시행령 제19조의 기본 절차에서는 계약 또는 사업 종료 30일 전까지 종료 일시·반환 요구 가능성·미반환 또는 반환을 원하지 않는 정보의 파기·반환 방법·연락처를 알린다. 사업 종료는 종료 내용·사유도 알리고 종료일까지 홈페이지에 게시한다. 반환은 종료일 전까지 활용 가능한 상태로 수행하며, 파기는 복원 불가능한 영구 삭제 방식으로 한다. 제27조제5항의 특약과 공공기관에 대한 시행령 제19조제6항의 별도 계약 기준은 함께 확인한다. 따라서 뒤 사례의 ‘7일 보관 제안’을 이 기본 절차의 법정 기간으로 읽지 않는다.⁷

종료 판단 CL-R1: 특약의 효과와 남는 책임

구름서비스가 자체 계약안에 ‘계약 종료 뒤 검증된 이관을 위해 7일간 반환 전용 접근을 제공하고, 그 뒤 사본을 파기한다’고 적었다고 하자. 7일은 이 예의 계약 제안이며 법정 공통기간이 아니다. 새봄시는 반환 대상·권한·이관 중 새 입력·실제 파기와 다른 법률의 보존·삭제 요건을 먼저 검토한다.

제27조제5항은 종료 처리 특약을 읽는 근거지만 ‘7일 동안 제공자가 자유롭게 광고 분석에 쓴다’는 권한까지 만드는 조항은 아니다. 합의의 대상과 범위를 나누어 앞의 목적·제공 제한 및 시민 정보의 근거를 별도로 적용한다. 반환받지 않겠다는 의사가 확인된 자료와 연락·권한 오류로 아직 받지 못한 자료도 같은 상태로 뭉치지 않는다.

법정 보존이나 정당한 별도 근거로 남길 자료가 있다면 대상·사본·이유·기간·접근을 분리한다. 보존을 무기한 업무 활용으로 넓히거나, 이관을 돕는 계약을 모든 파기의 면제로 해석하지 않는다.

6. 침해사고·정보 유출·중단은 별도 발생 조건이다

제25조제1항은 관련 법률상 침해사고, 이용자 정보 유출, 사전예고 없는 일정 기간 이상의 서비스 중단 중 어느 하나에 해당하면 지체 없이 해당 이용자에게 알리도록 한다. 세 가지가 동시에 일어나야 하는 규정이 아니다. 제2항의 장관에 대한 즉시 통지는 그중 이용자 정보 유출에 연결되므로, 모든 서비스 중단을 같은 조항의 기관 통보로 설명하지 않는다.⁸

통지 대상 중단 기간을 계약으로 따로 정하지 않은 경우, 시행령 제16조의 기준은 연속 10분 이상 또는 중단 사고 발생 때부터 24시간 이내 두 차례 이상·합계 15분 이상이다. ‘이상’은 정확히 10분·15분인 경계도 포함한다. 24시간과 달력상의 같은 날짜를 바꾸어 읽지 않는다. 실제 계약에 별도 기간이 있으면 법 제25조제1항제3호의 단서에 따라 그 조건을 확인한다.⁹

KISA 공식 안내는 클라우드 이용자 정보유출의 접수와 별도의 침해사고·개인정보 유출 신고를 나눈다. 안내 페이지 제목에 ‘인증’이 들어가더라도 본문의 신고대상은 시행령 제3조의 서비스를 제공하는 자로 설명되어 있다. 인증 서비스만 유출 통지 의무가 있다고 축소하지 않는다.²

시행령 제17조의 이용자 통지는 발생 내용·원인, 제공자의 피해 확산 방지 조치, 이용자의 예방·확산 방지 방법, 담당부서·연락처를 지체 없이 알리는 구조다. 원인을 바로 알기 어렵다면 나머지를 먼저 알리고 확인한 원인을 뒤이어 알린다. 전화·우편·전자우편·문자·접속화면 등 허용된 경로 중 하나 이상을 쓰되, 접속화면으로 알리면 15일 이상 게시한다. 불가피한 사유의 신문 공고 대체 및 기관 통보는 제3~4항의 별도 조건을 확인한다.⁹

이용자 안내와 기관에 제출하는 유출 정보는 같은 양식 한 장이 아니다. 기관 통보의 내용은 제17조제5항, 피해 확산 방지 등에 관한 장관의 조치는 제18조, KISA의 유출 통보 접수 위탁은 제20조제3항제5호에 각각 연결된다. 원인 미확인과 사건 자체 미확인을 나누고, 최종 보고서가 없다는 이유로 모든 안내를 멈추지 않는다.²

7. 따라 계산 CL-A1: 월간 99.9%와 중단 통지는 다른 기준이다

CL-A1은 30일의 모든 분을 분모로 하는 자체 SLA다. 예정 중단·계약상 제외 시간은 없고, 통지 대상 중단 기간을 따로 약정하지 않았다. 같은 서비스가 24시간 이내에 두 번, 각각 8분 동안 사전예고 없이 완전히 중단됐으며 두 구간은 겹치지 않는다고 하자.

월 전체 시간은 30×24×60=43,200분이다. 99.9%에 대응하는 중단량은 43,200×0.001=43.2분이다. 실제 중단은 8+8=16분이므로 다음과 같다.

가용률=(43,200−16)/43,200×100≈99.96296%

수치상 SLA를 충족한다. 그러나 24시간 이내 두 차례·합계 15분 이상이므로 제시한 가정에서는 통지 대상 중단 조건에 해당한다. 한 번도 10분에 도달하지 않았다는 이유로 이 합계 조건을 생략할 수 없다.

추가 사례 CL-A2는 9월 20일 23:50~23:58의 8분과 9월 21일 00:10~00:17의 7분이다. 모두 한국시간이며 다른 제외 사유·기간 약정은 없다고 한다. 달력 날짜는 다르지만 첫 중단부터 27분 안의 두 차례·합계 15분이므로 같은 반복 중단 조건에 해당한다. 자정에 누적을 0으로 만드는 계산은 주어진 24시간 조건과 다르다.

높은 월 수치라도 중단이 신청 마감에 집중되면 영향이 클 수 있다. 실제 피해 건수는 만들어 넣지 않고 마감 시각·접수 기록·재시도·대체 경로를 추가로 확인한다.

8. 종료 계획은 내려받기 버튼으로 끝나지 않는다

다른 서비스로 옮길 때에는 자료 형식·의미·관계·식별자·필요한 키·설정·계정·이력과 외부 연결을 검토한다. 압축파일을 받아도 새 환경에서 읽지 못하거나 최신 변경이 빠졌다면 업무를 재개할 수 없다. 법정 이용자 정보의 반환 범위, 계약한 전환 지원 범위, 실제 업무 재개에 필요한 자원을 구별해 빠진 항목을 찾는다.

제공자의 독자적인 프로그램·내부 운영자료까지 전부 반환 대상이라고 단정하지 않는다. 이용자의 업무에 필요한 설정이 내보내기 대상에 없으면 재구성 방법·권리·비용을 계약과 기술 검토에 반영한다. 관리형 암호키가 내보내기 불가능한 경우에는 키를 그대로 가져온다고 가정하지 않고, 허용된 복호화·재암호화 또는 서비스의 이관 기능과 접근 근거를 확인한다.

종속 또는 잠금 효과는 제공자에서 벗어나는 데 자료 변환·재개발·비용·권리·학습 부담이 커지는 상황이다. 독자 기능이 언제나 나쁘다는 뜻은 아니지만 그 이점과 전환 제약을 처음부터 비교한다. 표준 형식으로 내보내더라도 기능·업무 의미까지 그대로 이동하는지는 별도 확인이 필요하다.

따라 계산 CL-X1: 전송시간과 전환시간

자료 200 GB를 유효 전송률 100 Mbps로 계속 보낼 수 있다고 가정한다. GB는 십진 10억 바이트, Mbps는 초당 백만 비트이며 1바이트는 8비트다. 오류·압축·추가 변경·프로토콜 부담은 제외한다.

200×10억×8 ÷ (100×백만)=16,000초=4시간 26분 40초

먼저 자료의 양을 비트로 맞추면 200×10억×8=1조6천억 비트다. 이를 초당 1억 비트씩 보내므로 1조6천억 비트÷1억 비트/초=16,000초가 된다. 1시간은 3,600초이므로 16,000=4×3,600+1,600으로 4시간을 떼어 낸다. 남은 1,600초는 26×60+40이므로 26분 40초다. 자료의 양을 속도로 나누어 초를 구한 뒤, 몫과 나머지로 시간을 읽는 순서다.

바이트와 비트, 기가와 메가를 맞추지 않고 200÷100=2초로 계산하지 않는다. 100 Mbps가 회선의 명목값일 뿐 실제 유효 처리율이 아니라면 이 시간부터 실측 조건과 다시 맞춰야 한다.

내보내기 준비·형식 변환·키와 권한·원본 대사·업무 시험·최종 변경분은 이 계산에 없다. 전환 창을 4시간으로 정해도 된다는 결론이 아니다. 50 Mbps라면 32,000초, 8시간 53분 20초가 필요하다.

반환 완료는 반환 대상과 판본의 실제 인수로 확인한다. 업무 전환은 새 환경의 정상·거부·복구와 마지막 변경분 대사로, 파기는 제공자와 관련 사본의 실제 조치·예외 내역으로 각각 확인한다. ‘다운로드 요청’, ‘파일 수령’, ‘읽을 수 있는 정보’, ‘업무 재개’를 같은 완료 버튼으로 닫지 않는다.

이 표는 법정 반환 대상에 제공자의 모든 프로그램을 추가하는 표가 아니다. 반환 범위와 업무 재개를 위해 별도 확보해야 할 자원을 구별해 기록한다.

상자 안의 대상과 화살표의 조건을 함께 읽으세요. 좁은 화면에서는 같은 관계를 세로로 재배치한 도식을 보여 줍니다.

자료 200 GB를 유효 전송률 100 Mbps로 보내는 데 걸리는 16,000초는 전송만의 시간인 4시간 26분 40초다. 준비·변환·키/재암호화·권한·최종 변경분·시험은 계산에 없다. 법정 반환 정보와 별도로 확보할 프로그램·설정의 범위를 나누며, 업무가 새 환경에서 재개됐어도 제공자의 옛 사본 파기를 완료로 세지 않는다. 종료 30일 전 기본 통지와 실제 특약·보존 근거는 별도로 대조한다.

9. 자체 도입·운영·종료안 CL-G1

CL-G1은 새봄시 신청 서비스에 필요한 기반과 관리 범위를 정한다. 업무 담당은 접수·마감·대체 처리, 개인정보 담당은 자료·위탁·이전·권리, 운영 담당은 권한·관찰·복구, 계약 담당은 인증·선정·서비스 수준·가격·통지·종료를 확인한다. 제공자에게 근거를 요구하면서 이용기관의 설정·프로그램 책임을 유지한다.

보안인증 서비스 우선 고려, 디지털서비스 선정, 실제 구매·운영 적합성을 각각 대조한다. 인증된 하부 기반을 이용했다고 자체 신청 프로그램 전체를 인증받은 것처럼 표시하지 않는다. 기관별 추가 요구가 확인되지 않으면 제20조만으로 면제하지 않고 적용 검토를 남긴다.

운영은 월간 가용률·사건·주민 영향을 따로 기록한다. CL-A1·A2에서는 해당 이용자 통지와 대체 접수를 준비하되, 정보 유출이 확인되면 제25조제2항과 개인정보 관련 별도 절차도 판단한다. 법정 수신자, 이용자 안내, 주민 공지를 한 번의 게시로 모두 수행했다고 보고하지 않는다.

종료는 CL-R1의 제안 특약을 실제 계약과 자료별 법률에 대조하고 확정한다. CL-X1의 전송시간 밖에 있는 판본·변경분·형식·권한·재암호화·업무 대사를 일정과 책임에 넣는다. 계약 종료와 사업 종료, 반환 불가능의 사실과 특약, 반환·파기의 실제 상태를 구별한다. 보존 대상은 근거·기간·접근을 분리한다.

산출물은 책임표, 인증·선정·계약 대조, SLA 측정 정의, 사건별 통지·업무 대응, 반환·전환·파기 계획과 결과 기록이다. 보안·권한·복구·종료가 미확인인 범위는 확대하지 않고 수정·보류·대체안을 비교한다. 이용료와 월간 숫자만 좋은 안으로 결정하지 않는다.

10. 자체 10점 문제와 완성 답안

CL-A1의 가용률을 계산하고, SLA와 법정 통지 판단이 다른 이유를 설명하시오.

짧은 설명의 목차·풀이·완성 답안 보기

목차: SLA 분모·가용률 → 사고 사실 → 법정 통지와 계약 판단 → 남은 조치

상자 안의 대상과 화살표의 조건을 함께 읽으세요. 좁은 화면에서는 같은 관계를 세로로 재배치한 도식을 보여 줍니다.

CL-A1은 월간 43,200분 중 16분 중단되어 가용률은 99.96296%이며 자체 SLA 99.9%를 충족한다. 그러나 별도 기간 약정이 없는 사전예고 없는 24시간 내 2회·합계 15분 이상 조건은 별도 통지 판단이다. 침해사고·이용자 정보 유출·정한 중단 중 하나가 이용자 통지에 연결되고, 제25조제2항의 장관 통지는 이용자 정보 유출에 한한다. 개인정보 통지/신고와 주민 업무 안내도 각각 대조한다.

구성: 분모와 가정 → 월 성과 → 사건 조건 → 대상별 남는 조치.

완성 답안

CL-A1의 분모는 30×24×60=43,200분이고 중단은 16분이다. 가용률은 약 99.96296%로 자체 SLA 99.9%를 충족한다. 목표에 대응하는 중단량 43.2분보다 실제 중단이 작다는 같은 비교도 가능하다.

그러나 별도 기간 약정이 없고 사전예고 없는 두 차례 중단이 24시간 안에 합계 15분 이상이라는 가정에서는 시행령 제16조의 기간 조건에 해당한다. 월 성과와 개별 통지는 기준이 달라 SLA 충족이 통지를 없애지 않는다. 연속 10분 이상과 반복 합계의 조건을 따로 확인한다.

클라우드법 제25조제1항은 침해사고·이용자 정보 유출·해당 중단 중 어느 하나를 해당 이용자에게 알리는 규정이다. 제2항의 기관 통지는 이용자 정보 유출과 연결되며, 개인정보 관련 통지·신고와 주민 업무 안내는 대상·근거를 별도로 대조한다. 가용률이나 크레딧을 정보 보호·피해·법률 준수의 완전한 증거로 쓰지 않는다.

11. 자체 25점 문제와 완성 설계 답안

새봄시 신청서비스의 클라우드 도입·이용자 보호·사고·종료 관리안을 설계하시오.

사례 적용의 목차·풀이·완성 답안 보기

목차: 서비스·역할 → 인증·계약 → 이용자정보·사고 → 연속성·종료

실제 책임표, SLA와 사건 통지의 두 경로, 반환·업무 재개·사본 처리 그림을 대조한다. 인증·선정·적합성과 계약·개인정보의 범위는 아래 완성 설계 답안에서 각각 확인한다.

구성: 주체·범위 → 실제 선정·계약 → 사건별 통지 → 반환·전환·파기와 확인.

완성 설계 답안

CL-G1은 제공받는 기반·관리·프로그램과 이용기관의 역할을 먼저 나눈다. 클라우드 이용자인 새봄시와 개인정보 당사자인 시민을 구별하고 업무·개인정보·운영·계약 담당에게 판단과 근거를 배분한다. 보안인증, 디지털서비스 선정, 실제 도입 적합성을 각각 확인하며 하부 인증을 자체 프로그램 전체의 인증으로 표시하지 않는다.

계약에는 제공 범위, 측정 기간·제외·서비스 단위, 가격·지원·사고 통보, 자료 목적·수령자·기간·위탁·국외 이전, 반환·파기·전환 지원을 정한다. 이용자 동의를 시민 개인정보의 모든 처리근거로 대신하지 않는다. 공동 책임이라는 말만 쓰지 않고 백업 설정·복원·권한·확인의 실제 담당과 증거를 연결한다.

CL-A1은 월 가용률 약 99.96296%라도 24시간 내 두 차례 합계 16분의 통지 대상 중단이다. 자정을 사이에 둔 CL-A2의 합계 15분도 주어진 24시간 조건 안이다. 해당 이용자 통지와 주민 대체 접수·정정 안내를 구별하고, 정보 유출이면 별도의 기관 통보와 개인정보법 절차를 판단한다. 단순 중단을 곧 유출로 확정하지도 않는다.

계약 종료 시 반환·보유 정보 파기와 사업 종료 시 통지·종료일 전 반환을 각각 적용한다. 반환 불가능 사유와 제27조제5항의 특약을 확인하되 다른 목적 이용·개인정보 의무의 면제로 확대하지 않는다. CL-R1의 7일은 자체 계약 제안이므로 법정 기간으로 쓰지 않는다. 자료 종류별 보존·삭제의 근거와 방법·시기는 실제 하위규정·계약을 대조한다.

CL-X1의 200 GB·100 Mbps 전송은 4시간 26분 40초다. 여기에 내보내기·변환·필요한 키 또는 재암호화·권한·최종 변경분·업무 시험을 연결한다. 법정 반환 정보와 별도로 재구성이 필요한 프로그램·설정을 식별하고 인수·업무 재개·파기를 서로 다른 결과로 확인한다. 조건 미확인 범위는 확대하지 않고 책임표·통지·대사·정리 기록과 남은 조치를 남긴다.

12. 자기교정

조건을 바꾸어 다시 판단한다

중단이 8분과 6분뿐이고 다른 사실은 같으면?

조건 변경의 풀이와 판단 보기

합계 14분이므로 제시한 두 중단 기간 조건에는 해당하지 않는다. 그러나 침해사고·정보 유출·다른 계약상 의무까지 없다는 결론은 아니다. 두 번째가 7분이면 합계 15분으로 경계에 포함된다.

제공자가 목적 외 분석과 종료 후 7일 보관을 한 약관에 넣으면?

조건 변경의 풀이와 판단 보기

두 문구를 따로 판단한다. 목적 외 분석의 이용자 동의·제공 제한과 다른 개인정보 근거, 종료 특약의 대상·반환·파기·실제 이관을 각각 검토한다. 같은 약관에 있다는 사실은 같은 법적 효과를 뜻하지 않는다.

전송률이 50 Mbps이고 이전 중에도 입력이 계속되면?

조건 변경의 풀이와 판단 보기

고정 자료의 단순 전송은 8시간 53분 20초다. 추가 입력의 최종 반영·대사·쓰기 권한 전환을 더 정해야 한다. 작업이 끝날 때까지 옛 경로와 새 경로를 제약 없이 모두 쓰게 하는 안은 중복·누락 위험을 남긴다.

근거와 적용 범위

기존 2026-09-20 관찰과 2026-09-30에 추가 대조한 시행령 제16~20조의 범위를 구별한다. 기관별 이용 기준·국외이전·개별 계약·인증의 전수 감수 및 독립 법률 검토는 남는다. CL-A1·A2·R1·X1·G1의 사례·수치·답안은 자체 작성이며 실제 신고·이전·인수·클라우드 시험은 수행하지 않았다.

회독의 핵심

인증·선정·구매 적합성, SLA·사건 통지·주민 안내, 반환·이관·파기를 구별한다. 원칙뿐 아니라 주체·범위·특약과 다른 법률을 함께 읽고, 실제 수행한 상태와 미확인을 분리한다. 정상 운영뿐 아니라 잘못됐을 때 알리고 안전하게 전환·종료할 수 있어야 신뢰를 설명할 수 있다.

Footnotes

1. 국가법령정보센터, 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」 제2조·제3조, 법률 제21066호(2025-10-01 시행). https://www.law.go.kr/lsInfoP.do?ancYnChk=0&lsId=012266 . 초고에서 확인한 서비스·이용자 정보 정의와 KISA의 관련 설명을 연결한다. 이번 열람에서 모든 동적 본문을 다시 확보했다는 뜻은 아니다. ↩ ↩²

2. KISA, 클라우드 이용자 정보유출 신고 안내. https://isms-p.or.kr/cert/vrtl/selectVrtlInfoEfluDetail.do . 2026-09-20에 안내의 법적 근거·대상·위탁 접수·별도 신고 설명을 대조한 기록을 유지한다. 위탁 항목은 2026-09-30에 직접 읽은 시행령 제20조제3항제5호(이용자 정보 유출 통보 접수)로 특정한다: https://www.law.go.kr/LSW/lsSideInfoP.do?docCls=jo&joBrNo=00&joNo=0020&lsiSeq=280955&urlMode=lsScJoRltInfoR . 같은 항 제6호의 피해 확산·재발 방지·복구 조치와 접수를 혼동하지 않는다. KISA 안내 전체의 새 현행성 확인은 아니다. ↩ ↩² ↩³

3. AWS, Shared Responsibility Model, https://aws.amazon.com/compliance/shared-responsibility-model/ . 초고의 서비스별 책임 개념 근거를 유지한다. 법정 공통 책임표나 특정 업체 권장이 아니며, 클라우드의 책임과 기술 경계에서 서비스 구성에 따른 차이를 함께 확인한다. ↩

4. 같은 법 제20조제1~4항. https://www.law.go.kr/lsLinkCommonInfo.do?chrClsCd=010202&lsJoLnkSeq=1033532191 . 2026-09-20 보완에서 제21066호 조문을 직접 재확인했다. 이용 노력·인증 서비스 우선 고려·디지털서비스 선정의 대상과 효력을 구별한다. ↩ ↩²

5. 같은 법 제23조의2와 KISA 클라우드서비스 보안인증(CSAP). https://www.kisa.or.kr/1050603 ; https://isms-p.or.kr/ntcn/rcsrm/selectGnrlVrtlRcsrmList.do . 이번에는 KISA의 서비스 대상·근거·평가 설명을 확인했다. 제23조의2 전문·등급별 고시·기관별 조건·인증서 전체를 새로 전수 대조한 것으로 표시하지 않는다. 초고의 법령 근거는 https://law.go.kr/lsInfoP.do?ancYnChk=0&chrClsCd=010202&lsId=012266&lsiSeq=277387&urlMode=lsEfInfoR&viewCls=thdCmpNewScP 이다. ↩

6. 같은 법 제27조제1~6항. https://www.law.go.kr/lsLinkCommonInfo.do?chrClsCd=010202&lsJoLnkSeq=1029445373 . 보완에서 법원·영장, 제3자 제한, 동의사항, 계약/사업 종료, 반환 불가능, 특약과 하위규정 위임까지 직접 다시 읽었다. 개별 특약의 적법성 승인은 아니다. ↩ ↩²

7. 시행령 제19조제1~6항(계약·사업 종료 통지, 반환·파기), 제35947호·2026-01-02 시행. https://law.go.kr/lsLinkCommonInfo.do?chrClsCd=010202&lspttninfSeq=121154 . 2026-09-30 직접 본문 대조. 종료 30일 전 통지, 종료일 전까지의 반환과 활용 가능한 상태, 복원 불가능한 파기 방식, 공공기관의 별도 계약 기준 위임을 확인했다. 실제 특약의 유효성·자료별 보존 의무·공공기관 세부 기준의 전수 감수는 아니다. ↩

8. 같은 법 제25조제1~4항. https://www.law.go.kr/LSW/lsLinkCommonInfo.do?chrClsCd=010202&lsJoLnkSeq=1026913983 . 공식 조문 검색에서 세 발생 조건·계약 기간 단서·이용자 통지와 유출의 기관 통지를 재대조했다. ↩

9. 시행령 제16조(통지 대상 중단 기간) 및 제17조(통지 내용·방법), 대통령령 제35947호(2026-01-02 시행). https://www.law.go.kr/LSW/lsSideInfoP.do?docCls=jo&joBrNo=00&joNo=0016&lsiSeq=280955&urlMode=lsScJoRltInfoR ; https://law.go.kr/lsLinkCommonInfo.do?chrClsCd=010202&lspttninfSeq=121146 . 2026-09-30에 제16조와 제17조제1~5항·제18조의 직접 본문을 대조했다. 2026-09-20의 취득 제한은 당시 관찰로 유지하되 제17·18조를 반환·파기 근거로 연결했던 표현은 바로잡는다. 반환·파기 방법은 아래 제19조 근거로 분리한다. ↩ ↩²