SaaS 도구를 도입할 때 보안팀에 물어야 할 핵심은 ①제3자 인증 여부 ②데이터가 어디에 저장·처리되는지 ③누가 접근할 수 있고 어떻게 통제되는지 ④문제가 생겼을 때 계약상 책임 소재가 어떻게 되는지 네 축으로 압축된다. 아래 10가지는 이 네 축을 구체적인 질문 형태로 풀어놓은 것이다. 벤더마다 공개 수준이 다르므로, 각 항목은 벤더의 보안 페이지나 '신뢰 센터(Trust Center)', 또는 영업팀에 직접 요청할 자료를 통해 확인하는 것이 일반적이다.
1. 제3자 보안 인증 보유 여부
SOC 2 Type II, ISO 27001 등은 외부 감사기관이 벤더의 보안 통제를 점검했다는 증빙이다. 인증 '보유' 자체보다 **보고서 발급 시점과 적용 범위(scope)**를 확인하는 게 중요하다. 오래된 보고서이거나 일부 서비스만 범위에 포함된 경우가 있다.
2. 데이터 보관 위치(데이터 레지던시)
데이터가 물리적으로 어느 국가 서버에 저장되는지는 개인정보보호법·국외 이전 규제와 직결된다. 국내 고객 정보를 다루는 서비스라면 국외 이전 동의 절차가 필요한지 법무팀과 함께 확인해야 한다.
3. 데이터 암호화 방식
전송 중(in transit)과 저장 시(at rest) 암호화가 모두 적용되는지, 암호화 키 관리 주체가 벤더인지 고객인지 확인한다.
4. 접근 권한 관리(RBAC) 구조
역할 기반 접근 제어(RBAC)와 최소 권한 원칙이 적용되는지, 관리자 계정의 권한 범위를 세분화할 수 있는지 확인한다.
5. SSO·MFA 지원 여부
단일 로그인(SSO)과 다중 인증(MFA)은 계정 탈취 위험을 낮추는 기본 장치다. 지원 여부뿐 아니라 어느 요금제부터 제공되는지도 확인 대상이다.
6. 감사 로그(Audit Log) 제공 범위
누가 언제 무엇에 접근했는지 기록이 남는지, 로그를 몇 개월 보관하는지, 로그 내보내기(export)가 가능한지 확인한다.
7. 하위 처리업체(Sub-processor) 목록
SaaS는 대개 클라우드 인프라나 분석 도구 등 제3의 하위 처리업체를 쓴다. 목록 공개 여부와 변경 시 고지 절차가 있는지 확인한다.
8. 장애·침해 발생 시 고지 절차
보안 사고가 발생했을 때 고객에게 몇 시간 내 통보하는지, 통보 채널과 책임자가 명시돼 있는지 계약서(DPA, 데이터처리계약) 조항을 확인한다.
9. 데이터 보존·삭제 정책
계약 해지 시 데이터를 얼마 동안 보관하고 언제 완전 삭제하는지, 삭제 증빙을 요청할 수 있는지 확인한다.
10. 침투 테스트·취약점 관리 주기
정기적인 모의 침투 테스트(penetration test)를 수행하는지, 결과 요약본을 고객에게 공유하는지 확인한다.
점검표 요약
| 영역 | 확인 질문 | 확인 경로 |
|---|---|---|
| 인증 | SOC2/ISO27001 보고서 범위·발급일 | 신뢰 센터, 영업팀 요청 |
| 데이터 위치 | 저장 국가, 국외 이전 동의 필요 여부 | 서비스 약관, 법무 검토 |
| 암호화 | 전송·저장 암호화, 키 관리 주체 | 보안 백서 |
| 접근 통제 | RBAC, 최소 권한 원칙 | 관리자 콘솔 문서 |
| 인증 방식 | SSO·MFA 지원 요금제 | 요금제 비교표 |
| 로그 | 감사 로그 보관 기간·내보내기 | 제품 문서 |
| 하위 처리업체 | 목록 공개, 변경 고지 | DPA 부속서 |
| 사고 대응 | 침해 통보 시한·채널 | 계약서 조항 |
| 데이터 삭제 | 해지 후 보관·삭제 기간 | DPA, 약관 |
| 취약점 관리 | 침투 테스트 주기·결과 공유 | 신뢰 센터, 요청 |
도입 전 실무 절차
- 부서 내에서 다루게 될 데이터 민감도(개인정보·결제정보 포함 여부)를 먼저 분류한다.
- 위 10개 항목을 체크리스트화해 벤더 2~3곳에 동일하게 질문한다.
- 답변을 서면(이메일, DPA 조항)으로 남겨 추후 분쟁 시 근거로 삼는다.
- 민감 데이터를 다루는 도구라면 사내 보안·법무 담당자의 검토를 거친 후 최종 승인한다.
보안 기준은 산업·업종별 규제(금융, 의료 등)에 따라 추가 요건이 붙을 수 있다. 구체적인 법적 의무 여부는 사내 법무팀이나 개인정보보호 전문가와 상담하는 것이 안전하다.