클라우드에서의 지적 재산 ‘보호는 이렇게’

알맞은 서비스를 선택한다. 핵심 비즈니스 기능과 관련해서는 성급히 클라우드 계약을 체결하지 않아야 한다. 벨은 IT 서비스 관리나 표준 소프트웨어에 대한 QA 같은 대량 상품형 서비스를 대상으로 테스트를 해야 한다면서 "클라우드의 장점을 추구하는 많은 기업들이 IP를 가장 나중에 이전하고 있다. 클라우드를 확실히 이해하기 위한 방편이다"라고 설명했다.

꼼꼼하게 계약서를 확인한다. 클라우드 서비스 광고를 보자면 혹할 정도로 간단해 보인다. 그러나 베이커앤맥켄지의 한센은 "고객들에게 반하는 복잡한 조항들이 숨겨져 있는 경우가 많다. 따라서 웹사이트의 광고문구가 아닌 계약서를 살펴봐야 한다. 광고와는 정반대인 계약 조건들도 있을 것이다. 데이터를 옮기기 전에 이런 부분을 찾아내 대처해야 한다"라고 말했다.

기밀 정보가 새어나갔을 때에도 벤더가 책임을 피해갈 수 있는 조항이 있는 경우가 다반사다. K&L 게이트스(K&L Gates)의 아웃소싱 담당 토드 피셔 파트너는 서비스 벤더가 서비스 제공이나 데이터와 관련된 업무 목적 외에 고객 데이터를 사용하도록 되어있는 계약서를 본적이 있다며, 클라우드 제공사의 온라인 계약서에는 절대 서명을 하지 말라고 당부했다.

필요한 계약 조건을 추가한다. IP와 관련된 데이터를 대상으로 클라우드 컴퓨팅 계약을 체결한다면, 데이터를 철저하게 보호할 수 있는 계약을 체결해야 한다. 메이어 브라운의 아이즈너는 제공사가 지켜야 할 보안 및 기타 산업 표준, 감사 권리, 정기 감사나 인증 보고서 제출, 데이터와 애플리케이션을 처리하거나 보관하게 되는 장소, 하도급 회사를 승인할 권리, 변경 사항에 대한 사정 통보와 이를 계류할 기회 등의 변경 관리 절차, 계약 불이행시 합당한 책임 등을 규정하고 승인하도록 추가 요구를 해야 한다고 권장하고 있다. 슬라비 또한 보호와 관리 조건을 명시적으로 규정하고, 측정할 수 있도록 해야 한다고 강조했다.

추가 지출을 예상한다. 표준 계약 조건에 따른 클라우드 컴퓨팅은 저렴하다. KPMG의 벨은 "클라우드 서비스 제공사는 사용 패턴을 토대로 데이터를 자동으로 복제하는 모델을 기본으로 삼고 있다. 따라서 기업이 독자적인 환경에 맞도록 특별한 무언가를 요구한다면 추가 비용이 지출되기 마련이다"라고 설명했다.

IP 창출을 고려한다. 아웃소싱보다는 클라우드 컴퓨팅에서 새로운 지적재산이 창출될 확률이 낮다. 그러나 IP가 창출되기도 한다. K&L 게이트스의 피셔는 "일부 고객들은 클라우드 벤더와 계약을 체결해 프라이빗 클라우드 환경을 도입한다. 이때 지적 재산을 개발하는 기회를 맞기도 한다. 또 고객이 클라우드 제공사로 하여금 클라우드 서비스에 접근할 수 있는 특정 인터페이스를 개발하도록 할 때도 IP가 창출되곤 한다"고 말했다.

이 경우, 클라우드 고객은 해당 인터페이스의 소유권을 확보하거나, 클라우드 벤더가 자신들의 경쟁사에 이를 재활용하지 못하도록 하고 싶기 마련이다. 입지가 문제가 되기도 한다. 베이커앤맥켄지의 처치는 "클라우드 환경에서 IP가 창출된다면, 해당 IP가 자리를 잡고 있는 지역의 법률을 점검해, 예기치 않은 권리나 여타의 장애물이 발생하지 않도록 해야 한다"고 말했다.

독자적인 보안 대책을 확보한다. 추가적인 데이터 보안 대책을 수립할지 고려해야 한다. HfS 리서치의 슬라비는 "서비스 벤더가 데이터 프라이버스와 관련해 한층 엄격한 계약 조건과 서비스 수준 약정을 받아들이지 않는 한, 기업들은 클라우드에 상주하게 되는 데이터의 보안을 고려해야 한다"라고 말했다. 이는 규제를 준수해야 할 경우 더욱 중요하다.

서비스 폐쇄에 대한 대책을 마련한다. 일부 표준 클라우드 계약 조건에 따르면, 계약을 조기 해지했을 때, 벤더의 재량권으로 데이터에 접근할 수 있는지 결정하도록 되어있는 경우가 있다. 베이커앤맥켄지의 한센은 "고객들은 언제 어느 때나 자신들의 IP에 접근할 수 있도록 계약을 체결해야 한다. 특정 이유 때문에 계약이 해지된 경우에도, IP를 빼낼 수 있어야 한다"라고 강조했다.

관리가 잘되고 있는지 정기적으로 다시 확인한다. HfS 리서치의 슬리비는 "클라우드 서비스 고객은 잠재적인 새 위협이 있는지 주시해야 한다. 예를 들어, 일정 시점에서는 맬웨어가 가상 장치 중 하나에 침투해 인접한 가상 장치의 데이터를 파괴하거나 훔치는 등의 가상화 공격이 이론에서 현실로 발전할 수도 있다"고 말했다.

서비스 취소를 준비한다. IP를 적절하게 보호하는데 지나치게 비용이 많이 들거나, 이행이 제대로 되지 않고 추적이 안 된다면, 서비스를 취소해야 한다. 즉 클라우드 기반 서비스가 맞지 않을 경우 물러날 공간을 마련해둬야 한다. ciokr@idg.co.kr