유지보수 계약 보안 조항, 업체 계약서에 넣을 7가지 항목

유지보수 계약 보안 조항에는 업데이트·백업 책임, 계정 관리, 사고 연락, 개인정보 처리 기준을 적습니다. 이 글에서는 업체 계약서에 넣을 보안 항목 7가지와 개인정보 처리 위탁 문서에 들어가는 내용, 계약 전에 업체에 물어볼 질문을 정리했습니다.

유지보수 계약에 보안 조항이 필요한 이유

홈페이지 유지보수를 맡길 때 계약서에는 보통 수정 횟수, 대응 시간, 월 비용 정도만 적습니다. 그런데 사고가 났을 때 다툼이 되는 것은 대개 그 밖의 일입니다. 보안 업데이트를 누가 했어야 하는지, 백업은 누가 어디에 보관했는지, 사고를 알게 된 뒤 언제 알려 줬는지 같은 문제입니다.

이런 내용이 계약서에 없으면 서로 상대가 맡은 일이라고 생각하기 쉽습니다. 보안 조항은 업체를 의심하려는 것이 아니라, 맡긴 일과 맡기지 않은 일의 경계를 분명히 하려는 것입니다. 아래 내용은 일반적인 점검 항목이며, 실제 계약 문구는 법률 전문가의 검토를 받는 것이 좋습니다.

유지보수 계약서에 넣을 보안 항목 7가지

아래 표는 계약서에 넣을 만한 보안 항목을 정리하고, 각 항목에 무엇을 구체적으로 적을지 비교한 것입니다.

항목	계약서에 적을 내용
보안 업데이트	대상 범위(서버·프로그램·플러그인), 적용 주기, 긴급 패치 적용 기한
백업	백업 주기, 보관 위치와 기간, 복원 시험 여부, 복원 요청 시 소요 시간
계정 관리	업체가 쓰는 계정 목록, 개인별 계정 사용, 계약 종료 시 회수 방법
접속 방법	서버·관리자 접속 경로, 원격 접속 시 사전 연락 여부
사고 연락	이상 징후를 알게 됐을 때 알리는 기한과 연락 대상, 초기 조치 범위
개인정보 처리	업체가 볼 수 있는 개인정보 범위, 목적 외 사용 금지, 재위탁 제한
계약 종료	자료·계정·소스 인계 방법, 업체가 가진 사본 파기 확인

그림은 표의 항목 가운데 다툼이 잦은 여섯 가지를 묶은 것입니다. 접속 방법은 계정 관리와 함께 적어도 됩니다. 업체에 계정을 넘기고 돌려받는 구체적인 방법은 외주 업체 계정 공유, 안전하게 넘기고 돌려받는 5단계를, 원격 접속 때 지킬 수칙은 원격 지원 보안, 외부 업체 원격 접속 때 지킬 수칙 7가지를 참고하세요.

업데이트 범위는 구체적으로

"보안 관리 포함"처럼 한 줄로 적으면 범위를 두고 해석이 갈립니다. 서버 운영체제까지 포함하는지, 홈페이지 프로그램과 플러그인만인지, 호스팅 업체가 맡는 부분은 어디까지인지 나눠 적습니다.

개인정보 처리 위탁과 계약 문서

유지보수 업체가 회원 정보나 문의 내역이 들어 있는 데이터베이스에 접근한다면, 개인정보 처리 업무를 위탁하는 것으로 볼 수 있습니다. 개인정보 보호법 제26조 제1항은 개인정보 처리 업무를 위탁할 때 정해진 내용이 포함된 문서로 하도록 하고, 같은 법 시행령 제28조 제1항이 그 내용을 더 정하고 있습니다.

법과 시행령 원문에 적힌 문서 포함 사항을 정리하면 아래와 같습니다.

• 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항
• 개인정보의 기술적·관리적 보호조치에 관한 사항
• 위탁업무의 목적 및 범위
• 재위탁 제한에 관한 사항
• 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항
• 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항
• 수탁자가 의무를 위반한 경우의 손해배상 등 책임에 관한 사항

같은 조 제4항은 위탁자가 수탁자를 교육하고 개인정보를 안전하게 처리하는지 감독하도록 정하고 있습니다. 유지보수 계약이 위탁에 해당하는지, 별도 위탁 계약서가 필요한지는 사업 형태에 따라 달라질 수 있으니 전문가나 개인정보보호위원회 안내로 확인하세요.

계약 전에 업체에 물어볼 질문

계약서 문구를 정하기 전에 아래 질문을 업체에 던져 보면 실제 운영 방식을 알 수 있습니다. 대답이 구체적일수록 계약서에 옮겨 적기도 쉽습니다.

1. 보안 업데이트는 어떤 주기로 하고, 긴급 패치는 며칠 안에 적용하나요?
2. 백업은 어디에 얼마 동안 보관하고, 복원 시험을 해 본 적이 있나요?
3. 우리 사이트에 접속하는 직원은 누구이며, 계정을 개인별로 쓰나요?
4. 해킹이 의심되면 언제, 누구에게, 어떤 방법으로 알려 주나요?
5. 다른 업체에 작업을 다시 맡기는 경우가 있나요?
6. 계약이 끝나면 자료와 계정을 어떤 방식으로 넘겨주나요?

그림의 질문에 대한 답을 그대로 계약서 부속 문서에 옮겨 두면, 담당자가 바뀌어도 약속한 내용이 남습니다. 보안 업데이트와 백업이 월 관리비에 들어가는지는 홈페이지 유지보수 비용 글에서도 다뤘습니다.

디코랩이 돕는 방식

디코랩은 기본·표준·고급 세 가지 유지보수 상품을 운영하며, 상품마다 포함 범위를 홈페이지 유지보수 상품 안내에 정리해 두었습니다. 계약 전에 보안 업데이트, 백업, 사고 연락 방식처럼 위에서 다룬 항목을 상담에서 함께 확인할 수 있습니다.

자주 묻는 질문

작은 소개용 홈페이지도 보안 조항이 필요한가요?

회원 기능이 없어도 문의 폼으로 개인정보가 들어오고, 해킹되면 회사 이름으로 악성 코드가 퍼질 수 있습니다. 업데이트·백업·사고 연락 세 가지만이라도 적어 두는 것이 좋습니다.

업체가 표준 계약서만 쓴다고 하면 어떻게 하나요?

본 계약서를 바꾸기 어렵다면 보안 항목을 정리한 부속 문서나 확인서를 함께 받는 방법이 있습니다. 어떤 형식이 효력이 있는지는 법률 전문가에게 확인하세요.

사고가 나면 업체가 모두 책임지나요?

책임 범위는 계약 내용과 사고 원인에 따라 달라지므로 일률적으로 말할 수 없습니다. 그래서 업체가 맡은 일과 회사가 맡은 일을 계약서에 나눠 적어 두는 것이 중요합니다.

계약이 끝난 뒤 업체에 남은 자료는 어떻게 하나요?

계약 종료 때 업체가 가진 백업과 계정 정보를 넘기거나 파기하고, 그 사실을 문서로 확인받도록 계약서에 적어 둡니다.

유지보수 계약에 넣을 보안 항목을 우리 사이트 기준으로 정리하고 싶다면 사이트 주소와 현재 계약 상황을 적어 디코랩 프로젝트 문의로 보내 주세요.