만든 업체가 폐업했거나 담당 개발자가 떠난 시스템을 맡길 곳을 찾을 때, "유지보수 가능합니다"라는 말만으로는 업체를 구분하기 어렵습니다. 계약 전에 아래 7가지를 확인하면 실패를 크게 줄일 수 있습니다.
왜 업체 선택이 중요해졌을까
최근 대형 개인정보 유출 사고의 원인은 대부분 기본적인 유지보수 누락이었습니다. SK텔레콤 유심 정보 유출(과징금 1,348억 원)은 2016년에 공개된 운영체제 보안 패치를 적용하지 않은 것이 원인 중 하나였고, 롯데카드(과징금 146억 원)도 보안 패치 미실시와 암호화 미이행이 지적됐습니다. 시스템 유지관리 업체가 해킹당한 사건에서는 일을 맡긴 기관도 관리 · 감독 소홀로 과징금을 받았습니다. 유지보수 업체를 고르는 일이 곧 보안 책임을 나누는 일이 된 셈입니다.
1. 다른 업체가 만든 시스템을 이어받은 경험
직접 만든 시스템만 관리해 온 업체와, 문서 없는 남의 시스템을 분석해 이어받아 본 업체는 다릅니다. 인수할 때 무엇부터 확인하는지(소스 확보, 서버 · 계정 명의, 백업, 퇴사자 계정) 물어보세요.
2. 언어 · 기술 범위
레거시 시스템은 PHP, Java(JSP · Spring · 전자정부 프레임워크), Classic ASP · ASP.NET, 오래된 jQuery 화면이 섞여 있는 경우가 많습니다. 일부만 다루는 업체는 결국 다른 업체를 또 찾아야 합니다. 레거시와 최신 기술(Spring Boot · Node.js · React · Vue 등)을 함께 다루는지 확인하세요.
3. 지원 종료 버전 보안 업그레이드 경험
PHP 8.1 이하, 구버전 Java, CentOS 7 같은 지원 종료 버전은 새 취약점이 나와도 패치가 없습니다. 버전을 올리면 깨지는 코드와 라이브러리를 직접 고쳐 본 경험이 있는지 확인하세요.
4. 고장 날 때만이 아니라, 매달 보안 상태를 확인하는지
요청이 있을 때만 움직이는 유지보수로는 보안 패치 누락을 막을 수 없습니다. 월간 접속기록 점검, 장기 미접속 · 퇴사자 계정 정리, 보안 패치 · 서버 백신 · 백업 확인을 매달 보고서로 남기는지 확인하세요.
5. 고객사 보안점검 대응 경험
거래하는 대기업 · 금융사에서 협력업체 보안점검이 오면, 유지보수 업체가 지적 사항 조치와 증적 준비를 맡아야 합니다. 실제 점검 대응 경험이 있는 업체라면 평소 운영 기록이 그대로 증적이 됩니다.
6. 재하청 없이 직접 수행하는지
영업만 하고 개발은 다른 곳에 맡기는 구조라면 장애 대응이 느리고 시스템 이해도가 쌓이지 않습니다. 실제 작업할 개발팀이 누구인지 확인하세요.
7. 소스 · 서버 · 계정이 고객 명의로 관리되는지
업체를 바꿀 때 가장 큰 문제는 소스 저장소와 서버 계정이 이전 업체 명의로 되어 있는 경우입니다. 계약할 때 소스, 서버, 도메인, 클라우드 계정을 고객 명의로 관리하고 운영 문서를 남기는지 확인하세요.
계약 전에 업체에 보낼 질문
- 우리 시스템과 비슷한 언어 · 규모의 시스템을 인수해 본 사례가 있나요?
- 인수 후 첫 달에 무엇을 점검하고, 결과를 어떤 문서로 받나요?
- 월간 유지보수 범위에 보안 점검이 포함되나요? 보고서 예시를 볼 수 있나요?
- 고객사 보안점검이 오면 지적 사항 조치와 증적 준비도 해 주나요?
- 장애가 나면 누가, 얼마나 빨리 대응하나요?
제너릭아이티는
제너릭아이티는 언어와 상관없이 만든 업체와 연락이 끊긴 레거시 시스템을 분석해 인수하고, 보안 업그레이드와 서버 이관 후 월간 보안 운영까지 맡는 개발사입니다. 잔존물 경매 시스템을 이어받아 PHP 8.4로 업그레이드하고 매달 접속기록 점검 보고서를 작성하며 대형 금융사 보안점검 8회를 대응했고, 금융 · 보험 · 공공 · HR · 플랫폼 등 20여 개 시스템을 개발 · 유지보수해 왔습니다. 자세한 내용은 레거시 시스템 유지보수 · 보안 운영을 참고하세요.