서비스형 소프트웨어
서비스형 소프트웨어는 사용자가 자체 설치·운영 인프라를 직접 관리하지 않고 인터넷을 통해 이용하는 애플리케이션 서비스입니다.
서비스형 소프트웨어
SaaS는 Software as a Service의 약칭입니다. 이메일, 협업, 고객관리, 인사, 회계, 파일공유, 보안관제 등 업무 기능을 웹과 앱으로 제공합니다. 공급자는 애플리케이션과 기반 인프라를 운영하고 고객은 계정, 데이터, 설정, 권한을 관리합니다.
보안 책임은 공급자와 고객 사이에 나뉩니다. 공급자의 플랫폼 보안이 중요하며 고객의 관리자 계정, 공유설정, 외부 앱 연결, 데이터 보존 정책도 사고에 큰 영향을 줍니다.
핵심 특성
사용 맥락과 작동 원리
SaaS는 여러 고객을 논리적으로 분리하는 멀티테넌트 구조를 사용할 수 있습니다. 고객 데이터 분리와 권한검사는 공급자의 핵심 통제입니다. 고객은 SSO, 사용자 자동생성·회수, 역할, 공유정책, 감사로그를 적절히 구성해야 합니다.
OAuth 앱과 API 토큰은 자동화와 연동을 편리하게 하며 광범위한 데이터 접근권한을 가질 수 있습니다. 직원 계정이 삭제되어도 외부 앱 토큰이 남는 상황을 방지해야 합니다.
유출·오용 시 위험
관리자 계정이 탈취되면 조직 전체의 문서와 메일, 고객정보를 대량 다운로드할 수 있습니다. 공개 링크와 잘못된 게스트 권한은 장기간 노출을 만들 수 있습니다.
공급자 사고는 여러 고객에게 동시에 영향을 줄 수 있습니다. 고객은 공급자의 공지에만 의존하지 않고 자체 로그와 데이터 흐름으로 영향 범위를 확인해야 합니다.
사건 공지에서 확인할 항목
- 공급자 플랫폼 사고와 고객 계정·설정 사고를 구분합니다.
- 영향받은 테넌트, 사용자, 데이터, 외부 앱 범위를 확인합니다.
- 관리자 계정과 API 토큰의 사용 기록을 확인합니다.
- 공개 링크, 게스트, 데이터 내보내기 정황을 확인합니다.
- 공급자의 조사 결과, 계약상 통지, 복구·삭제 조치를 확인합니다.
개인이 취할 조치
- 업무 SaaS 계정에 강한 MFA를 설정합니다.
- 연결된 앱과 공유 문서, 게스트 계정을 정기적으로 점검합니다.
- 퇴사·프로젝트 종료 뒤 남은 접근권한을 제거합니다.
- 의심 로그인과 대량 다운로드를 보안 담당자에게 알립니다.
조직의 보호조치
- SSO와 자동 프로비저닝으로 입사·이동·퇴사 권한을 신속히 반영합니다.
- 관리자 계정에 피싱 저항성 MFA와 별도 승인 절차를 적용합니다.
- OAuth 앱과 API 토큰을 검토하고 최소 범위를 적용합니다.
- 대량 다운로드, 공개링크, 외부 공유, 관리자 변경을 탐지합니다.
- 계약에서 데이터 위치, 하위처리자, 로그, 사고통지, 삭제·반환 조건을 확인합니다.
혼동하기 쉬운 개념
SaaS는 완성된 애플리케이션을 서비스로 제공합니다. PaaS는 애플리케이션 실행·개발 플랫폼을 제공하고 IaaS는 가상서버와 네트워크 같은 인프라를 제공합니다. 클라우드 사용 자체가 보안 책임을 공급자에게 전부 이전하는 것은 아닙니다.