GDPR이 반영된 G Suite의 데이터 처리 수정안 및 Google Cloud Platform의 데이터 처리 및 보안 약관에 동의하셨나요? 동의하지 않았다면 이 지침을 읽어보거나 G Suite에 관한 동영상을 시청하고 Google Cloud Platform에 관한 지침을 읽어보세요.
Google Cloud와 개인정보 보호법(GDPR)
GDPR 준수는 Google Cloud와 고객의 최우선 과제입니다. 유럽 지역의 개인정보 보호 강화를 목표로 하는 GDPR은 우리 모두의 업무 방식에 영향을 줍니다. 이와 관련된 고객 여러분의 의문사항을 적극적으로 해결해 드리겠습니다. Google Cloud는 고객 중심의 보호, 통제, 규정 준수 정책을 유지하고 있으며 고객의 GDPR 관련 대처에 있어 핵심적인 역할을 하고자 합니다.
GDPR이란 무엇인가요?
1995년 수립된 EU 데이터 보호 지침을 대체한 GDPR은 2018년 5월 25일부터 시행되고 있습니다.
GDPR은 유럽에서 설립되었거나 유럽 사용자를 대상으로 하는 기업과 단체에 대한 다음과 같은 구체적인 요구사항을 담고 있습니다.
- 기업이 개인 정보를 수집, 사용, 저장할 수 있는 방식 규제
- 현행 문서화 및 보고 의무를 기반으로 책임성 강화
- 요구사항을 준수하지 않은 기업에 과태료 부과
Google의 대응 방침
Google Cloud는 사용자 데이터의 보안과 개인정보 보호를 강화하는 프로젝트를 최우선적으로 추진하고 있습니다. Google은 GDPR 시행 후에도 Google Cloud 고객이 안심하고 서비스를 사용할 수 있도록 여러 가지 업데이트를 적용했습니다. Google Cloud의 파트너가 되시면 다음과 같은 지원을 제공 받을 수 있습니다.
- 모든 Google Cloud Platform 및 G Suite 서비스에서 고객 개인 정보 처리와 관련하여 GDPR 준수 의무를 계약에 명시
- 가장 민감한 개인 정보를 더욱 안전하게 보호하는 데 도움이 될 수 있는 추가적인 보안 기능 제공
- Google 서비스의 개인정보 보호 수준을 평가하는 데 도움이 되는 문서 및 리소스 제공
- 규제 환경의 변화에 대응하여 지속적으로 역량 강화
G Suite 및 Google Cloud Platform의 GDPR 준수 약속
우선 데이터 컨트롤러는 데이터 처리과정이 GDPR 요건을 충족하도록 적절한 기술 및 조직 조치를 이행함을 충분히 보증하는 데이터 프로세서만 사용해야 합니다. G Suite 및 Google Cloud Platform 서비스를 평가함에 있어 다음과 같은 기준을 고려해 보시기 바랍니다.
데이터 보호 전문 지식
Google의 보안 및 개인정보 보호 전문가는 정보, 애플리케이션, 네트워크 보안 분야에서 세계 최고 수준의 역량을 갖추고 있습니다. 이러한 전문가 팀이 기업의 방어 시스템을 유지관리하고, 보안 검토 프로세스를 개발하고, 더욱 강력한 보안 인프라를 구축하고, Google의 보안 정책을 정교하게 구현하는 업무를 담당합니다.
또한 Google은 Google Cloud의 개인정보 보호 및 보안 규정 준수를 살피는 법무사, 준법 전문가, 공공 정책 전문가로 폭넓게 구성된 팀을 운영하고 있습니다.
이러한 팀은 G Suite 및 Google Cloud Platform 서비스가 고객의 규정 준수 요구사항을 해결하는 데 일조할 수 있도록 고객, 업계 이해관계자, 감독 당국과 긴밀히 협조하고 있습니다.
데이터 처리 약관
G Suite 및 Google Cloud Platform 데이터 처리 약관에는 고객에 대한 Google의 개인정보 보호 노력이 명시되어 있습니다. Google은 고객과 규제 기관의 피드백을 기반으로 수년에 걸쳐 해당 약관을 개선해 왔습니다.
최근에는 특히 GDPR을 반영하도록 조항을 업데이트하고 GDPR 발효에 앞서 업데이트된 조항을 미리 공개하여 Google Cloud 서비스를 이용하는 고객의 자체적인 준수 평가와 GDPR 대비를 돕고 있습니다.
이와 같이 개정된 데이터 처리 약관의 적용을 받으려면 G Suite 데이터 처리 수정안(여기)과 GCP 데이터 처리 및 보안 약관(여기)에서 설명하는 선택적 동의 절차를 따르시기 바랍니다.
지침에 따른 처리
고객 및 사용자가 시스템에 입력하는 모든 데이터는 GDPR을 반영하여 개정된 Google의 데이터 처리 약관에 기술된 대로 고객의 지침에 따라서만 처리됩니다.
직원의 비밀유지 노력
모든 Google 직원은 비밀유지 협약에 서명하고 의무적으로 Google의 윤리 강령 교육은 물론 비밀유지 및 개인정보 보호 교육 과정을 이수해야 합니다. Google의 윤리 강령에는 정보 보호와 관련된 책임 및 갖춰야 할 태도가 구체적으로 명시되어 있습니다.
Google 그룹 기업은 G Suite 및 Google Cloud Platform 서비스 제공에 필요한 대부분의 데이터 처리 작업을 직접 수행합니다. 그러나 일부 타사 공급업체에 서비스 지원을 의뢰할 때도 있습니다. 각 공급업체는 필요한 기술적 전문 지식이 있는지, 그리고 적정한 수준의 보안과 개인정보 보호를 제공할 수 있는지를 검증하는 엄격한 선정 절차를 거쳐 선정됩니다.
Google은 G Suite 및 Google Cloud Platform 서비스를 지원하는 Google 그룹의 보조 프로세서 및 이러한 서비스에 관여하는 제3자 보조 프로세서에 대한 정보를 공개하며, 데이터 처리 약관에 보조 프로세서와 관련된 의무사항을 포함합니다.
GDPR에 의거하여 위험에 상응하는 적절한 수준의 보안을 구현하기 위해 적절한 기술적, 조직적 조치가 취해져야 합니다.
Google은 정보 처리 수명 주기 전체에 걸쳐 최고 수준의 보안을 제공하도록 설계된 글로벌 인프라를 운영합니다. 이 인프라는 서비스의 안전한 배포, 최종 사용자 개인정보 보호 수단이 적용된 안전한 데이터 저장, 서비스 간의 안전한 통신, 고객과의 안전한 비공개 인터넷 통신, 관리자에 의한 안전한 운영을 제공하도록 설계되었습니다. G Suite 및 Google Cloud Platform은 이 인프라에서 실행됩니다.
Google에서는 데이터 센터의 물리적 보안부터 하드웨어 및 소프트웨어의 보안 보호 및 운영 보안 지원에 사용되는 프로세스에 이르기까지 자사의 인프라 보안 체계를 멀티 레이어로 설계했습니다. 이 다중 계층의 보안 덕분에 모든 요소에 견고한 보안 기반이 마련됩니다. 인프라 보안에 대한 자세한 설명은 Google 인프라 보안 설계 개요 백서를 확인하세요
가용성, 무결성, 장애 복구성
Google은 자사 플랫폼의 구성요소가 높은 중복성을 갖도록 설계합니다. Google의 데이터 센터는 지리적으로 분산되어 있어 자연재해 및 국지적 절전과 같은 지역적 장애 요인이 글로벌 제품에 미치는 영향을 최소화합니다. 하드웨어, 소프트웨어, 네트워크 장애가 발생하는 경우 해당 시설의 서비스가 즉각적으로 다른 시설로 옮겨가기 때문에 아무런 지장 없이 작업을 지속할 수 있습니다. Google의 중복성 높은 인프라는 고객의 데이터 손실을 방지합니다.
테스트
Google에서는 매년 재해 복구 테스트를 실시하여 인프라 및 애플리케이션팀이 통신 계획, 장애 조치 시나리오, 운영 전환, 기타 응급상황 대응을 테스트할 수 있도록 인프라 및 애플리케이션팀에 협력 플랫폼을 제공합니다. 재해 복구 모의 훈련에 참여하는 모든 팀은 테스트 계획을 개발하고 테스트를 통해 얻은 결과와 교훈을 문서화하는 사후 평가도 시행합니다.
암호화
Google은 암호화를 사용하여 전송 중 데이터와 비활성 상태의 데이터를 보호합니다. G Suite에 전송 중 데이터는 모든 사용자에게 기본적으로 활성화되어 있는 HTTPS로 보호됩니다. G Suite 및 Google Cloud Platform 서비스는 고객 측에서 어떠한 조치를 취하지 않아도 하나 이상의 암호화 메커니즘을 통해 비활성 상태로 저장된 고객 콘텐츠를 암호화합니다. Google에서 데이터를 암호화하는 방식에 대한 자세한 내용은 암호화 백서에서 확인할 수 있습니다.
액세스 제어
Google 직원의 액세스 권한 및 수준은 최소 권한의 개념 및 알 필요가 있는 기준을 바탕으로 정해진 책임과 액세스 권한이 일치되도록 직무와 역할에 맞게 할당됩니다. 추가 액세스 권한을 요청하려면 Google의 보안 정책에 명시된 대로 데이터나 시스템 소유자, 관리자 또는 기타 책임자의 승인과 요청을 포함하는 공식 프로세스를 따라야 합니다.
취약점 관리
Google에서는 상용화 도구, 목적에 맞게 제작된 사내 도구, 집중적인 자동/수동 침투 테스트, 품질 보증 프로세스, 소프트웨어 보안 검토, 외부 감사를 조합한 방식으로 소프트웨어 취약점을 검사합니다. 또한 더욱 광범위한 보안 연구 커뮤니티에 의뢰하여 G Suite, Google Cloud Platform, 기타 Google 제품의 취약점을 파악하는 데 많은 도움을 받고 있습니다. Google의 취약점 발견 보상 프로그램은 연구자들로 하여금 고객 데이터에 해를 끼칠 수 있는 설계 및 구현 문제를 알리도록 유도하는 효과가 있습니다.
제품 보안: G Suite
G Suite 고객은 제품 기능과 구성을 활용하여 무단 또는 불법 처리로부터 개인 정보를 한층 더 강력하게 보호할 수 있습니다.
- 2단계 인증은 사용자가 로그인할 때 추가적인 본인 확인을 요청하여 무단 액세스의 위험을 줄입니다. 보안 키 강제 적용은 물리적 키를 요구하여 사용자 계정의 보안 레이어를 강화합니다.
- 의심스러운 로그인 모니터링은 강력한 머신러닝 기능을 통해 의심스러운 로그인을 감지합니다.
- 이메일 보안 강화 기능으로 이메일 메시지에서 S/MIME(Secure/Multipurpose Internet Mail Extensions)를 통한 서명 및 암호화를 의무화합니다.
- 데이터 손실 방지는 Gmail 및 드라이브의 민감한 정보를 무단으로 공유하지 못하도록 방지합니다. 자세한 내용은 DLP 백서를 참조하세요.
- 드라이브의 정보 권한 관리 기능으로 고급 공유 메뉴의 파일 다운로드, 인쇄, 복사를 사용 중지하고 파일 액세스 만료 기간도 설정할 수 있습니다.
- 휴대기기 관리 기능을 통해 의심스러운 기기 활동이 감지되었을 때 지속적인 시스템 모니터링 및 알림을 생성합니다.
- 보안 센터에서는 통합 대시보드 한 곳에서 외부 파일 공유에 대한 분석 정보, 조직 내 사용자를 대상으로 하는 스팸 및 멀웨어 확인 정보, 보안 효과를 입증하는 측정항목을 검토할 수 있습니다.
- Google Vault로 디지털 증거 검색 및 규정 준수를 위해 조직의 이메일, Google 드라이브 파일 콘텐츠, 채팅 기록을 보관, 보존, 검색하고 내보낼 수 있습니다.
타사 애플리케이션 액세스 제어는 OAuth를 활용하여 인증 및 기업 데이터 액세스를 수행하는 타사 애플리케이션을 파악하고 통제하는 기능입니다. OAuth 액세스를 상세 수준으로 사용 중지할 수 있고 타사 앱 허용 여부도 심사할 수 있습니다.
자세한 내용은 https://gsuite.google.com/security 페이지를 참조하세요.
제품 보안: GCP
GCP 고객은 제품 기능과 구성을 활용하여 무단 또는 불법 처리로부터 개인 정보를 한층 더 강력하게 보호할 수 있습니다.
- 2단계 인증은 사용자가 로그인할 때 추가적인 본인 확인을 요청하여 무단 액세스의 위험을 줄입니다. 보안 키 강제 적용은 물리적 키를 요구하여 사용자 계정의 보안 레이어를 강화합니다.
- Google Cloud Identity and Access Management(Cloud IAM)를 사용하면 Google Cloud Platform 리소스에 대한 세분화된 액세스 및 수정 권한을 생성하고 관리할 수 있습니다.
- Data Loss Prevention API를 통해 특수 범주의 개인 정보 처리를 식별하고 모니터링하여 적절한 제어를 구현할 수 있습니다.
- Stackdriver Logging 및 Stackdriver Monitoring은 로깅, 모니터링, 알림, 이상 감지 시스템을 Google Cloud Platform에 통합합니다.
- Cloud Identity-Aware Proxy(Cloud IAP)는 Google Cloud Platform에서 구동되는 클라우드 애플리케이션에 대한 액세스를 제어합니다.
- Cloud Security Scanner는 Google App Engine 애플리케이션의 일반적인 취약점을 검사하고 감지합니다.
- Cloud Security Command Center는 클라우드 애셋 인벤토리를 조회 및 모니터링하고, 스토리지 시스템에서 민감한 정보를 검색하고, 일반적인 웹 취약점을 감지하고, 중요 리소스에 대한 액세스 권한을 검토할 수 있는 중앙화된 단일 대시보드를 제공합니다.
자세한 내용은 https://cloud.google.com/security/ 페이지를 참조하세요.
관리자는 G Suite 또는 Google Cloud Platform 서비스(자세한 내용은 Google Cloud Platform 문서 참조)의 기능을 통해 계약 기간 중 언제든지 고객 데이터를 내보낼 수 있습니다. Google은 GDPR을 반영하고자 수년간 Google의 데이터 처리 약관에 포함되었던 데이터 내보내기 관련 의무사항을 개정했습니다. Google은 데이터 내보내기 기능을 고도화하고 G Suite 및 Google Cloud Platform 서비스에서 기업 데이터의 사본을 더욱 쉽고 안전하게 다운로드할 수 있도록 지원하고자 계속 노력하고 있습니다.
G Suite 또는 Google Cloud Platform 서비스의 기능을 사용해 언제든 고객 데이터를 삭제할 수도 있습니다. 사용자가 Google에 영구 삭제 요청을 전달하면(예: 이메일을 삭제하면 '휴지통'에서 더 이상 복구되지 않음) Google은 보관 의무가 적용되지 않는 한 최대 180일 내에 모든 시스템에서 관련 고객 데이터를 삭제합니다.
정보주체의 권리
데이터 컨트롤러는 G Suite 및 Google Cloud Platform 관리 콘솔과 서비스 기능을 사용해 자사와 사용자가 시스템에 입력하는 데이터 처리의 액세스, 정정, 제한 또는 데이터 삭제를 수행할 수 있습니다. 이 기능은 GDPR에 따라 본인의 권리를 행사하려는 정보주체의 요청에 대응해야 하는 데이터 컨트롤러로서의 의무를 다하는 데 도움이 됩니다.
데이터 보호팀
Google은 Google LLC와 자회사에 Google Ireland Limited의 엔터프라이즈 제품 전반에서 GDPR의 적용을 받는 데이터 처리를 관할하는 DPO를 임명했습니다. 키스 엔라이트(Privacy Legal 담당 이사)가 Google LLC의 데이터 보호 담당자 역할을 수행할 예정입니다. 엔라이트 이사는 미국 샌프란시스코에서 근무하고 있습니다.
필요에 따라 Google 엔터프라이즈 제품마다 데이터 보호와 관련된 고객의 문의에 대응하는 전담팀을 설치했습니다. 해당 팀에 연락하는 방법은 관련 계약서에 기술되어 있습니다. 고객측 관리자는 관리자 계정에 로그인한 상태로 https://support.google.com/a/contact/googlecloud_dpr에서 G Suite 및 Cloud 데이터 보호팀에 연락할 수 있으며, 관련 계약서에 기술된 대로 Google에 직접 통지할 수도 있습니다. Google Cloud Platform의 경우 https://support.google.com/cloud/contact/dpo에서 데이터 보호팀에 연락할 수 있습니다.
사고 통지
G Suite 및 Google Cloud Platform은 수년째 사고 통지와 관련한 계약상의 의무를 제공하고 있습니다. Google은 앞으로도 GDPR 개정판 계약 및 약관의 데이터 사고 조항에 준하여 고객 데이터와 관련된 사고를 즉각적으로 통지할 것입니다.
GDPR은 개인 정보를 EU 외부로 전송하는 여러 가지 메커니즘을 제공합니다. 이러한 메커니즘의 목적은 개인 정보를 제3국에 전송할 때 적정한 보호 수준을 보장하거나 적절한 보호 조치를 시행하는 것입니다.
표준 계약 조항에 따라 적절한 보호 조치가 제공될 수 있습니다. 적정한 보호 수준은 적정성 결정(예: 유럽연합-미국 프라이버시 실드의 근간이 되는 적정성 결정)에 준하여 확증될 수 있습니다.
Google의 현행 데이터 처리 계약은 GDPR의 규정에 따라 개인 정보를 EU 외부로 전송하는 메커니즘을 유지보수할 Google의 의무를 명시합니다. 유럽연합-미국 및 스위스-미국 프라이버시 실드 프레임워크에 따른 Google 인증에는 G Suite 및 Google Cloud Platform이 포함됩니다. 또한 Google은 유럽 데이터 보호 당국으로부터 표준 계약 조항에 대한 준수 확인서를 취득함으로써 G Suite 및 Google Cloud Platform에 대한 Google의 계약상 의무가 EU에서 세계 나머지 지역으로 개인 정보를 합법적으로 전송하는 데 관련되는 요건에 완벽히 부합됨을 입증했습니다.
Google의 고객과 규제 기관은 보안, 개인정보 보호, 규정 준수 관리에 대해 독립 기관의 검증을 기대합니다. 이러한 확신을 주기 위해 G Suite 및 Google Cloud Platform은 다수의 제3자 독립 기관으로부터 정기적인 감사를 받습니다.
ISO 27001(정보 보안 관리)
ISO 27001은 전 세계에 가장 널리 알려졌으며 국제적으로 사용되는 독립된 보안 표준 중 하나입니다. Google은 G Suite 및 Google Cloud Platform 제품은 물론, 공유되는 공통 인프라를 구성하는 시스템, 애플리케이션, 인력, 기술, 프로세스, 데이터 센터에 대해서도 ISO 27001 인증을 취득했습니다.
ISO 27017(클라우드 보안)
ISO 27017은 ISO/IEC 27002를 기반으로 하며 특히 클라우드 서비스의 정보 보안 제어에 관한 내용을 담은 국제 표준 관행입니다. Google은 G Suite 및 Google Cloud Platform에 대해 ISO 27017 규격 인증을 받았습니다.
ISO 27018(클라우드 개인정보 보호)
ISO 27018은 퍼블릭 클라우드 서비스의 개인 식별 정보(PII)에 관한 국제 표준 관행입니다. Google은 G Suite 및 Google Cloud Platform에 대해 ISO 27018 규격 인증을 받았습니다.
SSAE16 / ISAE 3402(SOC 2/3)
미국 공인 회계사 협회(AICPA) SOC(Service Organization Controls) 2 및 SOC 3 감사 체제는 보안, 가용성, 처리 무결성, 비밀유지에 관한 신뢰 원칙과 기준을 정의합니다. Google은 Google Cloud Platform 및 G Suite에 대해 SOC 2 및 SOC 3 보고서를 모두 보유하고 있습니다.
데이터 처리 약관
G Suite 및 Google Cloud Platform 데이터 처리 약관에는 고객에 대한 Google의 개인정보 보호 노력이 명시되어 있습니다. Google은 고객과 규제 기관의 피드백을 기반으로 수년에 걸쳐 해당 약관을 개선해 왔습니다.
최근에는 특히 GDPR을 반영하도록 조항을 업데이트하고 GDPR 발효에 앞서 업데이트된 조항을 미리 공개하여 Google Cloud 서비스를 이용하는 고객의 자체적인 준수 평가와 GDPR 대비를 돕고 있습니다.
이와 같이 개정된 데이터 처리 약관의 적용을 받으려면 G Suite 데이터 처리 수정안(여기)과 GCP 데이터 처리 및 보안 약관(여기)에서 설명하는 선택적 동의 절차를 따르시기 바랍니다.
지침에 따른 처리
고객 및 사용자가 시스템에 입력하는 모든 데이터는 GDPR을 반영하여 개정된 Google의 데이터 처리 약관에 기술된 대로 고객의 지침에 따라서만 처리됩니다.
직원의 비밀유지 노력
모든 Google 직원은 비밀유지 협약에 서명하고 의무적으로 Google의 윤리 강령 교육은 물론 비밀유지 및 개인정보 보호 교육 과정을 이수해야 합니다. Google의 윤리 강령에는 정보 보호와 관련된 책임 및 갖춰야 할 태도가 구체적으로 명시되어 있습니다.
Google 그룹 기업은 G Suite 및 Google Cloud Platform 서비스 제공에 필요한 대부분의 데이터 처리 작업을 직접 수행합니다. 그러나 일부 타사 공급업체에 서비스 지원을 의뢰할 때도 있습니다. 각 공급업체는 필요한 기술적 전문 지식이 있는지, 그리고 적정한 수준의 보안과 개인정보 보호를 제공할 수 있는지를 검증하는 엄격한 선정 절차를 거쳐 선정됩니다.
Google은 G Suite 및 Google Cloud Platform 서비스를 지원하는 Google 그룹의 보조 프로세서 및 이러한 서비스에 관여하는 제3자 보조 프로세서에 대한 정보를 공개하며, 데이터 처리 약관에 보조 프로세서와 관련된 의무사항을 포함합니다.
GDPR에 의거하여 위험에 상응하는 적절한 수준의 보안을 구현하기 위해 적절한 기술적, 조직적 조치가 취해져야 합니다.
Google은 정보 처리 수명 주기 전체에 걸쳐 최고 수준의 보안을 제공하도록 설계된 글로벌 인프라를 운영합니다. 이 인프라는 서비스의 안전한 배포, 최종 사용자 개인정보 보호 수단이 적용된 안전한 데이터 저장, 서비스 간의 안전한 통신, 고객과의 안전한 비공개 인터넷 통신, 관리자에 의한 안전한 운영을 제공하도록 설계되었습니다. G Suite 및 Google Cloud Platform은 이 인프라에서 실행됩니다.
Google에서는 데이터 센터의 물리적 보안부터 하드웨어 및 소프트웨어의 보안 보호 및 운영 보안 지원에 사용되는 프로세스에 이르기까지 자사의 인프라 보안 체계를 멀티 레이어로 설계했습니다. 이 다중 계층의 보안 덕분에 모든 요소에 견고한 보안 기반이 마련됩니다. 인프라 보안에 대한 자세한 설명은 Google 인프라 보안 설계 개요 백서를 확인하세요
가용성, 무결성, 장애 복구성
Google은 자사 플랫폼의 구성요소가 높은 중복성을 갖도록 설계합니다. Google의 데이터 센터는 지리적으로 분산되어 있어 자연재해 및 국지적 절전과 같은 지역적 장애 요인이 글로벌 제품에 미치는 영향을 최소화합니다. 하드웨어, 소프트웨어, 네트워크 장애가 발생하는 경우 해당 시설의 서비스가 즉각적으로 다른 시설로 옮겨가기 때문에 아무런 지장 없이 작업을 지속할 수 있습니다. Google의 중복성 높은 인프라는 고객의 데이터 손실을 방지합니다.
테스트
Google에서는 매년 재해 복구 테스트를 실시하여 인프라 및 애플리케이션팀이 통신 계획, 장애 조치 시나리오, 운영 전환, 기타 응급상황 대응을 테스트할 수 있도록 인프라 및 애플리케이션팀에 협력 플랫폼을 제공합니다. 재해 복구 모의 훈련에 참여하는 모든 팀은 테스트 계획을 개발하고 테스트를 통해 얻은 결과와 교훈을 문서화하는 사후 평가도 시행합니다.
암호화
Google은 암호화를 사용하여 전송 중 데이터와 비활성 상태의 데이터를 보호합니다. G Suite에 전송 중 데이터는 모든 사용자에게 기본적으로 활성화되어 있는 HTTPS로 보호됩니다. G Suite 및 Google Cloud Platform 서비스는 고객 측에서 어떠한 조치를 취하지 않아도 하나 이상의 암호화 메커니즘을 통해 비활성 상태로 저장된 고객 콘텐츠를 암호화합니다. Google에서 데이터를 암호화하는 방식에 대한 자세한 내용은 암호화 백서에서 확인할 수 있습니다.
액세스 제어
Google 직원의 액세스 권한 및 수준은 최소 권한의 개념 및 알 필요가 있는 기준을 바탕으로 정해진 책임과 액세스 권한이 일치되도록 직무와 역할에 맞게 할당됩니다. 추가 액세스 권한을 요청하려면 Google의 보안 정책에 명시된 대로 데이터나 시스템 소유자, 관리자 또는 기타 책임자의 승인과 요청을 포함하는 공식 프로세스를 따라야 합니다.
취약점 관리
Google에서는 상용화 도구, 목적에 맞게 제작된 사내 도구, 집중적인 자동/수동 침투 테스트, 품질 보증 프로세스, 소프트웨어 보안 검토, 외부 감사를 조합한 방식으로 소프트웨어 취약점을 검사합니다. 또한 더욱 광범위한 보안 연구 커뮤니티에 의뢰하여 G Suite, Google Cloud Platform, 기타 Google 제품의 취약점을 파악하는 데 많은 도움을 받고 있습니다. Google의 취약점 발견 보상 프로그램은 연구자들로 하여금 고객 데이터에 해를 끼칠 수 있는 설계 및 구현 문제를 알리도록 유도하는 효과가 있습니다.
제품 보안: G Suite
G Suite 고객은 제품 기능과 구성을 활용하여 무단 또는 불법 처리로부터 개인 정보를 한층 더 강력하게 보호할 수 있습니다.
- 2단계 인증은 사용자가 로그인할 때 추가적인 본인 확인을 요청하여 무단 액세스의 위험을 줄입니다. 보안 키 강제 적용은 물리적 키를 요구하여 사용자 계정의 보안 레이어를 강화합니다.
- 의심스러운 로그인 모니터링은 강력한 머신러닝 기능을 통해 의심스러운 로그인을 감지합니다.
- 이메일 보안 강화 기능으로 이메일 메시지에서 S/MIME(Secure/Multipurpose Internet Mail Extensions)를 통한 서명 및 암호화를 의무화합니다.
- 데이터 손실 방지는 Gmail 및 드라이브의 민감한 정보를 무단으로 공유하지 못하도록 방지합니다. 자세한 내용은 DLP 백서를 참조하세요.
- 드라이브의 정보 권한 관리 기능으로 고급 공유 메뉴의 파일 다운로드, 인쇄, 복사를 사용 중지하고 파일 액세스 만료 기간도 설정할 수 있습니다.
- 휴대기기 관리 기능을 통해 의심스러운 기기 활동이 감지되었을 때 지속적인 시스템 모니터링 및 알림을 생성합니다.
- 보안 센터에서는 통합 대시보드 한 곳에서 외부 파일 공유에 대한 분석 정보, 조직 내 사용자를 대상으로 하는 스팸 및 멀웨어 확인 정보, 보안 효과를 입증하는 측정항목을 검토할 수 있습니다.
- Google Vault로 디지털 증거 검색 및 규정 준수를 위해 조직의 이메일, Google 드라이브 파일 콘텐츠, 채팅 기록을 보관, 보존, 검색하고 내보낼 수 있습니다.
타사 애플리케이션 액세스 제어는 OAuth를 활용하여 인증 및 기업 데이터 액세스를 수행하는 타사 애플리케이션을 파악하고 통제하는 기능입니다. OAuth 액세스를 상세 수준으로 사용 중지할 수 있고 타사 앱 허용 여부도 심사할 수 있습니다.
자세한 내용은 https://gsuite.google.com/security 페이지를 참조하세요.
제품 보안: GCP
GCP 고객은 제품 기능과 구성을 활용하여 무단 또는 불법 처리로부터 개인 정보를 한층 더 강력하게 보호할 수 있습니다.
- 2단계 인증은 사용자가 로그인할 때 추가적인 본인 확인을 요청하여 무단 액세스의 위험을 줄입니다. 보안 키 강제 적용은 물리적 키를 요구하여 사용자 계정의 보안 레이어를 강화합니다.
- Google Cloud Identity and Access Management(Cloud IAM)를 사용하면 Google Cloud Platform 리소스에 대한 세분화된 액세스 및 수정 권한을 생성하고 관리할 수 있습니다.
- Data Loss Prevention API를 통해 특수 범주의 개인 정보 처리를 식별하고 모니터링하여 적절한 제어를 구현할 수 있습니다.
- Stackdriver Logging 및 Stackdriver Monitoring은 로깅, 모니터링, 알림, 이상 감지 시스템을 Google Cloud Platform에 통합합니다.
- Cloud Identity-Aware Proxy(Cloud IAP)는 Google Cloud Platform에서 구동되는 클라우드 애플리케이션에 대한 액세스를 제어합니다.
- Cloud Security Scanner는 Google App Engine 애플리케이션의 일반적인 취약점을 검사하고 감지합니다.
- Cloud Security Command Center는 클라우드 애셋 인벤토리를 조회 및 모니터링하고, 스토리지 시스템에서 민감한 정보를 검색하고, 일반적인 웹 취약점을 감지하고, 중요 리소스에 대한 액세스 권한을 검토할 수 있는 중앙화된 단일 대시보드를 제공합니다.
자세한 내용은 https://cloud.google.com/security/ 페이지를 참조하세요.
관리자는 G Suite 또는 Google Cloud Platform 서비스(자세한 내용은 Google Cloud Platform 문서 참조)의 기능을 통해 계약 기간 중 언제든지 고객 데이터를 내보낼 수 있습니다. Google은 GDPR을 반영하고자 수년간 Google의 데이터 처리 약관에 포함되었던 데이터 내보내기 관련 의무사항을 개정했습니다. Google은 데이터 내보내기 기능을 고도화하고 G Suite 및 Google Cloud Platform 서비스에서 기업 데이터의 사본을 더욱 쉽고 안전하게 다운로드할 수 있도록 지원하고자 계속 노력하고 있습니다.
G Suite 또는 Google Cloud Platform 서비스의 기능을 사용해 언제든 고객 데이터를 삭제할 수도 있습니다. 사용자가 Google에 영구 삭제 요청을 전달하면(예: 이메일을 삭제하면 '휴지통'에서 더 이상 복구되지 않음) Google은 보관 의무가 적용되지 않는 한 최대 180일 내에 모든 시스템에서 관련 고객 데이터를 삭제합니다.
정보주체의 권리
데이터 컨트롤러는 G Suite 및 Google Cloud Platform 관리 콘솔과 서비스 기능을 사용해 자사와 사용자가 시스템에 입력하는 데이터 처리의 액세스, 정정, 제한 또는 데이터 삭제를 수행할 수 있습니다. 이 기능은 GDPR에 따라 본인의 권리를 행사하려는 정보주체의 요청에 대응해야 하는 데이터 컨트롤러로서의 의무를 다하는 데 도움이 됩니다.
데이터 보호팀
Google은 Google LLC와 자회사에 Google Ireland Limited의 엔터프라이즈 제품 전반에서 GDPR의 적용을 받는 데이터 처리를 관할하는 DPO를 임명했습니다. 키스 엔라이트(Privacy Legal 담당 이사)가 Google LLC의 데이터 보호 담당자 역할을 수행할 예정입니다. 엔라이트 이사는 미국 샌프란시스코에서 근무하고 있습니다.
필요에 따라 Google 엔터프라이즈 제품마다 데이터 보호와 관련된 고객의 문의에 대응하는 전담팀을 설치했습니다. 해당 팀에 연락하는 방법은 관련 계약서에 기술되어 있습니다. 고객측 관리자는 관리자 계정에 로그인한 상태로 https://support.google.com/a/contact/googlecloud_dpr에서 G Suite 및 Cloud 데이터 보호팀에 연락할 수 있으며, 관련 계약서에 기술된 대로 Google에 직접 통지할 수도 있습니다. Google Cloud Platform의 경우 https://support.google.com/cloud/contact/dpo에서 데이터 보호팀에 연락할 수 있습니다.
사고 통지
G Suite 및 Google Cloud Platform은 수년째 사고 통지와 관련한 계약상의 의무를 제공하고 있습니다. Google은 앞으로도 GDPR 개정판 계약 및 약관의 데이터 사고 조항에 준하여 고객 데이터와 관련된 사고를 즉각적으로 통지할 것입니다.
GDPR은 개인 정보를 EU 외부로 전송하는 여러 가지 메커니즘을 제공합니다. 이러한 메커니즘의 목적은 개인 정보를 제3국에 전송할 때 적정한 보호 수준을 보장하거나 적절한 보호 조치를 시행하는 것입니다.
표준 계약 조항에 따라 적절한 보호 조치가 제공될 수 있습니다. 적정한 보호 수준은 적정성 결정(예: 유럽연합-미국 프라이버시 실드의 근간이 되는 적정성 결정)에 준하여 확증될 수 있습니다.
Google의 현행 데이터 처리 계약은 GDPR의 규정에 따라 개인 정보를 EU 외부로 전송하는 메커니즘을 유지보수할 Google의 의무를 명시합니다. 유럽연합-미국 및 스위스-미국 프라이버시 실드 프레임워크에 따른 Google 인증에는 G Suite 및 Google Cloud Platform이 포함됩니다. 또한 Google은 유럽 데이터 보호 당국으로부터 표준 계약 조항에 대한 준수 확인서를 취득함으로써 G Suite 및 Google Cloud Platform에 대한 Google의 계약상 의무가 EU에서 세계 나머지 지역으로 개인 정보를 합법적으로 전송하는 데 관련되는 요건에 완벽히 부합됨을 입증했습니다.
Google의 고객과 규제 기관은 보안, 개인정보 보호, 규정 준수 관리에 대해 독립 기관의 검증을 기대합니다. 이러한 확신을 주기 위해 G Suite 및 Google Cloud Platform은 다수의 제3자 독립 기관으로부터 정기적인 감사를 받습니다.
ISO 27001(정보 보안 관리)
ISO 27001은 전 세계에 가장 널리 알려졌으며 국제적으로 사용되는 독립된 보안 표준 중 하나입니다. Google은 G Suite 및 Google Cloud Platform 제품은 물론, 공유되는 공통 인프라를 구성하는 시스템, 애플리케이션, 인력, 기술, 프로세스, 데이터 센터에 대해서도 ISO 27001 인증을 취득했습니다.
ISO 27017(클라우드 보안)
ISO 27017은 ISO/IEC 27002를 기반으로 하며 특히 클라우드 서비스의 정보 보안 제어에 관한 내용을 담은 국제 표준 관행입니다. Google은 G Suite 및 Google Cloud Platform에 대해 ISO 27017 규격 인증을 받았습니다.
ISO 27018(클라우드 개인정보 보호)
ISO 27018은 퍼블릭 클라우드 서비스의 개인 식별 정보(PII)에 관한 국제 표준 관행입니다. Google은 G Suite 및 Google Cloud Platform에 대해 ISO 27018 규격 인증을 받았습니다.
SSAE16 / ISAE 3402(SOC 2/3)
미국 공인 회계사 협회(AICPA) SOC(Service Organization Controls) 2 및 SOC 3 감사 체제는 보안, 가용성, 처리 무결성, 비밀유지에 관한 신뢰 원칙과 기준을 정의합니다. Google은 Google Cloud Platform 및 G Suite에 대해 SOC 2 및 SOC 3 보고서를 모두 보유하고 있습니다.
고객의 할 일
고객의 책임은 무엇인가요?
G Suite1 및 Google Cloud Platform 고객은 Google Cloud 서비스 사용을 통해 Google에 제공하는 개인 콘텐츠의 데이터 컨트롤러로 활동하는 경우가 일반적입니다. 데이터 컨트롤러는 개인 정보를 처리하는 목적과 수단을 결정합니다. 데이터 프로세서의 역할은 일반적으로 Google이 담당합니다. 데이터 프로세서인 Google Cloud는 G Suite 또는 Google Cloud Platform을 사용하는 데이터 컨트롤러를 대신하여 개인 정보를 처리합니다.
데이터 컨트롤러란 무엇일까요?
데이터 컨트롤러는 모든 데이터 처리 과정이 GDPR을 준수하여 수행되는지 확인하고 입증하기 위해 적절한 기술적, 조직적 수단을 구현할 책임이 있습니다. 컨트롤러의 의무는 데이터와 관련된 적법성, 공정성, 투명성, 목적 제한, 데이터 최소화, 정확성, 정보주체의 권리 존중과 같은 원칙과 직결됩니다.
국가 또는 관할지 데이터 보호 당국의 웹사이트 및 IAPP(International Association of Privacy Professionals)와 같은 개인정보 보호 협회의 간행물을 정기적으로 확인하여 GDPR에 따른 책임 및 관련 지침을 확인할 수 있습니다. Google은 이 GDPR 페이지와 GDPR 리소스 센터를 항상 업데이트하여 최신 소식과 정보를 제공할 예정입니다.
이 사이트의 목적은 GDPR과 관련하여 Google Cloud의 입장에 대한 고객 여러분의 이해를 돕는 것입니다. 귀하의 조직에 해당하는 구체적인 요구사항에 대해서는 법률 전문가와 상담하시기 바랍니다. 이 사이트의 내용은 법적 자문에 해당하지 않습니다.
어디서부터 시작해야 할까요?
Google Cloud의 고객은 데이터 보호 규정 준수 전략에 GDPR을 통합할 필요가 있습니다. 다음과 같은 팁을 참고하세요.
- GDPR의 제반 조항을 숙지하세요.
- 취급하는 개인 정보의 업데이트된 인벤토리를 만드세요. Google에서는 데이터를 식별하고 분류하는 데 도움이 되는 도구를 제공합니다.
- GDPR의 요구사항과 관련하여 데이터 관리 및 보호에 대한 현행 관리 체계, 정책, 프로세스를 검토하세요. 차이를 파악하고 해결 방안을 수립하세요.
- 자체 규정 준수 프레임워크의 일부로 Google Cloud의 기존 데이터 보호 기능을 활용할 방법을 고려하세요. 우선 G Suite 또는 Google Cloud Platform의 제3자 감사 및 인증 자료를 검토해 보세요.
- G Suite 데이터 처리 수정안(여기)과 GCP 데이터 처리 및 보안 약관(여기)에서 설명하는 선택적 동의 절차에 따라 개정된 데이터 처리 약관을 검토하고 수락하세요.
FAQ
- GDPR이란 무엇인가요?
- 개인정보 보호법(General Data Protection Regulation)의 약어로, 2018년 5월 25일부터 1995년 10월 24일자 95/46/EC 데이터 보호 지침을 대체하는 개인정보 보호 법안입니다.
- GDPR은 개인 정보를 EU에 저장하도록 의무화하나요?
- 아니요. GDPR은 95/46/EC 데이터 보호 지침과 마찬가지로 개인 정보를 EU 외부로 전송하는 데 대한 특정 조건을 명시합니다. 표준 계약 조항과 같은 메커니즘을 통해 이러한 조건을 충족할 수 있습니다.
- GDPR을 반영하기 위해 약관이 어떻게 개정되었나요?
- 다년간 Google Cloud는 고객에 대한 Google의 개인정보 보호 및 보안 의무를 명시하는 데이터 처리 약관을 제공해 왔습니다. 클라우스 서비스 제공업체의 계약상 의무와 무관하게 GDPR은 클라우드 서비스 제공업체에 직접 적용되지만, Google은 GDPR을 반영하고자 자체적으로 약관을 개정해 왔습니다. GDPR을 반영한 Google의 약관은 특히 클라우드 고객의 데이터 프로세서 이용에 적용되는 GDPR 28조의 조항을 반영합니다.
- GDPR은 고객이 Google Cloud를 감사할 수 있는 권리를 보장하나요?
- GDPR은 데이터 프로세서와 계약을 맺는 데이터 컨트롤러에게 의무적으로 감사권을 부여하도록 하고 있습니다. Google의 개정된 데이터 처리 계약에는 고객을 위한 감사권이 포함됩니다.
- GDPR 준수에 있어 제3자 ISO 27001, ISO 27017, ISO 27018, SOC 2/3 보고서의 역할은 무엇인가요?
- Google의 제3자 ISO 인증 및 SOC 2/3 감사 보고서는 고객이 위험성을 평가하고 적절한 기술적, 조직적 수단이 갖춰졌는지 판단하는 데 사용할 수 있습니다.
- GDPR과 관련하여 Google은 이외에 어떠한 정보와 리소스를 제공하나요?
- Google의 비즈니스 및 데이터 웹사이트와 GDPR 리소스 센터를 참조하세요.