보안 질의서는 인증 로고보다 운영 통제를 먼저 봅니다
Enterprise 고객의 보안 검토는 SOC 2나 ISO 27001 보유 여부를 묻는 질문으로 시작할 수 있습니다. 그러나 실제 실사 단계에서는 더 구체적인 운영 통제를 확인합니다. 누가 고객 데이터에 접근할 수 있는지, 권한은 언제 회수되는지, 전송·저장 데이터는 어떻게 암호화되는지, 로그는 얼마나 보관되는지, 장애가 발생하면 누가 어떤 절차로 대응하는지 묻습니다.
OWASP SAMM은 조직이 소프트웨어 보안 태세를 분석하고 개선하기 위한 모델입니다. Match365 같은 재고·정산 데이터 제품은 이 관점을 고객에게 쉬운 언어로 번역해야 합니다. 인증 로고가 없거나 준비 중인 항목은 숨기지 않고, 대신 현재 운영 통제와 로드맵을 명확히 제시해야 합니다.
보안 질의서에서 자주 나오는 14가지 항목
준비해야 할 항목은 최소 14가지입니다. 1. 고객 데이터 분류, 2. SSO/MFA 지원 여부, 3. 역할 기반 접근통제, 4. 퇴사자·외부 협력자 권한 회수, 5. 전송 구간 암호화, 6. 저장 구간 암호화, 7. API 권한 최소화, 8. 로그 보관 기간, 9. 백업 주기, 10. 복구 목표, 11. 취약점 점검 주기, 12. 침투테스트 계획, 13. 장애 대응 Runbook, 14. 하위 처리자와 데이터 위치입니다.
이 항목은 보안팀만의 문제가 아닙니다. CFO에게는 결산 데이터 보호 문제이고, 운영팀에게는 월마감 장애 리스크이며, 감사 대응 담당자에게는 원천 증빙 보존 문제입니다.
재고·정산 데이터는 운영 정보이자 결산 정보입니다
Match365가 다루는 데이터는 단순 상품 운영 데이터가 아닙니다. 기말 재고, 매출원가, 손상·폐기, 반품, ERP 조정 후보, 감사 증적과 연결됩니다. 따라서 보안 질의서에서는 커머스 플랫폼 API 데이터와 회계 마감 데이터가 동시에 검토 대상이 됩니다.
파일 업로드와 다운로드도 통제되어야 합니다. 누가 파일을 올렸는지, 어떤 파일이 월마감에 사용됐는지, 프리즈 이후 다운로드가 있었는지, 재처리 결과가 기존 리포트를 덮어썼는지 기록해야 합니다. 보안은 인프라 설정만이 아니라 업무 이벤트 기록까지 포함합니다.
Match365가 고객에게 제공해야 할 문서 패키지
도입 전에는 보안 질의서 답변서, 데이터 처리 개요, 접근권한 매트릭스, 암호화 정책 요약, 백업/DR 요약, 취약점 점검 로드맵, API 권한 범위, 장애 대응 Runbook을 준비해야 합니다. 인증 준비 중인 항목은 준비 중이라고 표기하고, 목표 일정과 대체 통제를 함께 설명하는 것이 좋습니다.
이 글은 Trust Center가 없는 v1에서도 보안 신뢰를 만들 수 있도록 설계한 콘텐츠입니다. Articles와 How It Works 안에서 보안 통제 내용을 꾸준히 축적하면, 이후 별도 Trust Center로 자연스럽게 확장할 수 있습니다.