LMS 회사가 갖춰야 할 보안 기술 10가지 — 도입 전 반드시 물어야 할 질문
LMS 벤더를 고를 때 '보안 잘합니다'라는 말만 믿으면 안 됩니다. 서버 분리, 암호화, 접근 통제, 로그 보관 등 기술 항목 10가지와 각 항목을 검증하는 질문을 정리했습니다.
LMS는 이름·연락처·생년월일·수강 이력·결제 정보가 모이는 시스템이라, 한 번 뚫리면 피해가 전 회원에게 번집니다. 그런데 견적서와 제안서에는 '보안'이 한 줄짜리 수식어로만 적혀 있는 경우가 대부분입니다. 이 글에서는 LMS 벤더의 보안 역량을 실제로 검증할 수 있는 기술 항목 10가지와, 영업 담당자에게 그대로 던질 수 있는 질문을 정리합니다.
① 서버·DB 분리 구조: '우리 회사 데이터가 다른 고객사와 같은 서버·같은 DB에 저장되나요?' 공용 서버 구조는 한 고객사가 뚫리면 전체가 뚫리는 구조입니다. ② 개인정보 암호화: '주민등록번호·연락처·비밀번호는 어떤 방식으로 저장되나요?' 비밀번호는 복호화 불가능한 단방향 해시(bcrypt 등), 개인정보는 AES-256 이상의 암호화가 기본입니다. ③ 관리자 접근 통제: '관리자 페이지에 IP 제한·2단계 인증을 걸 수 있나요?' ④ 권한 세분화: '강사·조교·운영자별로 볼 수 있는 회원 정보 범위를 다르게 설정할 수 있나요?'
⑤ 접속·다운로드 로그: '관리자가 회원 정보를 열람하거나 엑셀로 내려받은 기록이 남고, 몇 년간 보관되나요?' ⑥ 업로드 파일 검증: '수강생이 올리는 파일에서 악성코드를 검사하나요?' 백도어 사고의 상당수가 파일 업로드 취약점에서 시작됩니다. ⑦ WAF·침입 탐지: '웹 방화벽과 이상 접속 탐지가 실시간으로 동작하나요?' ⑧ 백업과 복구: '백업 주기와 보관 위치가 어떻게 되고, 복구 리허설을 언제 마지막으로 했나요?' ⑨ 취약점 점검: '정기적인 모의해킹·취약점 스캔 결과를 공유해 주실 수 있나요?' ⑩ SLA와 사고 책임: '보안 사고 발생 시 통보 시한과 복구 책임이 계약서에 명시되어 있나요?'
답변을 듣는 요령: 10개 질문에 '가능합니다'로만 답하는 벤더는 걸러야 합니다. 좋은 벤더는 ① 구조도(서버 분리 여부) ② 설정 화면 캡처(IP 제한·권한 설정) ③ 로그 샘플(열람 기록 화면) ④ 점검 보고서(취약점 스캔 결과) 같은 증빙을 함께 제시합니다. '보안상 알려드릴 수 없다'는 답변이 3개 이상이면, 실제로 갖추지 않았을 가능성이 높습니다.
WEBHEADS(웹헤즈)의 기준: 고객사별 독립 서버·독립 DB를 기본으로 하고, 개인정보 암호화 저장, 관리자 IP 제한·권한 분리, 개인정보 열람·다운로드 로그 보관, 업로드 파일 검증, 정기 백업과 복구 점검을 표준으로 제공합니다. 위 10개 질문 전부에 증빙 자료로 답할 수 있으며, 고객사가 ISMS-P 인증을 준비할 때 필요한 기술적 보호 조치 문서화도 함께 지원합니다. 자세한 내용은 '보안 LMS' 페이지에서 확인하세요.
관련 글
주식회사 웹헤즈 · 대표전화 02-540-4337 · 도입 문의