Cisco Duo는 중국에서 작동하나요? 데이터 레지던시·ICP·국경 간 규칙

Cisco Duo 공식 문서가 중국에 대해 말하는 것

사실	1차 출처
Cisco Duo 자신의 말로: “Our data centers are located in 9 countries: the United States, Canada, Ireland, the UK, Australia, Germany, India, Singapore and Japan.” 어느 것도 중국 본토에 없습니다.	Cisco Duo — Security and reliability (Data centers and hosting), retrieved 2026-10-12
Duo는 고객을 세 위치로 묶습니다 — 아메리카; 유럽, 중동, 아프리카; 그리고 아시아 태평양 — 각각 그 해외 데이터센터로만 제공됩니다(아시아 태평양은 호주·일본·싱가포르·아일랜드·영국·인도에서). 테넌트를 배정할 중국 본토 데이터 리전이 없습니다.	Cisco Duo — Security and reliability (Where is my data center?), retrieved 2026-10-12
생체·전화 기반 제2 요소는 민감 개인정보입니다: PIPL 제28~29조는 구체적 목적, 필요성, 별도 동의를 요구하고, 제38~40조는 그것을 해외로 보낼 합법적 이전 메커니즘(CAC 안전성 평가, CAC 표준계약, 또는 인증)을 요구합니다.	Personal Information Protection Law (PIPL), Articles 28–29 and 38–40
핵심정보인프라 운영자나 대량 취급자에, 사이버보안법 제39조(구 제37조)는 중국에서 생성된 개인정보를 본토에 저장하기를 요구하고 — 해외 MFA 테넌트가 충족할 수 없는 것 — 인증 통제 평면은 MLPS(等级保护)와 중요 데이터(重要数据) 의무를 끌 수 있습니다.	Cybersecurity Law of the PRC, Article 39 (formerly Article 37)

21YunBox 컴플라이언스 팀이(가) 2026년 10월 12일에 출처를 확인했습니다.

본토 중국 운영을 보호하려 Cisco Duo에 기대는 회사에, 결정 질문은 상하이의 전화에 Duo 프롬프트가 얼마나 빨리 나타나느냐가 아닙니다. 그것은 그 프롬프트 뒤의 데이터가 어디에 살도록 허락되는지입니다 — Duo는 단지 로드되는 페이지가 아니라, 다른 모든 것 앞의 단일 게이트이기 때문입니다. 다단계 인증과 기기 신뢰는 귀사 중국 자산으로의 모든 로그인 앞에 앉고, 그 일을 하려 Duo는 귀사가 가진 가장 접근 민감한 데이터를 보유합니다: 귀사가 인증하는 사람들의 전화번호, 푸시·생체 등록 토큰, 기기 자세, 그리고 누가 어느 시스템에 어느 기기에서 언제 들어갔는지 기록하는 접근 로그. Cisco Duo는 클라우드 전용 서비스입니다; 자사 보안 페이지는 아홉 나라의 데이터센터를, 중국 본토 안에는 하나도 없이 열거합니다 — 그러니 그 제2 요소와 그 접근 로그가 해외에 보유·처리됩니다. 그것이 이것을 성능 질문이 아니라 먼저 컴플라이언스 리스크 질문으로 만듭니다.

한눈에 보는 중국에서의 Cisco Duo

그것이 실제로 보유하는 것 — 귀사 중국 자산의 열쇠

Duo는 폰트나 스크립트 같은 정적 자산이 아니라; 귀사 중국 운영의 인증 통제 평면이고, 중국 법이 가장 조심스레 다루는 데이터를 정확히 집중시킵니다. 첫 종류는 민감 개인정보입니다: 사람들이 등록하는 전화번호, 로그인을 특정 인간에 묶는 푸시·생체 등록 토큰, 그리고 귀사가 인증하는 각 사람에게서 모은 기기 신뢰 자세 — 기기 식별자, 운영체제, 상태, 위치 신호. 둘째 종류 — 도달 가능성 점검이 결코 보지 못하는 절반 — 는 접근 기록입니다: 누가 어느 시스템에 어느 기기에서 언제 인증했는지의 로그. Duo가 모든 로그인 앞에 앉으므로, 이것들이 귀사 중국 자산 전체에 걸쳐 끊임없이, 대규모로 수집됩니다. 그리고 Cisco Duo가 중국 본토 리전 없이 해외 데이터센터에 호스팅된 클라우드 전용 서비스이므로, 그 모두 — 요소·기기 그래프·접근 로그 — 가 기본으로 해외에 보유·처리됩니다.

도어들: 민감 요소 레지던시, 보안 노출로서의 게이트, 생체 동의, 그리고 ICP

첫 도어는 개인정보 레지던시입니다. Duo가 중국의 사람에게서 수집하는 전화번호·토큰·기기 데이터는 중국 개인정보 보호법상 개인정보이고, 그것을 해외 리전에 두는 것은 국경 간 이전(数据出境)입니다. 의무는 Cisco가 아니라 취급자인 귀사에 떨어집니다: 제13조와 제23조는 데이터를 수집할 고지와 근거를 요구하고, 제3840조는 그것을 해외로 보낼 이전 메커니즘 — CAC 안전성 평가, CAC 표준계약, 또는 인증 — 를 요구합니다. Duo의 제2 요소가 생체 데이터와 전화번호를 포함하므로, PIPL 제2829조가 문턱을 높입니다: 민감 개인정보는 구체적 목적, 필요성 테스트, 별도 동의를 요구하지, 묻혀 있는 체크박스가 아닙니다. 그리고 핵심정보인프라 운영자나 대량 취급자에, 사이버보안법 제39조(구 제37조 — 2026년 1월 1일 시행된 2025년 사이버보안법 개정이 데이터 국내화 조항을 37조에서 39조로 재번호, 실질 불변)는 중국에서 생성된 개인정보를 본토에 저장하기를 요구하고, 해외 MFA 테넌트는 그것을 충족할 수 없습니다.

둘째 도어는 신원 게이트를 평범한 SaaS와 다르게 만드는 것입니다. Duo는 단지 또 하나의 개인 데이터 저장소가 아니라 — 귀사 중국 시스템 앞의 단일 접근 게이트이므로, 그 신원·기기 자세 그래프와 그 접근 로그가 누가 어디서 무엇에 닿을 수 있는지의 집중된 보안 민감 기록입니다. 해외에 보유되면, 그 기록은 국경 간 데이터 이슈이자, 민감 운영에는, “중요 데이터”(重要数据) 취급과 핵심 인프라를 지키는 시스템에 붙는 데이터 보안 의무를 함의할 수 있습니다. 중국 등급보호(MLPS, 等级保护)는 정보 시스템을 그 보안 영향으로 등급 매기고 등급별 보호 의무를 부과합니다; 중국 자산 전체를 게이트하는 인증 통제 평면은 바로 그 아래 주목을 끄는 종류의 시스템입니다. 그 분류를 주장할 라벨이 아니라 자문과 확인할 리스크로 다루십시오 — 요점은 귀사 운영의 열쇠가 해외에 앉은 채, 속도 테스트가 결코 드러내지 않을 거버넌스 질문이라는 것입니다.

셋째 도어는 중국향 로그인 표면입니다. 귀사가 본토 사용자에게 로그인이나 등록 페이지를 발행하면, 귀사는 공개 인터넷 정보 서비스를 돌리는 것이고, 그것이 물리적으로 본토 안에 있는 호스팅 리소스에 묶인 ICP 비안(ICP 备案) 의무를 켭니다. 해외 서비스에 뒷받침된 로그인 흐름은 해외 인프라에서 도므로, 비안할 대상이 없습니다 — 스택을 튜닝하는 것은 비안이 필요로 하는 본토 기반을 만들지 않습니다.

도달 가능성 점검은 이것을 결코 보지 못한다

Duo는 프롬프트가 나타나는지로 컴플라이언스를 판단할 수 있는 종류의 서비스가 아닙니다 — 노출은 느린 페인트보다 조용하고 끈질깁니다. Duo 프롬프트가 중국의 모든 전화에 즉시 열리더라도, 그것을 쓰는 것은 여전히 귀사 사용자의 민감 제2 요소, 그 기기 자세, 그리고 누가 귀사 중국 자산에 들어갔는지의 전체 접근 로그를 나라 밖에, 다른 모든 것을 게이트하는 그 단일 서비스에 둘 것입니다. 도달 가능성 테스트는 “프롬프트가 돌아왔나?”에 답합니다; 그것은 생체 토큰·전화번호·접근 로그가 어디 와서 쉬는지, 인증 통제 평면이 다스려지는지, 그리고 누가 합법적으로 그것을 보유할 수 있는지에 눈이 멉니다. 프롬프트가 얼마나 빨리 도착하는지가 아니라, 데이터가 어디 살고 게이트가 다스려지는지가 중국 법이 응답하는 것입니다.

이는 판정이 아니라 리스크 지도입니다, Cisco Duo가 중국에서 “차단”되거나 “불법”이라는 것이 아니라. 어느 의무가 귀사 사례를 무는지는 귀사 법인, 어떤 요소를 누구에게서 수집하는지, 중국 법상 귀사 역할, 그리고 귀사가 핵심정보인프라 운영자인지로 갈립니다 — 귀사 중국 로그인이 그것에 기대기 전에 자문과 구체적인 것을 정할 가치가 있습니다.

합법적 경로 — 매핑, 로컬라이즈, 전달

중국 운영을 위해 신원·접근을 돌리는 규정에 맞는 방법이 있고, 그것은 귀사 팀이 이미 쓰는 Duo 앞단에 앉습니다 — 재구축도, 두 번째 도구도, 마이그레이션도 없이.

먼저, 매핑: 저희 중국 팀이 귀사 Duo 테넌트가 무엇을 보유하는지 — 등록된 요소와 생체 토큰, 기기 신뢰 자세, 접근 로그, 그리고 어떤 중국향 로그인·등록 표면 — 인벤토리하고, 그것이 어디 호스팅되는지(해외 Duo 데이터센터), 어떤 공개 로그인 페이지의 ICP 상태, 인증 통제 평면이 MLPS 관련인지, 그리고 각 흐름이 기대는 동의·레지던시 근거를 확정합니다. 저희는 기술 그림을 짓습니다; 법적 결론은 자문과 정해집니다.

그 다음 로컬라이즈·거버넌스: 저희는 귀사가 규제 신원 데이터 — 민감 제2 요소와 접근 로그 — 를 합법적 국내 경로에 유지하고, 제13/23조 고지·동의를 받고, 생체·전화 요소를 제28~29조상 민감 개인정보로 다루고, 귀사 중국 자산을 지키는 게이트에 붙는 MLPS·중요 데이터 의무를 존중하도록 돕습니다. 국내화가 필수이고 해외 MFA 서비스가 그것을 충족할 수 없는 곳에서, 그것은 열쇠를 해외에 두기보다 중국 운영을 위한 거주 인증 설계를 뜻할 수 있습니다. 로컬라이즈는 데이터를 국내 경로에 유지하는 것을 뜻합니다 — 어차피 그것을 해외로 실어 보내는 경로가 결코 아니라.

그 다음 전달: 어떤 공개 중국향 로그인·등록 표면이든 인터넷 정보 서비스이므로, 본토 호스팅에 묶인 ICP 비안 의무를 지고 규정에 맞는 국내 전달이 필요합니다. 21YunBox가 그것을 세웁니다 — 21YunBox Optimizer — 귀사가 이미 돌리는 것 앞단에, 그래서 그것이 중국의 귀사 사용자를 합법적으로 그리고 규정에 맞게 서비스합니다. 21YunBox는 어떤 형태의 우회도 결코 쓰거나 권하지 않습니다 — 저희는 법이 남으라는 것을 국내에 유지하고, 나머지를 본토 안에서 규정에 맞게 전달하며, 개인정보를 몰래 국경 너머로 옮기지 않습니다. 해외 게이트를 단지 도달 가능하게 만드는 것이 답이 아닙니다; 규제 신원 데이터를 국내에 유지하고, 인증 통제 평면을 다스리고, 로그인 표면을 ICP 비안하고, 규정에 맞게 전달하는 것이 답입니다. 21YunBox는 귀사가 이미 돌리는 신원 스택에 컴플라이언스 오버레이이자 파트너이지, 경쟁자가 아닙니다.

컴플라이언스 진단 받기 →

---

함께 읽기:

• 중국 ICP 비안 받는 법
• PIPL상의 국경 간 데이터 이전
• 중국 개인정보 보호법(PIPL)
• 중국 사이버보안법

자주 묻는 질문

Cisco Duo는 중국 본토에 데이터센터가 있나요?

아니요. Duo 자사 Security and Reliability 페이지는 그 데이터센터를 아홉 나라 — 미국·캐나다·아일랜드·영국·호주·독일·인도·싱가포르·일본 — 에 열거하고, 고객은 아메리카, EMEA, 아시아 태평양으로 묶입니다. 어느 것도 중국 본토 데이터 리전이 아니므로, 귀사 중국 사용자의 제2 요소와 접근 로그가 해외에 쉽니다.

Duo 프롬프트가 중국에서 잘 로드되면, 우리는 규정에 맞나요?

아니요 — 도달 가능성은 컴플라이언스 축이 아닙니다. 즉각적 프롬프트가 있어도, 전화번호, 푸시·생체 토큰, 기기 자세, 그리고 모든 로그인의 접근 로그가 여전히 해외 리전에 쉬고, 귀사 중국 자산을 지키는 게이트는 중국 법 아래 다스려지지 않은 채 남습니다. 그 데이터가 어디 사는지, 통제 평면이 다스려지는지가 그것을 결정합니다.

왜 생체·푸시 MFA 요소가 중국 법 아래 더 중요한가요?

생체 데이터와 전화번호는 PIPL 제28~29조상 민감 개인정보이고, 그것은 제38~40조 국경 간 메커니즘 위에 구체적 목적·필요성·별도 동의 테스트를 더합니다. Duo가 모든 로그인 앞에 앉으므로, 이 민감 요소가 대규모로 수집되고, 그것이 문턱을 낮추기보다 높입니다.