인증 및 컴플라이언스 개요

Mattermost v11.11번역일: 2026-09-01원본 보기

이 문서는 Mattermost가 사용자의 내부 컴플라이언스 활동을 어떻게 지원할 수 있는지를 다음 항목을 중심으로 요약합니다.

  • GDPR 컴플라이언스
  • 미국 수출 컴플라이언스

GDPR 컴플라이언스

다음 내용은 유럽 연합의 일반 개인정보 보호법(General Data Protection Regulation, Regulation (EU) 2016/679으로도 알려져 있습니다. 전문 보기)을 다루는 컴플라이언스 프로그램에 Mattermost 소프트웨어를 어떻게 활용할 수 있는지, 그리고 Mattermost, Inc. 자체는 규제 요구 사항을 어떻게 준수하는지를 요약합니다.

GDPR 원칙에 대한 지속적인 약속

Mattermost는 높은 신뢰가 요구되는 조직을 위한 협업 허브로서, 유럽 연합 내 사람들의 데이터를 보호하기 위해 GDPR의 원칙을 지원할 것을 약속합니다. Mattermost는 다음을 통해 이 사명을 실천합니다.

Mattermost의 활동을 계속 확인하려면 정기 뉴스레터를 구독하세요.

보안 인프라

Mattermost는 높은 보안 기준으로 개발된 자체 호스팅 커뮤니케이션 인프라를 통해 조직이 자사의 정보는 물론 사용자와 고객의 정보까지 보호할 수 있도록 합니다. 이 보안 인프라의 특징은 다음과 같습니다.

  • 조직이 자체 인프라를 배포할 수 있게 하는 Mattermost 오픈 소스 및 상용 제품의 보안 기능.
  • 전 세계 보안 연구자가 의심되는 취약점을 비공개로 보고하고 이를 Mattermost 소프트웨어 업데이트에서 해결할 수 있도록 하는 책임 있는 공개 정책.
  • 사내 보안 검토 팀과 외부 보안 연구자가 함께 수행하는 보안 검토.
  • 국제 보안 지침에 부합하기 위해 충족하는 ISO 27001 표준.

계약상 의무

Mattermost는 다음을 통해 데이터의 적절한 관리를 보장하기 위한 계약상 의무를 준수합니다.

  • Mattermost 표준 약관에 포함된 GDPR 준수 데이터 처리 부속 계약.
  • Mattermost, Inc.가 관리하는 온라인 인프라에서 데이터가 어떻게 처리되는지 안내하는 Mattermost 개인정보 처리방침.

프라이버시 조치

Mattermost는 고객과 파트너가 제출한 개인정보의 안전을 유지하기 위한 보안 조치를 개인정보 처리방침에 명시하고 있습니다.

제품 기능

Mattermost는 데이터 관리와 데이터 이동성을 보장하는 기능을 제공합니다.

데이터 관리

  • 데이터 보존: 데이터 보존을 사용하면 정해진 기간이 지난 뒤 데이터를 자동으로 삭제할 수 있으며, 이는 삭제권(Right to Erasure) 원칙을 충족하는 기능입니다. Team Edition에서는 데이터베이스 스크립트를 사용해 동일한 결과를 얻을 수 있습니다.
  • 프로필 삭제: mmctl user delete로 사용자의 개인정보를 삭제합니다. 이 명령은 해당 사용자가 작성한 메시지를 포함한 모든 사용자 정보를 영구적으로 삭제합니다.
  • 자체 호스팅 푸시 알림 서비스: 보안 및 컴플라이언스 정책을 충족하기 위해 푸시 알림 서비스를 직접 자체 호스팅하거나, AppConfig를 지원하는 EMM 공급업체를 통해 모바일 앱을 배포할 수 있습니다. 자세한 내용은 모바일 앱 배포 문서를 참고하세요.

데이터 이동성

접근성 컴플라이언스

자세한 내용은 접근성 컴플라이언스 정책 문서를 참고하세요.

접근성 표준 준수는 다음과 같은 방식으로 지원됩니다.

  • 508 준수: 508 준수 여부를 확인하려는 고객, 파트너 및 그 밖의 이해관계자에게 요청 시 VPAT를 제공합니다.
  • WCAG 2.0L: Web Content Accessibility Guidelines 2.0(WCAG)을 충족하기 위해 Mattermost는 서드파티로부터 "A" 등급을 받았으며 "AA" 등급을 목표로 개선하고 있습니다.
  • ADA: Mattermost는 VPAT와 WCAG 2.0 지침에 상세히 기술된 접근성 지원을 제공하고 Mattermost 온라인 환경을 접근성 도구의 인터페이스로 삼음으로써 미국 장애인법(Americans with Disabilities Act, ADA)을 준수합니다.
  • 결함 해결: 현재 또는 향후 제품 릴리스에서 제품 문서에 명시된 접근성 등급 준수를 저해하는 기술적 문제는 제품 결함으로 간주하며, Mattermost는 해당 결함이 해결될 수 있도록 공개적인 이슈 리포트 등록을 환영합니다.

미국 무역 컴플라이언스

Mattermost, Inc.는 미국 무역 컴플라이언스 법규를 준수하기 위해 다수의 통제 장치와 절차를 운영합니다.

  1. IP 차단: IP 차단을 사용해 상용 및 독점 제품 가입과 같은 상용 시스템에 대한 특정 국가로부터의 접근을 거부합니다.
  2. 자동 컴플라이언스 스캐닝: Descartes라는 자동화된 수출 컴플라이언스 도구를 사용합니다. Salesforce 계정 레코드의 우측 상단에는 안전 수준을 나타내는 Descartes 박스가 눈에 띄게 표시됩니다. 플래그가 지정된 계정은 법무팀 또는 그 지정 담당자가 Descartes 시스템 내에서 해제해야 합니다.
  3. 수동 컴플라이언스 검토: 제재 규정 변경에 대한 발표가 수출 컴플라이언스 도구가 반영할 수 있는 속도보다 빠르게 이루어지는 경우가 있습니다. 제재가 발표된 경우 Mattermost는 자동화 솔루션이 갱신되기 전에 선제적으로 사업을 검토하고 제재를 집행하기 위한 조치를 취할 수 있습니다.
  4. 법적 제한: Mattermost 상용 소프트웨어에는 미국 무역 법규를 위반하는 사용을 금지하는, 관리자와 최종 사용자 모두에게 적용되는 법적 조항이 포함되어 있습니다.

여기서 언급한 미국 무역 법규는 https://www.bis.gov와 https://ofac.treasury.gov/에서 온라인으로 확인할 수 있습니다.

귀하의 조직이 미국 무역 법규나 제재 대상으로 잘못 분류되었다고 판단되면 compliance@mattermost.com으로 이메일을 보내주세요.

새로운 미국 무역 법규나 제재로 인해 고객 관계를 종료하는 절차는 어떻게 되나요?

해당 고객에게는 수동 또는 자동화된 절차를 통해 compliance@mattermost.com을 참조로 넣은 이메일로 연락하며, 해당 커뮤니케이션은 기록 보관을 위해 SFDC에 다시 기록됩니다.

미국 수출 컴플라이언스 개요

요약 표

Mattermost 제품수출 통제 분류 번호(ECCN)
Mattermost Enterprise Edition
(Mattermost Professional 및 Enterprise 포함)		 ECCN 5D002, ENC 라이선스 예외 적용 가능
Mattermost Team Edition 소프트웨어가 공개적으로 제공되며 https://github.com/mattermost/에서 공개된 소스 코드로 전부 컴파일할 수 있으므로 미국 수출관리규정(EAR) 적용 대상이 아닙니다

개요

미국 정부는 국가 안보, 경제 및 외교 정책상의 이유로 미국에 전략적으로 중요하다고 판단되는 정보, 물품, 기술, 소프트웨어의 이전을 규제합니다. 미국 외의 많은 국가도 같은 이유로 수출에 대해 유사한 통제를 시행하고 있습니다.

수출을 규율하는 미국 정부 기관과 상호 연관된 규정들은 복잡한 체계를 이루며, 이를 통칭하여 "수출 통제(Export Controls)"라고 부릅니다.

Mattermost는 사업을 영위하는 모든 국가의 수출 컴플라이언스 법규를 준수하는 것을 정책으로 삼고 있습니다. Mattermost는 미국에 본사를 둔 글로벌 기업이므로, 소프트웨어를 비롯해 장비, 자재, 서비스를 포함하여 통칭 "물품(Commodities)"이라 부르는 Mattermost의 제품은 사업을 수행하는 모든 국가의 수출 법규 적용을 받습니다. 수출 통제 규정을 준수하지 않으면 Mattermost와 그 계열사는 물론 고객, 임직원, 사업 파트너까지 형사·민사상 처벌, 자산 압류, 수출 권한 박탈, 정부 계약 참여 정지 또는 배제 대상이 될 수 있습니다.

이러한 이유로 사업을 운영하는 관할 지역에 적용되는 수출(및 수입) 통제를 충분히 숙지하시기 바랍니다. Mattermost가 수출 관련 자문을 제공할 수는 없지만, 이 페이지는 Mattermost 제품을 수출하는 데 필요한 정보를 제공합니다.

이 개요는 미국 수출관리규정(EAR)에 특화된 내용입니다. 다만 사업 운영 방식에 따라 국제무기거래규정(ITAR)과 같은 다른 규정의 적용을 받을 수도 있습니다.

일반 정보

먼저 미국 산업안보국(BIS) 웹사이트를 살펴보세요. 그다음 미국 수출관리규정의 Part 730으로 이동해 해당 규정이 무엇을 다루는지, 그리고 734.2에서 규정하는 "EAR 적용 대상(Subject to the EAR)", 즉 "수출 통제 대상"이 무엇인지 확인하세요.

수출 분류와 라이선스

수출관리규정의 적용 범위는 상당히 넓지만, 그렇다고 모든 거래에 수출 라이선스가 필요한 것은 아닙니다. 하드웨어, 소프트웨어, 기술과 관련된 수출 통제를 이해하는 기초는 상무부 통제 품목 목록(Commerce Control List, CCL)에 있으며, 이 목록은 0~9까지 10개 범주로 구성된 포지티브 리스트입니다. 첫 단계는 수출하려는 품목이 EAR 적용 대상인지 판단하는 것입니다.

Mattermost의 완전한 오픈 소스 공개 소프트웨어는 공개된 암호화 소스 코드에서 파생되었고 소스 코드(https://github.com/mattermost/)와 바이너리 버전 모두 전체 소프트웨어 패키지가 공개되어 있으므로 EAR 적용 범위 밖에 있습니다. Mattermost 엔터프라이즈 소프트웨어는 CCL의 Category 5, Part 2에 통신 및 정보 보안 품목(하드웨어, 소프트웨어, 기술)으로 분류되어 있습니다. 이 범주의 대부분 품목은 암호화 기능을 포함합니다.

상무부 통제 품목 목록에서 특정 수출 통제 분류 번호(ECCN)에 대해 사용 가능한 라이선스 예외를 명시하는 경우, 여러 요소의 조합에 따라 Part 740에 따른 라이선스 예외를 적용할 수 있는 경우가 많습니다.

Mattermost Enterprise Edition(Mattermost Professional 및 Enterprise 포함)은 ECCN 5D002에 해당하며, 오픈 소스 소프트웨어에서 파생된 암호화 기능을 갖춘 Enterprise 및 Professional 소프트웨어에 대해 "ENC" 라이선스 예외를 적용할 수 있습니다. 수출 규정상 암호화 제품에는 여러 단계의 통제와 요구 사항이 적용됩니다. BIS는 웹사이트에 암호화와 수출관리규정(EAR)을 다루는 별도의 섹션을 두어 개요와 다수의 링크를 제공하고 있으므로 함께 검토하시기 바랍니다. 이 지침에는 품목이 암호화 통제 대상인지 판단하는 데 유용한 플로차트와 표를 비롯한 여러 정보가 담겨 있습니다.

Mattermost 소프트웨어나 기술을 수출할 때 알아 두어야 할 그 밖의 핵심 영역은 다음과 같습니다.

제재(Sanctions): 쿠바, 이란, 북한, 시리아에 대한 포괄적 제재가 있으며, 우크라이나의 크림·도네츠크·루한스크 지역, 벨라루스, 러시아, 베네수엘라, 미얀마/버마, 캄보디아 등 특정 금지 사항이 적용되는 국가·지역도 있습니다. 자세한 내용은 BIS에서 확인할 수 있습니다. 대상 국가와 해당 제재는 변경될 수 있습니다.

WMD(대량살상무기): Mattermost와 그 고객 및 사업 파트너는 미국 수출관리규정(EAR)에서 금지하는 그 밖의 최종 용도와 더불어, 대량살상무기 확산에 관여하는 당사자에게 수출할 수 없습니다.

일반 금지 사항(General Prohibitions): EAR상의 일반 금지 사항에 대한 정보는 여기에서 확인할 수 있습니다. 이러한 일반 금지 사항의 적용 여부는 여러 요소의 조합에 따라 결정되며, 여기에는 물품의 분류, 목적지, 최종 사용자, 최종 용도, 행위가 포함됩니다.

제한 당사자(Restricted Parties): 미국 정부의 제한 당사자 목록에 등재된 당사자에게는 수출할 수 없으며, 수출 전에 이 목록을 대상으로 스크리닝해야 합니다. 미국 정부는 export.gov를 통해 스크리닝에 사용할 수 있는 통합 스크리닝 목록을 무료로 제공합니다. 또한 군사 최종 사용자와 군 정보기관 최종 사용자에 대한 수출에는 별도의 제한이 적용됩니다.

간주 수출(Deemed Exports): 미국 내 외국인에게 통제 대상 기술을 공개하는 행위는 해당 인물의 국적 국가로 수출한 것으로 "간주"되며, 이는 EAR의 734.2(b)에 규정되어 있습니다. 자세한 내용은 BIS 웹사이트의 수출관리규정에서 확인할 수 있습니다.

고객 확인(Know Your Customer): BIS 웹사이트를 살펴보면 "고객을 아는 것"과 "위험 신호(Red Flags)"를 인지하는 것이 매우 중요하다는 점을 알 수 있습니다. 컴플라이언스를 확보할 수 있도록 사업 파트너와 고객을 반드시 스크리닝하세요.

면책 조항

Mattermost는 이 자료를 정보 제공 목적으로만 제공합니다. 이 자료는 최신 법률 동향을 반영하지 않을 수 있으며, Mattermost는 그 완전성, 정확성, 최신성을 진술하거나 보증하지 않습니다. 이 정보는 사전 통지 없이 변경될 수 있습니다. 이 사이트의 자료는 법률 자문을 구성하거나 구체적인 법률 자문을 대체할 목적으로 제공되지 않습니다. 개별 사실관계와 상황에 대한 전문가의 자문을 받지 않은 채 이 사이트의 정보에 근거해 행동하거나 행동을 삼가서는 안 됩니다.

자주 묻는 질문

GDPR을 준수하려면 이메일 알림에서 메시지 내용을 제거해야 하나요?

Mattermost의 GDPR 해석에 따르면 다음과 같은 이유로 컴플라이언스 유지를 위해 이메일 알림의 메시지 내용을 숨길 필요는 없습니다.

  1. 모든 사용자는 설정에서 이메일 알림을 비활성화할 수 있습니다. 따라서 정보를 이메일로 전송할지 여부는 각 사용자가 최종적으로 결정합니다. 이 방식은 대부분의 다른 제품과도 일치하며, Mattermost는 이 영역에서 변경이 필요한지 확인하기 위해 GDPR 해석의 변화를 면밀히 주시하고 있습니다.
  2. Mattermost는 Mattermost 서버와 SMTP 이메일 서버 간 통신을 보호하기 위한 TLS 암호화를 제공합니다.
  3. 앞의 두 항목만으로 GDPR 컴플라이언스가 충족되는지 확신할 수 없다면 Mattermost 서버에서 알림을 완전히 비활성화할 수 있습니다. 이메일 알림 없이 Mattermost를 운영 환경에서 사용하려면 "미리보기 모드" 안내 배너도 비활성화해야 합니다.

Mattermost Admin Advisor 알림에서 문의하기를 선택하면 어떤 정보가 공유되나요?

Mattermost Admin Advisor에서 문의하기를 선택하면 일부 정보가 Mattermost로 전송됩니다. 여기에는 Mattermost 계정에 연결된 이메일 주소와 이름은 물론 시스템에 등록된 사용자 수, 사이트 URL, Mattermost 진단 서버 ID 번호가 포함될 수 있습니다. 이 정보는 요청하신 문의에 응답하고 고객의 요구 사항을 더 잘 이해하는 데 사용됩니다.

참고

v5.35 이상에서는 Mattermost Admin Advisor 알림이 비활성화되어 있습니다.

IP 주소가 포함된 서버 접근 로그는 GDPR 컴플라이언스 문제가 되나요?

GDPR 제49조에 대한 Mattermost의 해석에 따르면 네트워크 및 정보 보안 확보를 목적으로 하는 개인정보 처리는 허용됩니다. 덧붙여 다음과 같습니다.

  • 시스템 콘솔과 서버에 대한 접근을 제한함으로써 로그 접근을 통제할 수 있습니다.
  • 자체 호스팅 소프트웨어이므로 로그에 대한 완전한 통제권과 소유권을 가지며, 필요에 맞게 삭제 주기를 설정할 수 있습니다.
  • 리버스 프록시를 사용해 IP 주소를 난독화할 수 있습니다.

미국 연방 정부 또는 국방부(DOD) 인증을 보유하고 있나요?

운영 승인(Authority to Operate, ATO)과 네트워크 적합성 인증(Certificate of Networthiness, CON) 취득을 진행 중입니다.

개인정보가 유럽 연합 내에 머무르도록 어떻게 보장하나요?

고객이 Mattermost를 자체 호스팅으로 설치한 경우, Mattermost는 유럽 연합 내에서 적용되는 개인정보 보호법의 관할 아래 어떠한 개인정보도 처리하지 않습니다. Mattermost 지원 팀은 Zendesk 고객 서비스 소프트웨어를 사용하며, Zendesk는 Mattermost 정보를 미국 내에 호스팅합니다. Zendesk에 대한 자세한 내용은 Zendesk의 프라이버시 및 데이터 보호 페이지를 참고하세요.

Zendesk의 프라이버시 및 데이터 보호 조치와는 별개로, 지원 서비스 제공은 Mattermost와 고객 간 계약상 의무의 일부입니다. Mattermost가 그러한 지원을 제공하려면 고객이 라이선스 사용자임을 확인할 수 있어야 하므로, 사용자는 지원 담당자에게 개인정보를 제공해야 합니다. 지원 담당자가 어디에 있든 해당 개인정보는 EU 외부에 호스팅됩니다.

다만 GDPR 제49조 (b)항에 따라 "정보 주체와 컨트롤러 간 계약의 이행에 필요한" 개인정보 이전은 제3국 또는 국제기구로 이전될 수 있습니다. 따라서 이러한 이전은 GDPR의 요구 사항에 부합하는 방식으로 이루어집니다. 자세한 내용은 Mattermost 개인정보 처리방침 페이지를 참고하세요.

*면책 조항: MATTERMOST는 자사 제품을 "컴플라이언스 보장 솔루션"으로 내세우지 않습니다. Mattermost 제품을 사용한다고 해서 규제 컴플라이언스를 달성한다고 보증하지 않습니다. 규제 컴플라이언스 달성의 성공 여부는 해당 규제에 대한 귀하의 해석과 그 요구 사항을 준수하기 위해 귀하가 취하는 조치에 달려 있습니다. 이러한 요소는 개인과 기업마다 다르므로 Mattermost는 귀하의 성공을 보증할 수 없으며 귀하의 어떠한 행위에 대해서도 책임지지 않습니다. Mattermost의 사용이나 Mattermost 웹사이트에 포함된 어떠한 권고로부터도 특정한 컴플라이언스 결과가 달성된다는 보증은 제공되지 않으며, 따라서 이 자료는 이러한 사안에 대해 귀하의 법률 및 컴플라이언스 담당자와 상의하는 것을 대체할 수 없습니다.

원문(English original): *DISCLAIMER: MATTERMOST DOES NOT POSITION ITS PRODUCTS AS “GUARANTEED COMPLIANCE SOLUTIONS”. WE MAKE NO GUARANTEE THAT YOU WILL ACHIEVE REGULATORY COMPLIANCE USING MATTERMOST PRODUCTS. YOUR LEVEL OF SUCCESS IN ACHIEVING REGULATORY COMPLIANCE DEPENDS ON YOUR INTERPRETATION OF THE APPLICABLE REGULATION, AND THE ACTIONS YOU TAKE TO COMPLY WITH THEIR REQUIREMENTS. SINCE THESE FACTORS DIFFER ACCORDING TO INDIVIDUALS AND BUSINESSES, WE CANNOT GUARANTEE YOUR SUCCESS, NOR ARE WE RESPONSIBLE FOR ANY OF YOUR ACTIONS. NO GUARANTEES ARE MADE THAT YOU WILL ACHIEVE ANY SPECIFIC COMPLIANCE RESULTS FROM THE USE OF MATTERMOST OR FROM ANY RECOMMENDATIONS CONTAINED ON OUR WEBSITES, AND AS SUCH, THIS SHOULD NOT BE A SUBSTITUTE TO CONSULTING WITH YOUR OWN LEGAL AND COMPLIANCE REPRESENTATIVES ON THESE MATTERS.

IPv6를 지원하나요?

예, Mattermost 플랫폼은 오디오 및 화면 공유를 비활성화한 경우 자체 호스팅 및 Cloud 제품 모두에서 IPv6를 지원합니다.

오디오 및 화면 공유에 대한 IPv6 지원은 향후 추가할 예정입니다.

508을 준수하나요?

예, Mattermost 플랫폼은 508을 준수합니다. 자세한 내용은 접근성 컴플라이언스 정책 문서를 참고하세요.

조직의 보안 협업 요구에 맞춘 솔루션을 알아보려면 라이브 데모를 예약하거나 Mattermost 전문가와 상담하세요. 또는 1시간 미리보기로 라이브 샌드박스 환경에 즉시 접속해 Mattermost를 직접 사용해 볼 수 있습니다.