업무에 쓰는 SaaS와 개인 클라우드는 무료 체험이나 소액 결제라도 조직의 서비스 목록에 등록하세요. 서비스 이름, 업무 목적, 책임자, 저장 데이터, 사용자, 로그인 방식, 계약·삭제 조건을 기록하고 새 서비스는 사용 전에 검토합니다. 회사 계정과 다중인증, 최소권한을 적용하고 외부 공유·연동 앱·내보내기 기능을 제한하세요. 승인되지 않은 서비스를 발견하면 즉시 삭제부터 하지 말고 업무 중단 영향과 보존할 기록을 확인한 뒤 데이터를 승인된 위치로 옮기고 공유 링크·토큰·계정·결제를 순서대로 종료합니다.
무료 체험과 개인 계정도 업무 서비스 목록에 넣습니다
직원이 급한 협업이나 파일 변환을 위해 클라우드 앱을 바로 쓰기 시작하면 회사는 어디에 어떤 업무자료가 저장됐는지 알기 어렵습니다. 법인카드 결제 내역에 보이지 않는 무료 요금제, 개인카드 구독, 브라우저에서만 쓰는 서비스와 다른 앱에 연결된 계정도 점검 대상입니다. 서비스가 보이지 않으면 취약점이나 약관 변경, 계정 탈취와 계약 종료에 대응할 담당자도 정할 수 없습니다.
NIST 사이버보안 프레임워크 2.0의 구현 예시는 외부 IaaS·PaaS·SaaS와 API를 포함한 공급자 서비스를 목록화하고 새 외부 서비스를 사용할 때 목록을 갱신하도록 제시합니다. 먼저 부서 인터뷰, 법인·경비 결제 내역, 회사 이메일 가입 알림, 통합 로그인과 브라우저 관리 기록처럼 조직이 적법하게 확인할 수 있는 자료를 모아 실제 사용 목록을 만드세요.
- 무료·유료 SaaS, 개인 클라우드, 외부 API와 연동 앱을 함께 조사
- 서비스명·업무 목적·책임자·사용자·요금제·갱신일 기록
- 신규 도입과 기능·약관 변경 때 목록을 바로 갱신
서비스 이름보다 저장 데이터와 연결 범위를 확인합니다
같은 협업 도구라도 공개 자료만 다루는 경우와 고객정보·계약서·소스코드를 저장하는 경우의 위험은 다릅니다. 각 서비스에서 수집·저장·공유하는 데이터 종류, 저장 위치와 보존 기간, 외부 공개 링크, 파일 내보내기, 다른 업무 시스템과 연결된 권한을 확인하세요. 생성형 기능이 있다면 입력 자료가 서비스 개선이나 모델 학습에 사용되는지 계약과 설정에서 별도로 살핍니다.
KISA의 중소기업 서비스 개발·운영 환경 보안 자료는 클라우드 보안을 주요 점검 영역으로 다루고, 클라우드 보안인증 기준은 중요정보의 저장·전송 보호와 계정 등록·변경·삭제 승인, 최소권한을 확인하도록 구성돼 있습니다. 특정 인증 보유만으로 조직의 책임이 끝나는 것은 아니므로 실제 이용 목적과 데이터 민감도에 맞는 계약·기술·운영 조건을 함께 평가해야 합니다.
- 개인정보·계약·재무·소스코드 등 저장 데이터 분류
- 공개 링크·외부 초대·다운로드·API·연동 앱 범위 확인
- 보관 위치·보존 기간·삭제·반환·사고 통지 조건 검토
회사 계정과 중앙 관리가 가능한 서비스를 우선합니다
업무 서비스는 가능하면 회사가 소유한 계정으로 가입하고 통합 로그인과 다중인증을 적용하세요. 개인 이메일이나 공용 계정을 쓰면 담당자가 바뀔 때 접근권한을 회수하기 어렵고 누가 어떤 작업을 했는지도 구분하기 힘듭니다. 관리자와 결제 담당자를 한 사람에게 몰아주지 말고 사용자 초대, 권한 변경, 결제와 계약 종료 책임을 나눕니다.
CISA의 클라우드 보안 기술 참조 아키텍처는 새 SaaS를 중앙 신원·접근 관리 체계에 연결하기 쉽게 만들고 인증과 로그 같은 보안 서비스를 중앙화할 것을 권고합니다. 모든 서비스가 통합 기능을 지원하지는 않으므로 지원 여부를 도입 기준에 넣고, 미지원 서비스에는 별도 승인 기간과 보완 통제를 정하세요.
- 개인 계정 대신 회사 소유 계정과 개인별 사용자 계정 사용
- 통합 로그인·다중인증·역할별 최소권한과 관리자 로그 적용
- 서비스 소유자·관리자·결제 담당자와 비상 복구수단 지정
새 서비스는 사용 전에 짧게라도 검토합니다
승인 절차가 지나치게 느리면 직원은 업무를 끝내기 위해 절차 밖 서비스를 찾게 됩니다. 요청자가 업무 목적, 필요한 데이터와 사용자, 예상 기간, 대체 가능한 승인 서비스를 적으면 보안·개인정보·구매 담당자가 위험도에 맞춰 빠르게 판단하는 간단한 창구를 만드세요. 시험 사용도 실제 고객정보 대신 가상 자료를 쓰고 종료 날짜를 정해야 합니다.
허용·조건부 허용·금지 기준과 이미 승인된 대체 서비스를 직원이 쉽게 찾을 수 있게 공개하세요. 브라우저 확장, 모바일 앱, API 연결처럼 기존 SaaS에 기능을 추가하는 경우도 별도 서비스와 같은 관점에서 권한과 데이터 이동을 검토합니다. 정기적으로 사용량과 관리 로그를 확인해 책임자가 없거나 장기간 쓰지 않는 계정을 정리하세요.
- 요청 목적·데이터·사용자·기간을 받는 단순한 사전 검토 창구 운영
- 시험 사용에는 가상 자료와 종료일을 적용하고 자동 유료 전환 확인
- 승인 목록·조건·대체 도구를 공개하고 휴면 서비스 정기 검토
미승인 서비스를 발견해도 기록과 업무부터 안전하게 옮깁니다
승인되지 않은 서비스를 찾았다고 계정부터 지우면 업무자료와 감사 기록을 잃거나 진행 중인 고객 업무가 멈출 수 있습니다. 먼저 서비스 책임자와 사용자, 저장 데이터, 공유 대상, 연결된 앱과 결제 수단을 확인하고 침해 징후가 있다면 로그인·공유·변경 기록을 보존합니다. 개인정보 유출이 의심되면 조직의 사고 대응과 신고 절차를 우선 적용하세요.
계속 사용할 수 없는 서비스라면 필요한 데이터를 검증 가능한 방식으로 승인된 저장소에 옮기고 원본과 누락 여부를 확인합니다. 그다음 공개 링크와 외부 초대, API 토큰, 앱 연동, 사용자 세션을 끊고 계정과 구독을 종료하세요. 서비스 제공자가 보관하는 백업과 삭제 유예 기간, 최종 청구와 데이터 삭제 확인서를 기록해야 종료 뒤에도 남는 위험을 줄일 수 있습니다.
- 삭제 전 사용자·데이터·공유·연동·결제와 사고 징후 확인
- 승인된 위치로 데이터 이전 후 수량·무결성·업무 재개 검증
- 링크·초대·토큰·세션·계정·구독 종료와 삭제 증빙 보관
이 주제로 함께 많이 찾는 안내
상담 전에 많이 묻는 내용
Q. 직원이 개인 카드로 결제한 SaaS도 회사가 관리해야 하나요?
회사 업무자료를 저장하거나 업무 계정·시스템과 연결했다면 결제 주체와 관계없이 업무 서비스로 파악해야 합니다. 목적과 데이터, 사용자와 권한을 확인한 뒤 승인 서비스로 전환하거나 정식 도입 여부를 결정하세요.
Q. 승인되지 않은 클라우드 앱은 바로 차단하면 되나요?
침해가 진행 중인 긴급 상황이 아니라면 업무 영향과 보존할 기록을 먼저 확인하세요. 데이터와 공유 대상을 파악하고 승인된 위치로 안전하게 이전한 뒤 링크, 연동, 계정과 결제를 순서대로 종료하는 편이 좋습니다.
Q. SaaS 목록에는 무엇을 최소한 기록해야 하나요?
서비스명, 주소, 업무 목적, 내부 책임자, 사용자, 저장 데이터, 로그인·다중인증 방식, 관리자, 외부 공유와 연동 범위, 요금제·갱신일, 계약 종료와 데이터 삭제 방법을 기록하세요.
참고 출처 및 업데이트
KISA 보호나라, 중소기업 서비스 개발·운영 환경 주요 보안 취약 사례별 대응방안, 작성기관 한국인터넷진흥원(KISA), 작성자 침해예방단 기업보안점검팀, 작성일 2023-11-24, 수집일 2026-09-13KISA, 클라우드서비스 보안인증제, 작성기관 한국인터넷진흥원(KISA), 작성자 클라우드인증팀, 작성일(최종수정일) 2026-03-12, 수집일 2026-09-13NIST, The NIST Cybersecurity Framework (CSF) 2.0, 작성기관 미국 국립표준기술연구소(NIST), 작성자 Cherilyn Pascoe·Stephen Quinn·Karen Scarfone, 작성일 2024-02-26, 수집일 2026-09-13CISA·USDS·FedRAMP, Cloud Security Technical Reference Architecture v2, 작성기관 미국 사이버보안 및 인프라 보안국(CISA)·미국 디지털서비스(USDS)·FedRAMP, 작성자 기관 공동명의, 작성일 2022-06, 수집일 2026-09-13최초 작성 2026-09-13 · 최종 수정 2026-09-13
