소프트웨어 임치
IT 위키
더 많은 작업
소프트웨어 임치(Software Escrow, 소프트웨어 에스크로)는 소프트웨어 공급자가 소스코드와 기술 자료를 신뢰할 수 있는 제3의 기관에 맡겨 두고, 공급자의 파산·지원 중단 같은 약정된 사유가 생기면 이를 이용자에게 넘겨 소프트웨어를 계속 쓸 수 있게 하는 제도이다.
기업이 외부에서 사 온 소프트웨어는 대개 실행 파일만 받고 소스코드는 공급자가 갖는다. 공급자가 문을 닫거나 유지보수를 그만두면 이용자는 오류를 고치거나 기능을 바꿀 수 없어 업무가 멈춘다. 그렇다고 공급자가 소스코드를 이용자에게 그냥 줄 수도 없다. 핵심 기술과 영업 비밀이 새기 때문이다. 소프트웨어 임치는 이 이해 충돌을 중립적인 제3자(수치인)가 소스코드를 보관하다가 조건이 충족될 때만 넘겨주는 방식으로 푼다. 공급자는 기술을 보호하고, 이용자는 사업 연속성을 보장받는다.
전자상거래의 결제 에스크로가 대금을 맡겨 두는 것이라면, 소프트웨어 임치는 기술 자료를 맡겨 두는 것이다.
| 당사자 | 역할 |
|---|---|
| 임치인(공급자, depositor) | 소스코드·기술 자료를 맡기고 버전이 바뀔 때마다 갱신 |
| 수혜자(이용자, beneficiary) | 교부 사유가 생기면 임치물을 넘겨받아 직접 또는 제3자를 통해 유지보수 |
| 수치인(임치 기관, escrow agent) | 임치물을 안전하게 보관하고, 내용을 검증하며, 약정 사유가 생기면 이용자에게 교부 |
- 프로그램 임치 : 저작권법 제101조의7에 근거한다. 프로그램 저작재산권자와 이용허락을 받은 자가 합의해 원시코드와 기술정보를 수치인에게 맡기고, 합의한 사유가 생기면 이용자가 교부를 요구할 수 있다. 수치인은 한국저작권위원회이다.
- 기술자료 임치 : 대·중소기업 상생협력 촉진에 관한 법률에 근거한다. 중소기업이 위탁기업 등에 기술을 빼앗기지 않도록 기술자료를 대·중소기업·농어업협력재단에 맡겨 개발 사실과 시점을 입증하고, 약정 사유가 생기면 위탁기업에 교부한다.
- 클라우드 이용자 정보 임치 : 클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률 제28조는 클라우드 서비스 제공자와 이용자가 합의해 이용자 정보를 수치인에게 맡길 수 있게 한다.
- SaaS Escrow
- SaaS 공급자가 서비스를 계속 제공하지 못하게 될 때를 대비해 소스코드뿐 아니라 서비스를 다시 띄우는 데 필요한 운영 환경, 배포 자료, 이용자 데이터, 접근 권한까지 제3자에게 맡겨 두는 임치
설치형 소프트웨어는 이용자가 실행 파일과 데이터를 자기 서버에 갖고 있어 소스코드만 받으면 유지보수를 이어 갈 수 있었다. SaaS에서는 프로그램, 서버, 데이터가 모두 공급자의 클라우드에 있다. 공급자가 파산하거나 클라우드 요금을 못 내 계정이 정지되면 이용자는 소스코드를 받아도 서비스를 다시 띄울 수 없고, 자기 데이터조차 잃는다. 그래서 SaaS 에스크로는 "코드를 넘겨받는 것"이 아니라 "서비스와 데이터를 되살리는 것"을 목표로 한다.
| 임치물 | 내용 |
|---|---|
| 소스코드 | 애플리케이션 전체 소스, 빌드 스크립트, 의존 라이브러리 목록과 버전 |
| 배포·운영 자료 | 클라우드 구성을 재현하는 코드형 인프라 스크립트, 컨테이너 이미지, 배포 파이프라인, 환경 설정 |
| 이용자 데이터 | 데이터베이스 스키마와 이용자 데이터의 정기 백업(암호화) |
| 운영 문서 | 설치·운영 매뉴얼, 아키텍처 문서, 장애 대응 절차 |
| 외부 의존성 정보 | 연동하는 외부 서비스, API 키 관리 방법, 서드파티 라이선스 목록 |
| 접근 권한(연속성 임치) | 클라우드 계정·도메인·인증서에 대한 위임 권한과 일정 기간의 호스팅 비용 |
- 공급자의 파산, 청산, 영업 중단
- 서비스 종료나 지원 중단 선언
- 인수합병 후 서비스 폐지
- 서비스 수준 협약(SLA)의 중대한 위반이나 유지보수 의무 불이행이 반복됨
- 그 밖에 계약에서 정한 사유
- 3자 계약 : 공급자·이용자·임치 기관이 임치물 범위, 갱신 주기, 검증 수준, 교부 사유, 비용 부담을 정한다.
- 예치와 갱신 : 공급자가 임치물을 맡긴다. SaaS는 배포가 잦아 저장소·백업을 자동으로 주기적으로 예치하는 방식을 많이 쓴다.
- 검증 : 임치 기관이 임치물이 실제로 쓸 만한지 확인한다.
- 교부 사유 발생 : 이용자가 증빙을 갖춰 교부를 신청하고, 공급자에게 이의 기회를 준다.
- 교부와 복원 : 이용자(또는 이용자가 지정한 업체)가 임치물로 서비스를 재구축하거나 데이터를 다른 서비스로 옮긴다. 연속성 임치라면 임치 기관이 기존 클라우드 환경을 일정 기간 그대로 운영해 이전 시간을 벌어 준다.
| 수준 | 내용 |
|---|---|
| 예치물 확인 | 목록, 파일 형식, 완전성(누락 여부), 바이러스 검사 |
| 빌드 검증 | 맡긴 소스코드로 실제 실행 파일을 빌드할 수 있는지 확인 |
| 배포 재현 검증 | 별도 클라우드 환경에 서비스를 실제로 띄우고 데이터를 복원해 기능이 동작하는지 확인. SaaS 에스크로에서 가장 중요한 단계 |
| 구분 | 전통적 소스코드 임치 | SaaS 에스크로 |
|---|---|---|
| 소프트웨어 위치 | 이용자 서버(설치형) | 공급자 클라우드 |
| 이용자가 이미 가진 것 | 실행 파일, 데이터, 서버 | 사실상 없음(접속 권한뿐) |
| 임치물 | 소스코드, 기술 문서 | 소스코드 + 운영 환경·배포 자료 + 이용자 데이터 + 접근 권한 |
| 교부 후 목표 | 이용자가 유지보수를 이어 감 | 서비스를 재구축하거나 데이터를 이전해 업무 연속성 확보 |
| 갱신 주기 | 버전 출시마다 | 지속적 배포에 맞춘 자동·정기 예치 |
| 검증 | 빌드 검증 위주 | 배포 재현·데이터 복원 검증 |
- 이용자 : 공급자 의존(벤더 종속) 위험을 줄이고 업무 연속성 계획의 근거가 된다. 공공기관과 금융권이 SaaS를 도입할 때 요구하는 경우가 많다.
- 공급자 : 신생 기업도 대형 고객의 신뢰를 얻어 계약을 따기 쉬워진다. 소스코드는 계속 보호된다.
- 한계 : 임치물을 받아도 이용자가 서비스를 운영할 기술 역량이 없으면 쓸모가 없다. 예치물이 최신 버전과 어긋나기 쉽고, 검증 수준을 높일수록 비용이 든다. 이용자 데이터를 함께 맡길 때는 암호화와 개인정보 처리 위탁 관계를 정리해야 한다.