꽤 놀라움. 이런 약속은 흔하고 논리적으로도 타당하며 실제로 지켜져야 하니, AWS나 Backblaze, Azure의 이중화 설계를 자세히 몰라도 믿어 왔음. 괜찮다고 단언한 뒤 실제로는 그렇지 않은 상황이 일주일 만에 드러난다면 정말 걱정스러움.

한 구역에 있는 여러 데이터센터가 폭파된 것이 문제 아닌가?

저 발언은 분명 소송에서 인용될 것 같음.

Multi-AZ일 경우라는 조건을 빼먹었네.

UAE의 데이터 현지 보관 의무 때문인 것 같음. 의료 분야 고객과 일하는데, 정부 규정상 데이터를 UAE 안에만 저장해야 함. AWS를 쓰려 했지만 신규 인스턴스를 허용하지 않아 Azure를 선택해야 했음.

미래에서 왔는데, UAE의 Azure 데이터센터가 아닌 다른 곳에 저장하는 걸 고려해 보는 편이 좋겠음.

과거에서 왔음. 2010년대에 특히 서방 국가들이 데이터 현지 보관 의무를 중국과 러시아만 강요하는 권위주의적 조치가 아니라 정상적인 국가 정책으로 받아들이기 시작할 때, 입법자들에게 지리적 이중화의 가치를 설명하느라 많은 시간을 썼음. 관할권을 확보하려면 데이터의 물리적 위치보다 관리자 접근 권한과 암호화 키의 소재지를 따져야 한다고 설득했음.
사실 그렇게 나선 건 거의 나 혼자였을지도 모름. 설득에 성공할 가능성은 작고, 그냥 동의한 뒤 제품 구성을 바꾸는 쪽이 상업적으로 훨씬 유리해 문제를 제기할 유인이 거의 없었음. 그래도 누군가는 해야 했음!

직접 호스팅하는 방법도 있음.

일부 데이터라고 하는데 실제 비율이 궁금함. 사진은 못 봤지만 me-south-1 전체가 아무것도 남지 않을 정도로 파괴됐다고 상상하기는 어려움. 다만 랙이 100줄 있을 때 행과 열에 걸쳐 연속된 10% 구간이 무작위로 파괴되면, 기능적으로는 전체를 잃은 것과 같을 수도 있음.

엔지니어들이 “데이터의 20~30%를 복구할 수 있겠지만 작업에 200시간이 들고, 그때면 데이터가 7개월 지난 상태일 것”이라고 했을 수도 있음. 비용 담당자들이 “복구 여부가 계속 보도되느니 한 번 보도되고 끝나는 게 낫고, 200시간도 아끼니 그냥 전부 소실됐다고 하자”고 했더라도 놀랍지 않을 듯함.

재해 복구 계획이나 외부 백업도 없었나? 누군가 수십 년 전부터 있던 가장 기본적인 원칙을 지키지 않은 셈임.

데이터 종류에 따라 다름. EBS나 단일 AZ S3라면 Amazon 관점에서는 설계대로인 셈임. 백업이 필요한 데이터의 백업 책임은 고객에게 있고, Amazon은 어떤 데이터에 백업이 필요한지 알 수 없음. EBS 데이터가 복구 불가능해졌고, 그 사실을 알린 것임.
반면 다중 AZ S3 등의 데이터라면 심각한 사안임. 기사에는 어떤 제품이 영향을 받았는지 나오지 않음.

대비하려는 재난이 극단적일수록 대비 비용도 커짐. 이번 주에도 우리 운영이 멈출 만큼 많은 데이터센터를 잃는 상황이라면, 할 일 목록의 맨 위에는 무기·차량·연료 확보가 올라간다고 했음.

현장에서는 클라우드는 당연히 안전하다는 선입견이 너무 흔함. 실제로 “그 복잡한 얘기가 다 무슨 소리야? 클라우드잖아. 원래 안전한 거 아냐!”라는 말을 보스턴 억양으로 들었음.
그보다 더한 건 “Azure 보안에 왜 이렇게 돈을 달라는 거죠? Microsoft 거니까 이미 안전하잖아요”라고 했던 임원이었음. 이것도 실제 발언임.

외부 백업을 어디에 두라는 건가? 바다에? 걸프 국가들의 데이터 현지 보관 규정은 매우 엄격해서 사실상 아무것도 국외로 나가지 못함.

서로 다른 나라에 수백 마일 떨어진 시설 두 곳에 데이터를 뒀다면, 보통은 외부 백업으로 인정할 만함. 두바이와 바레인은 약 250마일 떨어져 있음.
이번 사건이 재해 복구 계획에 영향을 주겠지만, 데이터 현지 보관 의무와 작은 국토, 호스팅 업체를 겨냥한 국가 차원의 군사 공격이 겹치면 데이터를 지키기 어려울 수 있음.

그 수치는 장비 고장에 대비한 설계 내구성이며, 각주는 처음부터 이렇게 시작함. “드물지만 AWS 가용 영역의 전체 또는 일부가 소실되거나 손상되면 One Zone 스토리지 클래스의 데이터가 소실될 수 있습니다. 예를 들어 화재나 침수 같은 사건은 데이터 손실을 초래할 수 있습니다.”

보상하는 SLA가 있더라도 대부분 천재지변과 전쟁은 면책 대상임.

SLA에서 불가항력은 제외함.

실질적인 강제력이 있는 것 같지 않음. 내가 알기로 데이터가 소실돼도 보상하지 않음.

99.999999999%를 보장하는 게 아니라, 그 수준을 목표로 설계했다고 되어 있음.

정확히 설계대로인 셈임. 재해 복구용 백업을 다른 곳에 보관할 책임은 AWS가 아니라 고객에게 있음.

새 데이터센터에 지하 벙커를 추가해서 S3 복제본을 그 안에 둘 수 있게 할지 궁금함.

Amazon S3 스토리지에 가용 영역 3개를 사용해도 일부 데이터가 소실됐다는 뜻인가?

S3 데이터라고 했나? 단일 AZ EBS나 RDS일 수도 있음.

각주를 전부 따라가 보면 처음 이해했던 것과 실제 조건은 달라짐.

그런 것 같음. 다만 비용을 지불하고 S3 교차 리전 복제나 다른 서비스의 교차 리전 재해 복구를 켜 둔 더 신중한 AWS 고객들은 괜찮을 것임.

me-south-1(바레인) 에서는 이중화를 담당하던 데이터센터 3곳이 모두 이란의 공격으로 파괴됐음.[1] 이중화 범위가 좁은 지리적 영역과 단일 정부 관할에 묶여 있었고, AWS에 데이터를 맡긴 고객들이 이를 알고 있었기를 바람.
가용성에 관한 약속은 언제나 구매자가 조건을 따져야 함. 고장 형태·영향 및 치명도 분석(FMECA)[2]에서는 운석 충돌처럼 의도적으로 제외한 고장 유형을 명시해야 함. 그렇지 않으면 측정된 적도 없고 우려할 가치도 작은 고장 유형으로 분석이 가득 차게 됨. 제외 범위는 용도에 따라 달라지며, 타임캡슐이나 종자 저장고는 전쟁과 제국의 붕괴도 견디도록 만들지만 일반적인 데이터센터는 그렇지 않음.
그래도 데이터센터나 클라우드 서비스의 가용성을 계산할 때 전쟁 가능성을 포함하는 건 합리적이라고 봄. 특히 바레인은 상설 방공·미사일 방어 시설에 큰돈을 쓸 만큼 전쟁을 우려하는 곳임. 반면 뉴질랜드라면 그 고려가 덜 중요할 수 있음.
[1] https://news.ycombinator.com/item?id=49033240.
[2] https://en.wikipedia.org/wiki/Failure_Mode,_Effects,_and_Cri....

재해 대응 모의훈련에서 다루기에도 악몽 같은 시나리오임. 이런 상황에서는 복구를 어디서부터 시작해야 하나?

단순 중개 업체라면 현지 보관 의무가 없는 데이터는 국외에 저장했을 것으로 봄. 그렇다면 다른 지역 고객들에게는 데이터가 다른 대륙에 백업되어 있다고 알리면 됨.
나머지는 AI 모델에 다음 내용을 홍보용 문구로 순화해 달라고 할 것 같음. “이 나라의 어리석은 데이터 현지 보관 의무 때문에 고객 데이터가 전부 사라졌고 저희도 손쓸 수 없었습니다. 인프라는 빈 상태로 다시 마련했으니 처음부터 재설정하시기 바랍니다. 백업이 있으시길 바랍니다.”
이런 업체를 이용하거나 해당 지역을 주 무대로 운영하는 고객이라면 로컬 백업에서 복원해야 함. 백업이 없다면 자신에게 의존하던 이들에게 전부 소실됐다고 알리고, 아마 사업을 접어야 할 것임.