[기자수첩] 중국 상포, 국내 HCI 시장 확대...데이터 주권 문제 없나

브로드컴의 VM웨어 인수(2023년 11월 완료)와 이에 따른 라이선스 정책 변화로 국내 가상화 환경 교체 수요를 두고 여러 국내외 업체가 경쟁하고 있다. 이 중 한 곳이 중국계 IT 기업 상포테크놀로지(Sangfor Technologies, 이하 상포)다.

보안으로 출발한 상포는 2000년 설립됐다. 2018년 선전증권거래소에 상장했다. 차세대 방화벽과 인터넷접근관리, 엔드포인트 보안 등 네트워크 보안 제품을 기반으로 성장했다. 이후 서버 가상화와 하이퍼컨버지드인프라(HCI), 가상데스크톱인프라(VDI), 스토리지 및 프라이빗 클라우드로 사업을 확대했다. 한국지사는 2019년 설립했다.

최근 상포는 VM웨어 대체 수요를 겨냥해 HCI 시장 공략을 강화하고 있다. HCI는 서버의 연산 능력과 저장장치, 네트워크 등을 소프트웨어로 통합해 관리하는 기술 및 솔루션이다. 상포는 제조·금융·공공·의료 등 국내 핵심 산업을 대상으로 영업을 확대하고 있다.

상포가 주력하는 HCI는 단순 소프트웨어가 아니다. 기업과 기관의 서버·스토리지·네트워크·가상화 환경을 통합, 핵심 시스템을 움직이는 기반 인프라다. 이 영역의 정보와 관리 권한이 외부에 노출될 경우 핵심 인프라 전체의 보안과 운영에 직접적인 영향을 미칠 수 있다.

문제는 상포의 데이터 통제 구조가 중국과 분리돼 있다고 보기 어렵다는 점이다. 상포는 개인정보처리방침을 통해 한국을 포함한 EEA(European Economic Area) 외 이용자의 일부 개인정보를 중국 계열사로 이전할 수 있다고 밝히고 있다. 국가안보와 관련한 경우 동의 없이 개인정보를 처리 및 공개할 수 있다는 예외 사항도 뒀다.

여기에 개인정보 보다 훨씬 민감한 HCI 고객의 운영정보에 대해 중국 본사와 현지 기술 인력이 어디까지 접근할 수 있는지, 또 국내 고객이 중국 측 접근을 차단할 수 있는지 명확히 공개돼 있지 않다.

이는 다른 주요 인프라 소프트웨어 업체들과 차이가 있다. 브로드컴은 정부의 데이터 요구를 검토하고 의심스러운 요구에는 이의를 제기한다. 적법한 요구도 필요한 최소 범위로 제한한다고 알리고 있다. 레드햇도 정부기관의 요구를 고객에게 알리고, 통지 금지에도 이의를 제기하며, 제공 정보는 최소화한다는 절차를 공개했다.

상포의 경우 중국 법률이라는 문제가 더해진다. ‘중국 국가정보법’은 모든 조직과 국민에게 국가정보 활동을 지원·협조할 의무를 부과하고, 정보기관이 조직에 필요한 지원을 요구할 수 있도록 하고 있다. 정보활동 범위도 중국 국내에 한정하지 않는다.

2021년 중국 정부가 시행한 ‘데이터보안법(Data Security Law)'도 마찬가지다. 국가안보 또는 범죄수사를 위해 공안·국가안보기관이 데이터를 요구하면 관련 조직과 개인은 이에 협조해야 한다.

해외에서는 중국 기업에 적용되는 이런 법적 환경 자체를 이미 핵심 인프라 보안의 잠재적위협으로 보고 있다. 일본은 전력망 연결 장비의 사이버 보안 인증에 외국 법률 영향을 심사하고 있다.

국가 핵심 인프라인 전력망이 사이버 공격에 노출될 경우, 산업·금융·통신 등 주요 국가 기능에 차질이 발생하고 사회적 혼란으로 이어질 수 있기 때문이다.

국내의 경우 작년 9월 한국인터넷진흥원(KISA)과 한국소비자원이 시중에 판매 중인 로봇청소기 6개 제품의 보안 실태를 조사, 3개 중국사의 제품에서 사용자 인증 절차가 허술해 불법 접근과 원격 조작이 가능한 취약점이 확인됐다고 밝힌 바 있다.

또 2024년 9월에는 중국산 CCTV 1300대가 중국 특정 서버와 연결돼 영상이 유출될 가능성이 있다고 판단, 우리 군(軍)이 전량을 철거한 사례도 있다. CCTV 영상 유출조차 국가안보 문제로 다뤄진 것이다. 이런 상황에서 금융·공공·의료기관 서버와 가상화 인프라 자체를 운영하는 HCI의 정보와 관리권한은 더 엄격히 다뤄야 한다.

상포 HCI가 국내 핵심 인프라로 확산하고, 혹시라도 중국 측이 해당 데이터에 접근할 수 있는 구조라면, 큰 문제가 아닐수 없다. 가격과 성능을 따지는 VM웨어 대체 솔루션의 문제가 아닌 것이다. 중국 법률 영향권에 있는 기업에 대한민국의 핵심 인프라 운영을 안심하고 맡길 수 있는 지 살펴봐야 할 시점이다.