이메일 뉴스레터 서비스에는 구독자의 이메일 주소와 이름뿐 아니라 콘텐츠 열람과 링크 클릭, 구독 상태 등 다양한 데이터가 축적된다. 기업이 고객 관계를 관리하는 핵심 자산인 동시에 안전한 처리와 접근 통제가 필요한 정보다. 뉴스레터와 마케팅 이메일을 클라우드에서 제작·발송하는 SaaS 기업에는 서비스 편의성만큼 데이터가 저장되고 처리되는 전 과정의 보안 체계가 중요해지고 있다. 스티비가 기존 정보보호관리체계 인증에 클라우드 보안과 개인정보보호 국제 표준을 추가했다.
이메일 뉴스레터 서비스 스티비는 클라우드 정보보안 국제 표준 ‘ISO 27017’과 클라우드 개인정보보호 국제 표준 ‘ISO 27018’ 인증을 취득했다. 지난해 획득한 정보보호관리체계 ‘ISO 27001’을 포함해 국제 표준 정보보호 인증 3종을 보유하게 됐다.
스티비가 클라우드 정보보안·개인정보보호 국제 표준인 ISO 27017과 ISO 27018 인증을 추가로 취득했다. (자료 제공: 스티비)
ISO 27017과 ISO 27018은 국제표준화기구(ISO)와 국제전기기술위원회(IEC)가 제정한 클라우드 서비스 환경 특화 정보보호 표준이다. ISO 27001이 조직의 정보보호 정책과 위험관리, 접근 통제 등 관리체계 전반을 평가한다면, 두 인증은 클라우드 서비스에서 발생할 수 있는 보안 위험과 개인정보 처리 방식에 초점을 맞춘다.
ISO 27017은 클라우드 서비스 제공자와 이용자가 각각 수행해야 할 보안 역할과 통제 기준을 규정한다. 데이터 접근과 시스템 운영, 책임 구분 등 클라우드 환경에서 발생할 수 있는 위험을 관리하는 체계가 주요 평가 대상이다.
ISO 27018은 클라우드에서 처리되는 개인식별정보(PII)를 보호하기 위한 기준이다. 개인정보의 수집과 이용, 저장, 삭제 과정에서 필요한 통제 항목을 규정하고 서비스 제공자가 고객 데이터를 목적에 맞게 안전하게 처리하는지를 살핀다. 스티비는 이번 인증을 통해 ISO 27001을 기반으로 운영해온 정보보호 관리체계를 클라우드 서비스와 개인정보 처리 영역까지 확장했다.
고객사의 보안·수탁사 점검 자료로 활용
이번 인증은 스티비를 이용하는 기업의 보안 관리 업무에도 활용할 수 있다. 기업이 외부 SaaS를 도입하거나 개인정보 처리 업무를 위탁하면 서비스 제공사의 보안 수준과 개인정보 관리 체계를 확인하는 절차가 필요하다. 스티비 이용자는 자체 보안 점검이나 개인정보 수탁사 관리 과정에서 스티비가 보유한 국제 표준 인증을 근거 자료로 제출할 수 있다.
특히 금융과 공공, 대기업처럼 협력사의 보안 관리 수준을 정기적으로 점검하는 조직은 서비스 도입과 갱신 과정에서 정보보호 인증서와 관리체계 자료를 요구한다. 국제 표준에 따른 외부 검증 이력은 보안 항목을 일일이 확인하는 데 필요한 시간과 내부 검토 부담을 줄이는 자료가 될 수 있다.
스티비는 이메일 뉴스레터와 마케팅 이메일을 제작·발송하고 성과를 분석하는 서비스를 운영한다. 쿠팡과 토스, 컬리, 중앙일보, 경기도청, LG에너지솔루션 등이 스티비를 활용하고 있다. 이용 기업이 늘고 발송되는 이메일과 구독자 데이터의 규모가 커질수록 서비스 운영 과정에서 보안 체계를 일관되게 적용하는 것이 중요한 과제로 남는다.
임의균·임호열 스티비 공동대표는 “이번 추가 인증은 클라우드 환경에서도 고객이 안심하고 데이터를 맡길 수 있는 서비스 기반을 강화하기 위한 노력의 일환”이라며 “고객과 구독자의 정보를 안전하게 보호할 수 있도록 보안 수준을 지속적으로 점검하겠다”고 말했다.
보안 인증의 실질적인 가치는 인증서 개수보다 정해진 통제 기준이 제품 개발과 시스템 운영, 사고 대응 과정에 얼마나 일관되게 적용되는지에 달려 있다. 스티비가 확보한 국제 표준 3종 역시 뉴스레터 발송 과정에서 처리되는 고객·구독자 데이터를 어떤 기준으로 관리하고 그 이력을 이용 기업에 어떻게 제공하는지가 성과를 가르는 기준이 된다.
The post 뉴스레터에 쌓이는 고객 데이터, 국제표준으로 관리한다…스티비, 클라우드 보안 인증 3종 확보 appeared first on 벤처스퀘어.