Qualys는 중국에서 작동하나요? 데이터 레지던시, 국내화, PIPL 국경 간
Qualys는 중국 본토 플랫폼을 운영하지 않습니다 — 그 공유 플랫폼은 미국·EU·인도·캐나다·UAE·영국·호주·사우디에 있습니다 — 그래서 귀사 자산 인벤토리·취약점 지도·스캔 결과·인증 스캔 자격 증명이 해외에 자리 잡습니다: PIPL 국경 간 이전이고, CIIO나 대량 취급자에게는 데이터 국내화 격차. Qualys의 플랫폼과 합법적 국내 경로를 컴플라이언스 우선으로 살펴봅니다.
Qualys는 중국에서 작동하나요?
중국 존재를 위해 Qualys를 돌릴 수 있는지는 먼저 데이터 레지던시 질문이지 도달 가능성이 아닙니다.
Qualys는 취약점 관리·정책 컴플라이언스 플랫폼입니다: 전체 자산 인벤토리, 귀사의 악용 가능한 약점을 목록화하는 취약점 지도, 스캔 결과, 그리고 — 인증 스캔에는 — 귀사 호스트에 로그인하는 데 쓰는 특권 자격 증명을 응축합니다. Qualys 자체 플랫폼 목록으로, 그 공유 플랫폼은 미국·EU·인도·캐나다·UAE·영국·호주·사우디에 앉고(더하기 미국 정부 플랫폼) — 중국 본토에는 없음 — 그래서 그 데이터가 귀사 계정이 배정된 해외 플랫폼에 자리 잡습니다. 중국에서 수집된 개인정보를 거기 두는 것은 PIPL이 규율하는 국경 간 이전(고지, 별도 동의, 이전 메커니즘)이고, CIIO나 대량 취급자에게는 해외 플랫폼이 충족할 수 없는 국내 저장 의무(PIPL 제40조; 사이버보안법 제39조, 구 제37조). 귀사 자산을 보호하려 산 도구가 그 약점의 분류된 지도의 해외 경로가 됩니다.
이는 판정이 아니라 리스크 지도입니다 — 귀사 의무는 데이터 규모와 역할에 따라 달라집니다. 저희 중국 팀이 귀사의 Qualys 노출을 지도화합니다 →
컴플라이언스 스냅샷
- ✕ Qualys의 공유 플랫폼 중 중국 본토 플랫폼 없음
- ! 자산 인벤토리·취약점 지도·스캔 결과가 해외에 자리 잡음 = PIPL 국경 간
- ! 인증 스캔은 특권 호스트 자격 증명을 해외 플랫폼에 건넴
- ! CIIO·대량 취급자는 국내 저장 의무(PIPL 40; 사이버보안법 39, 구 37)
- ! 공유 클라우드는 그 의무를 충족 못 함; 본토 Private Cloud Platform은 가능
- ✓ 21YunBox는 보안 데이터 계층을 국내에서 돌림 + ICP 비안 콘솔 전송
Qualys 공식 문서가 중국에 대해 말하는 것
| 사실 | 1차 출처 |
|---|---|
| Qualys는 중국 본토 안에 플랫폼을 운영하지 않습니다. 자체 플랫폼 식별 페이지는 공유 플랫폼을 US1, US2, US3, US4, US GOV1, EU1, EU2, EU3, IN1(인도), CA1(캐나다), AE1(UAE), UK1, AU1(호주), KSA1(사우디)로 열거하고, 고객 운영 Private Platform은 별도 열거하며 — 어느 것도 중국 본토에 없습니다. 그러니 귀사 Qualys 계정이 보유하는 자산 인벤토리·취약점 지도·스캔 결과가 배정된 해외 플랫폼에 자리 잡습니다. | Qualys — Identify your Qualys platform (platform identification), 2026-10-10 열람 |
| Qualys의 유일한 국내 옵션은 공유 클라우드가 아니라 고객 운영 Private Cloud Platform입니다. Qualys는 Private Cloud Platform(Enterprise TruRisk Platform의 일부)을 "Keep sensitive data local to a specific region, country or province, both in transit and in storage"(전송과 저장 모두에서 민감 데이터를 특정 지역·국가·성에 국한)하도록 마케팅합니다. 중국 본토 인프라에 배포되면, 그 사설 어플라이언스가 자산 인벤토리·취약점 지도·스캔 결과·인증 스캔 자격 증명을 중국 땅에 둘 수 있습니다 — 합법적 자체 관리 레버 — 한편 공유 플랫폼(미국·EU·인도·캐나다·UAE·영국·호주·사우디)은 할 수 없습니다. | Qualys — Private Cloud Platform, 2026-10-10 열람 |
| Qualys가 보유하는 자산·스캔·계정 데이터는 개인정보이고, 중국에서 수집된 개인정보를 해외 플랫폼에 두는 것은 PIPL상 국경 간 이전(제38~40조)입니다. 의무는 처리자인 Qualys가 아니라 — 귀사, Qualys의 고객 — 에 떨어집니다: 고지, 모든 일반 IT나 고용 계약과 구별되는 별도 동의, 그리고 하나의 이전 메커니즘(CAC 안전성 평가, CAC 표준계약, 또는 인증). 스캔이 계정 자격 증명이나 개인의 보안 속성에 닿는 곳에서, 데이터는 PIPL 제28조 민감 개인정보 범주에 닿을 수 있습니다. | PIPL, 제28조 및 제38~43조 (CAC) |
| 핵심정보인프라 운영자나 대량 취급자의 경우, 중국에서 생성된 개인정보는 중국 본토 안에 저장되어야 합니다(PIPL 제40조; 사이버보안법 제39조, 구 제37조 — 2026년 1월 1일 발효한 2025년 개정으로 재번호, 실질 내용은 불변). 테넌트를 어떻게 설정하든 해외 Qualys 플랫폼은 그 의무를 충족할 수 없습니다; 본토 배포 Private Cloud Platform이나 라이선스받은 국내 등가물은 가능합니다. 임계치 이상이거나 "중요 데이터"에는 무엇이든 떠나기 전에 데이터 국외 이전 안전성 평가가 요구될 수 있습니다. | PIPL 제40조; 사이버보안법 제39조(구 제37조) |
21YunBox 컴플라이언스 팀이(가) 2026년 10월 10일에 출처를 확인했습니다.
귀사 조직이 중국 본토에서 Qualys를 돌린다면, 첫 점검은 스캐너와 Cloud Agent가 콘솔에 도달할 수 있느냐입니다. 대체로 됩니다: Qualys는 국경에서 필터링되는 소비자 서비스가 아니므로 도달 가능성은 중국 결정이 정해지는 곳이 아닙니다. 데이터 레지던시가 그곳입니다 — Qualys가 응축하는 데이터가 어디에 자리 잡는지, 그리고 그것이 합법적으로 나라를 떠났는지. 그리고 그것은 많은 것을 응축합니다: 전체 자산 인벤토리, 각 악용 가능한 약점을 목록화하는 취약점 지도, 스캔 결과, 그리고 인증 스캔에는 귀사 시스템에 로그인하는 특권 자격 증명. 아이러니는 정확합니다 — 귀사 약점을 찾아 닫으려 산 도구가 그 약점의 마스터 지도를 보유하고, 본토 배포에서 그 지도가 해외에 자리 잡는데, Qualys가 중국 본토 안에 공유 플랫폼을 운영하지 않기 때문입니다. 고객 운영 Private Cloud Platform이 국내에 앉을 수 있는 유일한 배포입니다.
한눈에 보는 중국에서의 Qualys
| 무엇이 결정하나 | Qualys 자신의 표현 — 그리고 중국의 법 |
|---|---|
| 데이터가 머무는 곳 | 해외. Qualys 플랫폼 식별 페이지는 공유 플랫폼을 US1–US4, US GOV1, EU1–EU3, IN1, CA1, AE1, UK1, AU1, KSA1로 열거합니다 — 미국·EU·인도·캐나다·UAE·영국·호주·사우디. 중국 본토 플랫폼은 없습니다. 귀사 자산 인벤토리·취약점 지도·스캔 결과가 귀사 계정이 배정된 플랫폼에 자리 잡습니다. |
| 무엇을 수집하는가 | 귀사 자산의 지속적·식별 가능한 그림: 호스트명, IP 주소, 운영체제, 설치 소프트웨어, 로그인 계정, 그리고 각 호스트의 악용 가능한 약점의 순위 목록. 인증 스캔은 귀사 시스템에 로그인하는 특권 자격 증명을 더합니다. 그것은 개인정보이고 — 계정 자격 증명이나 개인의 보안 속성에 닿는 곳에서 — PIPL 제28조 민감 개인정보 범주에 닿을 수 있습니다. |
| 중국 데이터를 해외 플랫폼에 | 중국에서 수집된 자산·스캔·계정 데이터를 미국·EU나 다른 해외 플랫폼에 두는 것은 PIPL상 국경 간 이전(数据出境)입니다(제38~40조): 고지, 별도 동의, 하나의 이전 메커니즘 — CAC 안전성 평가, CAC 표준계약, 또는 인증. 의무는 처리자인 Qualys가 아니라 귀사에 앉습니다. |
| 국내 저장 의무 | 규모 임계치 이상, "중요 데이터", 또는 핵심정보인프라 운영자에게는, 중국에서 생성된 개인정보가 중국에 저장되어야 합니다: PIPL 제40조와 사이버보안법 제39조(구 제37조) — 2026년 1월 1일 발효한 2025년 사이버보안법 개정이 데이터 국내화 조문을 제37조에서 제39조로 재번호(실질 내용 불변). 무엇이든 떠나기 전에 데이터 국외 이전 안전성 평가도 요구될 수 있습니다. 해외 Qualys 플랫폼은 국내 저장 의무를 충족할 수 없습니다. |
| 도달 가능성은 축이 아니다 | 스캐너와 Cloud Agent는 대체로 본토에서 콘솔에 도달하므로 "연결되나?"는 잘못된 테스트입니다. 합법적 경로는 중국 보안 데이터를 국내에 두고 — 본토 배포 Private Cloud Platform이나 라이선스받은 국내 등가물 — 중국을 향한 콘솔과 리포팅을 ICP 비안 국내 전송으로 제공하는 것입니다. 21YunBox는 진단·현지화·전송하며; 어떤 형태의 우회도 쓰거나 권하지 않습니다. |
데이터가 실제로 머무는 곳
Qualys의 중국 자세는 로드 시간 테스트가 아니라 그 플랫폼이 어디에 있느냐로 정해집니다. 그 플랫폼 식별 페이지는 바로 계정이 하나의 플랫폼에 고정되기 때문에 존재하고, 그것들을 평이하게 명시합니다: 공유 플랫폼은 US1, US2, US3, US4, US GOV1, EU1, EU2, EU3, IN1, CA1, AE1, UK1, AU1, KSA1 — 미국·유럽연합·인도·캐나다·아랍에미리트·영국·호주·사우디아라비아입니다. 어느 것도 중국 본토에 없습니다. 그러니 귀사 Qualys 계정이 쌓는 자산 인벤토리·취약점 지도·스캔 결과가 프로비저닝 시 배정된 그 해외 플랫폼에 자리 잡습니다.
명명할 가치가 있는 예외 하나가 있고, 그것이 합법적 레버입니다: Qualys는 고객 운영 Private Cloud Platform — 플랫폼의 역량을 귀사가 통제하는 인프라로 가져오는 자기 완결적 어플라이언스 — 를 제공합니다. Qualys는 그것을 “Keep sensitive data local to a specific region, country or province, both in transit and in storage”(전송과 저장 모두에서 민감 데이터를 특정 지역·국가·성(省)에 국한)하도록 마케팅합니다. 본토 중국 인프라에 배포되면, 그 사설 플랫폼이 보안 데이터를 중국 땅에 둘 수 있습니다. 공유 플랫폼은 그럴 수 없습니다 — 테넌트를 미국 플랫폼에서 EU 플랫폼으로 옮기는 것은 국경 간 이전을 재배치할 뿐; 끝내지 않습니다.
그것이 수집하는 것은 개인정보다
거주성 질문은 거의 대부분의 소프트웨어보다 취약점 관리에서 더 날카롭습니다, Qualys가 보유하는 것 때문에. 그 가치 전체는 가시성입니다: 그것은 볼 수 있는 모든 호스트, 거기서 도는 소프트웨어, 거기 있는 계정, 그리고 공격자가 악용할 수 있는 약점의 순위 목록을 기록합니다 — 귀사 자산의 지속적·식별 가능한 그림. 인증 스캔에는 그 시스템에 로그인하는 특권 자격 증명을 써서 더 나아갑니다; Qualys는 그 비밀을 그 인증 기록과 자격 증명 볼트를 통해 저장·조회한다고 문서화합니다. 그것이 보안 구매자가 즉시 느끼는 아이러니입니다: 귀사 자산을 보호하려 배포한 도구가 그 약점의 분류된 지도 — 그리고 그 호스트의 열쇠 — 를 해외 클라우드에 응축하는 단 하나의 장소가 됩니다.
그 밀도가 중국의 법이 가장 면밀히 검토하는 것입니다. 자산·스캔·계정 데이터는 개인정보이고, 중국에서 수집된 개인정보를 해외에 두는 것은 개인정보 보호법상 국경 간 이전입니다. PIPL은 의무를 처리자 — Qualys가 아니라 호스트를 운영하는 조직인 귀사 — 에 둡니다: 제38~40조는 고지, 모든 일반 IT나 고용 계약과 구별되는 별도 동의, 그리고 하나의 이전 메커니즘을 요구합니다. 스캔이 계정 자격 증명이나 개인의 보안 속성에 닿는 곳에서, 데이터는 PIPL 제28조 민감 개인정보 범주에 닿을 수 있고, 기준을 다시 높입니다. 그리고 일정 규모 임계치 이상, 데이터가 “중요 데이터”인 곳, 또는 귀사 조직이 핵심정보인프라 운영자인 곳에서, 그 이전은 무엇이든 나라를 떠나기 전에 중국의 데이터 국외 이전 안전성 평가(数据出境安全评估)를 요구할 수 있습니다.
중국 플랫폼 없는 클라우드에서 돌리는 것은 레지던시 의무를 충족하지 않는다 — 무엇이 충족하는가
귀사가 핵심정보인프라 운영자나 대량 취급자라면, 사이버보안법 제39조(구 제37조)가 중국에서 생성된 개인정보를 중국에 저장하도록 요구합니다 — 테넌트를 어떻게 설정하든 어느 해외 Qualys 플랫폼도 충족할 수 없는 국내 저장 의무, 공유 플랫폼 중 어느 것도 중국 땅에 있지 않기 때문입니다. 해법은 Qualys를 “다른 리전”으로 겨누는 것이 아닙니다; 공유 클라우드가 제공하는 유일한 거처는 미국·EU·인도·캐나다·UAE·영국·호주·사우디이고, 어느 것도 중국 레지던시 의무를 해결하지 않습니다.
그것을 해결하는 것은 보안 데이터 계층을 국내에서 돌리는 것입니다. 본토 인프라에 배포된 Qualys 자체 Private Cloud Platform이 자산 인벤토리·취약점 지도·스캔 결과·스캔 자격 증명을 중국 땅에 둡니다; 그 어플라이언스가 맞지 않는 곳에서는 라이선스받은 국내 또는 소버린 클라우드 등가물이 같은 역할을 합니다. 어느 쪽이든 귀사는 이미 서비스가 되는 리전에는 Qualys를 유지하고 중국에 머물러야 하는 것만 현지화합니다 — 프로그램 전체의 마이그레이션이 아니라, 귀사가 이미 운영하는 스택 앞단에 국내 계층을 돌리기 때문입니다.
이는 판정이 아니라 리스크 지도입니다: 별도 동의, 이전 메커니즘, 데이터 국외 이전 안전성 평가, 국내 저장, 또는 그 조합 중 무엇을 지는지는 귀사 데이터 규모, 처리자로서 귀사 역할, 그리고 스캔이 누구의 자산과 계정을 포괄하는지에 따라 달라집니다 — 그것에 의존하기 전에 법률 자문과 정리할 가치가 있습니다.
합법적 경로 — 진단, 현지화, 전송
중국 존재를 위해 취약점 관리를 돌리는 합법적 방법이 있고, 그것에는 형태가 있습니다. 먼저, 진단(map): 저희 중국 팀은 Qualys가 수집하는 것에 대한 귀사의 PIPL 노출을 살핍니다 — 중국에서 수집된 어느 자산·스캔·계정·자격 증명 데이터가 나라에 머물러야 하는지, 무엇이 합법적으로 떠날 수 있는지, 데이터 국외 이전 안전성 평가나 제39조 저장 의무가 어디서 무는지, 그리고 그 계정 뒤의 사람들이 어떤 고지와 동의를 받아야 하는지. 법적 결론은 법률 자문과 정하고; 저희는 그에 투입되는 기술 그림을 세웁니다.
그다음 현지화(localize): 저희는 보안 데이터 계층을 국내에 — 본토 배포 Private Cloud Platform이나 라이선스받은 국내 등가물에 — 세우고 통합해, 자산 인벤토리·취약점 지도·스캔 결과·스캔 자격 증명이 기본적으로 나라를 떠나는 것을 멈추게 합니다, 한편 귀사는 이미 포괄되는 리전에는 Qualys를 유지합니다. 현지화란 중국 데이터를 해외 엔드포인트로 되돌려 라우팅하는 것이 아니라 그 계층을 중국 땅에서 돌리는 것을 뜻합니다.
그다음 전송(deliver): 귀사 팀과 사용자가 실제로 닿는 중국을 향한 표면 — 관리 콘솔, 리포팅 포털, 셀프서비스 페이지 — 은 인터넷 서비스이므로 ICP 비안(备案) 의무를 지고 규정에 맞는 국내 전송이 필요합니다. 21YunBox는 그것을 국내에서 전송합니다 — 21YunBox Optimizer — 귀사가 이미 돌리는 것 앞단에, 재구축도 리플랫폼도 없이. 그 결과는 중국 사용자에게 합법적이고 규정에 맞게 돌아가는 중국 존재입니다. 저희가 결코 하지 않는 것 — 그리고 누구도 합법적으로 할 수 없는 것 — 은 중국의 데이터 국외 이전 규칙을 우회하는 경로를 귀사에게 쥐여 주는 것입니다: 21YunBox는 어떤 형태의 우회도 쓰거나 권하지 않습니다.
함께 읽기:
자주 묻는 질문
Qualys는 중국 스캔 데이터를 중국에 저장하나요?
공유 클라우드에는 아닙니다. Qualys 플랫폼 식별 페이지는 공유 플랫폼을 미국·EU·인도·캐나다·UAE·영국·호주·사우디(더하기 미국 정부 플랫폼)에 열거하고 — 중국 본토에는 없음 — 그래서 귀사 계정이 보유하는 자산 인벤토리·취약점 지도·스캔 결과·인증 스캔 자격 증명이 해외에 자리 잡습니다. 그 데이터를 중국 땅에 두는 유일한 방법은 국내에 배포된 고객 운영 Private Cloud Platform, 또는 라이선스받은 국내 등가물입니다.
중국에서 Qualys를 쓰는 것은 불법인가요?
본질적으로 아닙니다. 노출은 개인정보의 국경 간 이전이며, PIPL은 귀사가 고지하고 별도 동의를 받고 이전 메커니즘 중 하나를 충족하면 허용합니다. 국내화 의무까지 지는지는 귀사의 역할(예: 핵심정보인프라 운영자 여부)과 관련된 개인정보의 규모에 따라 달라집니다. 전면 금지가 아니라 법률 자문과 가늠할 리스크로 다루세요.
21YunBox가 우리 Qualys 설정을 중국에서 규정에 맞게 만들 수 있나요?
네. 저희 중국 팀은 귀사의 데이터 규모와 역할에 맞춰 국경 간·레지던시 노출을 지도화하고, 보안 데이터 계층을 국내에서 돌리도록 — 본토 배포 Private Cloud Platform이나 라이선스받은 소버린 등가물 — 도와 자산 인벤토리·취약점 지도·스캔 자격 증명이 중국 땅에 머물게 하며, 귀사 사용자가 닿는 중국을 향한 콘솔과 리포팅의 ICP 비안 국내 전송을 세웁니다. 귀사의 사례를 살펴보려면 문의하세요. 21YunBox는 어떤 형태의 우회도 쓰거나 권하지 않습니다.
