임대형 LMS 도입 전 확인해야 할 보안 체크리스트 10가지
결론: 임대형(SaaS) LMS는 '고객사별 데이터 분리, 개인정보 암호화, 관리자 접근 통제, 접속 기록, 사고 통지, 백업, 데이터 반환·파기' 7개 영역을 계약 전에 확인해야 합니다. 업체에 그대로 물어볼 수 있는 10가지 질문과 확인 방법을 표로 정리했습니다.
결론부터: 무엇을 확인해야 하나요?
임대형 LMS는 여러 고객사가 같은 서비스를 함께 쓰는 구조이므로, 기능보다 먼저 '우리 데이터가 다른 고객사와 어떻게 분리되는지'와 '문제가 생겼을 때 누가 무엇을 하는지'를 확인해야 합니다. 아래 10가지 항목을 업체에 서면으로 질문하고, 답변을 계약서나 보안 확인서에 남기는 것이 가장 확실한 방법입니다.
보안 체크리스트 10가지는 무엇인가요?
| 번호 | 확인 항목 | 업체에 물어볼 질문 | 좋은 답변의 예 |
|---|
| 1 | 고객사별 데이터 분리 | 다른 고객사가 우리 데이터에 접근할 수 없는 구조인가요? | 고객사별로 데이터를 분리하고, 필요 시 전용 환경을 제공 |
| 2 | 비밀번호 저장 | 회원 비밀번호는 어떤 방식으로 저장하나요? | 원래 값으로 되돌릴 수 없는 단방향 방식 |
| 3 | 개인정보 암호화 | 연락처 등 주요 개인정보를 암호화해 저장하나요? | 저장 시 암호화, 대상 항목을 문서로 제시 |
| 4 | 통신 암호화 | 모든 페이지가 HTTPS로 동작하나요? | 전 구간 HTTPS(TLS) 적용 |
| 5 | 관리자 권한 분리 | 관리자별로 볼 수 있는 범위를 나눌 수 있나요? | 역할·부서별 권한 분리 |
| 6 | 관리자 접속 통제 | 관리자 IP 제한, 2단계 인증을 지원하나요? | IP 제한·2단계 인증·SSO 지원 |
| 7 | 접속·조회 기록 | 개인정보 조회·다운로드 기록이 남나요? 얼마나 보관하나요? | 기록 보관, 보관 기간을 명시 |
| 8 | 사고 통지 | 사고가 나면 언제, 어떤 방법으로 알려주나요? | 통지 절차와 담당 창구를 계약서에 명시 |
| 9 | 백업·복구 | 백업 주기와 복구 절차는 어떻게 되나요? | 정기 백업, 복구 절차 문서화 |
| 10 | 데이터 반환·파기 | 계약 종료 시 데이터를 돌려받고 파기 확인을 받을 수 있나요? | 반환 형식·기한과 파기 확인서 제공 |
왜 '고객사별 데이터 분리'가 가장 중요한가요?
임대형 서비스는 구조상 하나의 시스템을 여러 고객사가 함께 씁니다. 분리가 약하면 한 곳의 설정 실수나 취약점이 다른 고객사의 데이터에도 영향을 줄 수 있습니다. 그래서 '분리한다'는 답만 듣지 말고, 어떤 단위(데이터베이스, 서버, 계정 권한)로 분리하는지 설명을 요청하세요. 더 강한 분리가 필요한 기관이라면 전용 클라우드나 자체 서버에 설치하는 구축형도 함께 비교하는 것이 좋습니다.
답변은 어떻게 검증하나요?
구두 답변은 나중에 확인할 방법이 없습니다. ① 보안 확인서나 제안서에 항목별 답변을 받고 ② 관리자 데모 화면에서 권한 분리·접속 기록 메뉴를 직접 확인하고 ③ 사고 통지·데이터 반환·파기 조항은 계약서 본문이나 개인정보 처리 위탁 계약서에 넣는 순서로 검증합니다.
웹헤즈는 이 항목을 어떻게 공개하나요?
웹헤즈는 위 항목에 대한 보안 체계를 보안 센터 페이지에 정리해 두었습니다. 다른 LMS에서 옮겨 오는 경우의 절차는 LMS 이전 지원에서, 구축형·임대형 비교는 보안 LMS에서 확인할 수 있습니다.
관련 글
주식회사 웹헤즈 · 대표전화 02-540-4337 · 도입 문의