[기자수첩] 중국 상포, 국내 HCI 시장 확대...데이터 주권 문제 없나

ZDNet Korea 기자수첩(방은주 기자) 본문 전체를 읽고 정리했어요. 기자의 의견이 담긴 칼럼이에요.

배경

브로드컴의 VM웨어 인수(2023년 11월 완료)와 라이선스 정책 변화로 국내 가상화 환경 교체 수요가 생겼고, 여러 업체가 경쟁 중이에요. 그중 하나가 중국계 상포테크놀로지(Sangfor)예요.

| 항목 | 내용 | |---|---| | 설립 | 2000년, 보안 기업으로 출발 | | 상장 | 2018년 선전증권거래소 | | 주력 | 차세대 방화벽, 인터넷접근관리, 엔드포인트 보안 → 서버 가상화, HCI, VDI, 스토리지, 프라이빗 클라우드 | | 한국지사 | 2019년 설립 |

상포는 VM웨어 대체 수요를 겨냥해 제조·금융·공공·의료 등 핵심 산업에 HCI(서버 연산, 저장장치, 네트워크를 소프트웨어로 통합 관리하는 기술) 영업을 늘리고 있어요.

기자가 제기하는 문제

• HCI는 핵심 시스템을 움직이는 기반 인프라라, 정보와 관리 권한이 외부에 노출되면 인프라 전체 보안과 운영에 직접 영향을 줄 수 있다고 봐요.
• 상포는 개인정보처리방침에서 한국을 포함한 EEA 외 이용자의 일부 개인정보를 중국 계열사로 이전할 수 있고, 국가안보와 관련되면 동의 없이 처리·공개할 수 있다는 예외를 두고 있다고 해요.
• 개인정보보다 민감한 HCI 고객 운영정보에 중국 본사와 현지 기술 인력이 어디까지 접근할 수 있는지, 국내 고객이 이를 차단할 수 있는지는 명확히 공개돼 있지 않다고 지적해요.
• 비교로, 브로드컴은 정부의 데이터 요구를 검토하고 의심스러우면 이의를 제기하며 최소 범위로 제한한다고 알리고, 레드햇은 정부 요구를 고객에게 알리고 통지 금지에도 이의를 제기한다는 절차를 공개했다고 해요.

중국 법률 문제

• '중국 국가정보법'은 모든 조직과 국민에게 국가정보 활동 지원·협조 의무를 지우고, 활동 범위를 중국 국내로 한정하지 않아요.
• 2021년 시행된 '데이터보안법'도 국가안보나 범죄수사를 위해 공안·국가안보기관이 데이터를 요구하면 협조하도록 해요.
• 해외에서는 이런 법적 환경 자체를 잠재적 위협으로 보고, 일본은 전력망 연결 장비 보안 인증에서 외국 법률 영향을 심사한다고 해요.
• 국내에서는 지난해 9월 KISA와 한국소비자원 조사에서 로봇청소기 6개 중 중국사 3개 제품에 인증 절차가 허술해 원격 조작이 가능한 취약점이 확인됐다고 덧붙여요.