RSA Archer는 중국에서 작동하나요? 리스크·감사·컴플라이언스 기록, PIPL, 데이터 레지던시

중국 본토 청중에게, Archer — 전에 RSA Archer로 팔리던 통합 리스크·컴플라이언스 플랫폼 — 에 관한 질문은 콘솔이 열리느냐가 아닙니다. 열립니다. 질문은 그것이 보관하는 기록이 어디에 와서 쉬도록 허가되느냐입니다. Archer는 엔터프라이즈 리스크 등록부·통제 라이브러리와 정책 예외·감사 증거와 작업 서류·사고와 이슈 사건 파일·제3자와 벤더 리스크 평가, 그리고 그것이 추적하는 계약 안의 상대방과 서명자 상세의 기록 시스템이고 — 윤리·조사 기능이 켜진 곳에서는 식별 가능한 사람을 명명하는 보고와 사건 노트입니다. 그 모두가 개인정보이고, 그 일부는 민감합니다. Archer 자체 설명으로 그 SaaS는 미국·유럽·호주·아시아 태평양에 걸쳐 — 이후 UAE·인도·캐나다로 확장 — Amazon Web Services에서 돌며, 중국 본토 리전이 없습니다. 그러니 그 기록은 해외에 앉고, 그것은 성능 질문이기 훨씬 전에 중국 법상 데이터 레지던시·국경 간 질문입니다.

한눈에 보는 중국에서의 Archer

본토 리전이 없으니, 리스크·감사 기록이 나라를 떠난다

Archer의 지리가 성능이 그림에 들어오기 전에 두 개의 별개 질문을 정합니다. 자체 보도자료에서 회사는 “Archer SaaS is currently available in the US, Europe, Australia and throughout the Asia Pacific region”(Archer SaaS는 현재 미국·유럽·호주·아시아 태평양 전역에서 이용 가능)이고 Amazon Web Services에 세워졌다고 밝힙니다; 그 이후 특별히 “store data that must remain in-country”(국내에 남아야 하는 데이터를 저장)하기 위해 그 발자취를 UAE·인도·캐나다로 확장했습니다. 그것이 단서입니다: Archer는 한 시장의 주권 규칙이 요구하는 곳에 국내 리전을 세웁니다 — 그리고 중국 본토에는 하나도 세우지 않았습니다.

첫째, 레지던시. 귀사가 핵심정보인프라 운영자나 대량 취급자라면, 중국에서 수집된 개인정보는 PIPL 제40조와 사이버보안법 제39조(구 제37조)상 본토에 저장되어야 합니다 — 2026년 1월 1일 발효한 2025년 사이버보안법 개정이 데이터 국내화 조문을 제37조에서 제39조로 재번호했고, 실질 내용은 불변입니다. 해외 Archer 리전은 어느 지역을 고르든 그 의무를 충족할 수 없고, 중요 데이터를 나라 밖으로 옮기는 것은 애초에 허용되기 전에 CAC 데이터 국외 이전 안전성 평가를 요구할 수 있습니다.

둘째, 수출 메커니즘. 귀사 리스크·감사·사건 기록을 해외 리전에 보유하는 것은 PIPL상 개인정보의 국경 간 이전입니다: 처리자는 고지하고, 별도 동의를 받으며, 하나의 경로 — CAC 안전성 평가, CAC 표준계약, 또는 인증 — 를 통과해야 합니다(제38~40조). 좋은 거버넌스를 문서화하려고 배포한 플랫폼이 그 자체의 기록이 그다음 어디 사는지에 결부된 의무를 면제하지 않습니다.

리스크 등록부·감사 증거·사건 파일은 개인정보다 — 그 일부는 민감하다

노출은 우발적이 아니라 구조적입니다. Archer의 일은 조직이 리스크와 컴플라이언스를 어떻게 관리하는지의 단일 진실 소스가 되는 것 — 그것은 곧 설계상 개인정보를 축적한다는 뜻입니다: 리스크·통제 소유자·감사인·입증 응답자의 이름·역할·연락처; 사고와 이슈에 명명된 사람의 신원; 그리고 그것이 추적하는 제3자 계약 안에 실린 상대방·서명자 상세.

귀사가 Archer의 윤리·이슈 관리·조사 기능도 돌리는 곳에서는, 민감성이 한 단계 올라갑니다. 그 사건 기록은 식별 가능한 개인에 관한 주장을 보유하고, 금융 행위나 건강에 닿을 수 있습니다 — PIPL 제28조가 민감 개인정보로 다루는 범주로, 자체의 별도 동의·입증된 필요성·개인정보 보호 영향 평가를 요구하며, 국경을 넘을 때 강화된 주의가 필요합니다. 그러니 조직이 컴플라이언스를 돌리려 채택한 도구가 조용히 자체의 PIPL 노출을 만들 수 있습니다: 그것이 보유하는 가장 민감한 기록이 바로 해외에 와서 쉬는 것입니다. 특정 배포가 그 문턱에 닿는지는 귀사가 어느 Archer 기능을 켰고 그것이 무엇을 포착하는지에 따라 달라집니다.

노출을 좁히는 것이 문을 닫지는 않는다

진짜 레버가 있고, 쓸 가치가 있습니다 — 그러나 그것은 무엇이 넘는지 또는 어디 앉는지를 바꿀 뿐, 이전이 일어난다는 것은 아닙니다. 필드 수준 교정과 마스킹은 해외 리전에 떨어지는 개인정보가 얼마인지 줄입니다. 사건 데이터를 가명화하는 것은 나가는 것의 민감성을 낮춥니다. 가장 가까운 Archer 리전을 고르는 것은 지연을 줄입니다. Archer는 또한 “on-premises or SaaS, without a costly migration or rebuild”(값비싼 마이그레이션이나 재구축 없이 온프레미스나 SaaS)로 배포할 수 있고, 그 온프레미스나 자체 관리 옵션이 레지던시를 진정으로 옮기는 단 하나의 레버입니다 — 본토 땅에 머물러야 하는 기록을 해외 쌍이 아니라 국내에 보유하게 하기 때문입니다.

이 중 어느 것도 하지 않는 것은 해외 SaaS 리전에서 본토 존재를 만들어 내는 것입니다: 해외 지역 중에서의 리전 선택은 여전히 해외이고, 필드를 마스킹하는 것은 기록이 쉬는 나라를 바꾸지 않습니다. 레지던시와 모든 본토 제공 표면에 대한 ICP 비안 기반은 귀사가 얼마나 교정하든 영향받지 않습니다. 이는 판정이 아니라 리스크 지도입니다 — 귀사가 별도 동의·이전 메커니즘·국내 저장·CAC 안전성 평가·ICP 비안, 또는 그 조합을 지는지는 귀사 법인·데이터 규모·처리자로서의 역할·사용자가 누구인지에 따라 달라지고, 그에 기대기 전에 법률 자문과 정할 가치가 있습니다.

합법적 경로 — 진단, 현지화, 전송

귀사는 Archer를 계속 돌립니다. 21YunBox는 해외 SaaS 플랫폼이 구조적으로 할 수 없는 부분을, 귀사가 이미 돌리는 스택 앞단에 놓인 규정에 맞는 오버레이로 더합니다 — Archer를 떠나는 마이그레이션이 아니라, 그리고 엔터프라이즈 GRC 플랫폼에게 경쟁자가 아니라 그 파트너로서.

• 진단(map). 저희 중국 컴플라이언스 팀은 PIPL 국경 간·데이터 레지던시·민감 PI 의무 — 그리고 모든 CII·ICP 의무 — 를 귀사 법인·데이터 규모·사용자와 직원이 누구인지에 비추어 읽어, 귀사가 어느 Archer 기록이 노출되고 왜인지 정확히 알게 합니다.
• 현지화(localize). 본토 땅에 머물러야 하는 기록에, 저희는 동의된 국내 처리와 저장 — 귀사가 그렇게 돌리는 곳에서는 자체 호스팅이나 자체 관리 Archer 배포 포함 — 을 세워, 레지던시가 지레짐작이 아니라 원천에서 충족되게 합니다.
• 전송(deliver). 모든 중국을 향한 Archer 표면 — 리스크 포털·입증이나 정책 확인 캠페인·제3자 접수 폼·윤리 핫라인 — 은 ICP 비안 국내 전송(21YunBox Optimizer)으로, 귀사가 이미 운영하는 시스템 앞단에, 재구축도 두 번째 코드베이스도 없이 제공됩니다.

21YunBox는 어떤 형태의 우회도 쓰거나 권하지 않습니다. 결과는 귀사 중국 사용자를 위해 합법적이고 규정에 맞게 도는 Archer 설정입니다.

컴플라이언스 진단 받기 →

함께 읽기:

• 중국 ICP 비안 받는 법
• PIPL상의 국경 간 데이터 이전
• 중국 데이터 국외 이전 안전성 평가 방법
• 중국 사이버보안법 — 데이터 국내화

관련 기술

AuditBoard (now Optro)

AuditBoard (now Optro)

Diligent

Diligent

Icertis

Icertis

Ironclad

Ironclad

LogicGate Risk Cloud

LogicGate Risk Cloud

NAVEX

NAVEX