외부 API 변경 공지 놓친 IT 스타트업, EDMS 스팸 룰로 기술 문서 누락선 묶다

클라우드 기반 인프라를 운영하는 B2B SaaS 스타트업 A사는 지난 분기 서비스 정기 배포 직후 외부 CI/CD 연동 서비스의 보안 패치 공지 문서를 제때 확인하지 못해 야간 장애 대응에 혼선을 겪었다. 해외 서드파티 벤더가 발송한 긴급 API 명세 변경 통지서와 토큰 갱신 안내서가 문서관리 시스템으로 유입되는 과정에서 스팸 필터에 걸려 격리 보관함에 묶였기 때문이다.

A사는 개발자와 인프라 엔지니어 등 40여 명이 원격과 사무실을 오가며 일하는 구조다. 하루에도 수십 건씩 오픈소스 보안 권고문, 라이선스 갱신 알림, 외부 모니터링 연동 리포트가 EDMS 문서함으로 쏟아진다. 자동화 스크립트와 메일 파서로 문서를 분류하던 기존 방식에서는 도메인 평판이 낮거나 본문에 암호화 키 해시값이 포함된 보안 안내서가 일반 광고성 메일과 묶여 차단되는 일이 잦았다.

엔지니어링 문서 특성 반영한 스팸 룰 재설계

A사는 EDMS 내부로 유입되는 외부 기술 문서의 수신 규칙을 전면 수정했다. 단순 키워드 차단 방식 대신 개발 도구 도메인 화이트리스트와 기술 문서 전용 유입 경로를 결합한 스팸 룰을 적용했다.

깃허브 웹훅 통지, 클라우드 모니터링 알림, 서드파티 API 변경점 공지 등 엔지니어링 운영에 직결된 도메인과 서명 헤더를 가진 문서는 스팸 판정 점수에서 제외하도록 예외 조건을 걸었다. 반면 외부 마케팅 대행사나 일반 프로모션성 문서가 기술 저장소나 프로젝트 문서함으로 잘못 인덱싱되는 경로는 발송 서버 SPF와 DKIM 인증값을 기준으로 엄격히 분리했다.

A사 데브옵스팀 리드는 "배포 스크립트나 API 변경점 안내서는 본문에 코드 조각과 URL이 많아 일반 스팸 엔진에 걸리기 쉽다"며 "화이트리스트 기반의 예외 룰과 헤더 검증을 EDMS 수신단에 맞물려 놓으면서 엔지니어들이 스팸함을 일일이 뒤적거리던 번거로움을 덜어내는 방향으로 잡았다"고 말했다.

격리 보관함과 문서 수신 승인선 분리

스팸으로 의심되는 기술 문서에 대한 처리 절차도 손질했다. 무조건 삭제하거나 담당자 모르게 폐기하는 대신, 잠재적 위험 문서로 분류된 파일은 읽기 전용 샌드박스 격리함에 우선 적재한 뒤 프로젝트 관리자에게 확인 알림을 보내는 방식이다.

개발팀은 격리된 문서 내 악성 스크립트 포함 여부를 검증한 후 원클릭으로 정식 EDMS 기술 자산 함에 편입시킨다. 이 과정에서 외부 벤더의 계약 갱신 문서나 라이선스 감사 공문이 스팸 처리되어 누락되는 사고를 방지할 수 있게 됐다는 설명이다.

남은 과제는 서드파티 도메인 변경 추적

도메인 기반 스팸 룰 적용으로 필수 기술 문서의 누락 위험은 줄었으나 관리 부담은 남아 있다. 스타트업 특성상 다양한 오픈소스 도구와 신규 클라우드 서비스를 수시로 도입하고 해지하면서 화이트리스트에 등록해야 할 발신처가 계속 늘어나기 때문이다.

담당 부서가 정기적으로 유효하지 않은 예외 규칙을 정리하고, 외부 벤더의 도메인 변경 사항을 EDMS 수신 룰에 제때 반영하지 않으면 보안 사각지대가 다시 생길 수 있다는 점을 실무팀은 확인 과제로 꼽는다.