SaaS공급자에게 확인해야 할 7가지

Cover Stroy

Q 6. 백업 및 복구 정책은 어떤 것이 있는가?

SaaS 보안과 관련해 많이 언급되지 않는 부분은 비즈니스 연속성, 즉 공급사가 잠재적인 서비스 거부 공격에 대해, 또는 자연 재해나 인재에 있어 자사 고객을 어떻게 보호할 것인지에 관한 부분이다.

그것은 아스타디아의 재무 전략 부사장 마이클 로즈맨(Michael Roseman)에게 있어서는 중요한 문제였다. 이 업체는 관리 컨설팅 회사로 세일즈포스닷컴, 워크데이(Workday), 코너스톤 온디맨드(Cornerstone on Demand) 등 여러 SaaS를 사용하고 있다.

로즈맨은 “이러한 업체들이 우리보다 보안을 훨씬 더 잘 살필 수 있다”며 “우리가 만일 이것을 온-프레미스(on-premise : 직접 설치)로 했다면 우리는 백업과 레던던시(redundancy : 어떤 한 장치가 오동작을 할 경우 시스템 전체가 잘못되는 것을 방지하기 위해 같은 장치를 여러 개 두는 것)를 제공해야만 했을 것이다. 어떻게 우리 회사가 이러한 업체들과 같은 수준으로 해내기를 바랄 수 있겠는가?”라고 말했다.

위치도 또한 문제가 된다. 만일 서비스 공급자가 데이터를 다른 지역에서 호스팅한다면 기업은 해당 관할 구역의 프라이버시 및 데이터 소유법에 관해 잘 알고 있어야만 한다. 가트너사의 페스카토르는 기업들도 또한 호스팅 시설의 물리적 위치에 관심을 가져야하며 가능하다면 온-사이트 점검을 요청해야 한다고 말했다. 그는 “뭔가 잘 못될 경우 당신은 훨씬 더 많이 걱정하게 될 것”이라고 말했다. 이와 더불어 서비스 수준 합의를 시행하기가 좀 더 어려워 질 수도 있다.

<글·헤더 클랜시(Heather Clancy)>

[정보보호21c (info@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)

SaaS공급자에게 확인해야 할 7가지 - 백업 및 복구 정책