SaaS 보안 공백

구매가 끝난 뒤부터 자산이 늘어납니다

협업 도구 하나를 도입하면 계정만 생기는 것이 아닙니다. 문서, 대화, 첨부파일, 외부 앱 연동, 공유 링크가 함께 늘어납니다. 저는 서비스 이름보다 그 안에서 어떤 정보가 만들어지고 어디로 이동하는지 먼저 정리합니다.

SaaS는 운영 인프라를 직접 관리하지 않아도 된다는 장점이 있지만, 책임까지 서비스 제공자에게 넘어가는 것은 아닙니다. 사용 조직이 정해야 할 접근권한, 공유 범위, 보존기간, 퇴직자 처리와 사고 대응 역할이 남습니다.

기본 설정은 조직의 기준이 아닙니다

외부 공유가 기본으로 허용되거나, 누구나 앱을 연결할 수 있거나, 관리자가 과도하게 많은 경우가 있습니다. 저는 초기 설정값을 그대로 받아들이지 않고 정보의 민감도와 업무 방식에 맞춰 바꿉니다. 다만 통제를 지나치게 닫으면 개인 계정이나 승인되지 않은 도구로 우회할 수 있어 사용 흐름도 함께 봅니다.

연동 앱은 별도의 데이터 경로입니다. 일정, 메일, 파일 저장소에 접근하는 권한을 한 번 승인하면 이용자가 잊은 뒤에도 연결이 남을 수 있습니다. 승인 주체와 권한 범위, 마지막 사용 시점을 정기적으로 검토합니다.

종료할 때 데이터를 꺼낼 수 있어야 합니다

서비스를 해지하거나 계약이 끝날 때 자료를 어떤 형식으로 내보낼 수 있는지, 삭제는 언제 완료되는지, 백업에는 얼마나 남는지 확인해야 합니다. 사고 조사에 필요한 로그를 제공받을 수 있는지도 계약 전에 보는 편이 낫습니다.

SaaS 목록만으로는 관리가 충분하지 않습니다. 데이터 종류, 관리자, 인증 방식, 외부 공유, 연동 앱, 로그 제공 범위, 종료 절차를 한 장에서 볼 수 있어야 합니다. 이 문서가 최신 상태인지 확인하는 책임자도 필요합니다.

실무에서 확인할 항목

• 처리 데이터와 저장 위치, 외부 이전 여부
• 관리자, 외부 공유와 게스트 정책
• 연동 앱의 권한과 마지막 사용 시점
• 계약 종료 시 데이터 반출, 삭제와 로그 확보