SonarQube는 중국에서 작동하나요? 데이터 레지던시, ICP, 국경 간 규칙
SonarQube는 귀사 소스 코드와 그 SAST 발견 — 귀사 자신의 취약점 지도 — 를 지닙니다. 해외에서 돌리면, 그 보안 민감 데이터와 귀사 커밋 속 PII가 해외에 머뭅니다: 도달 가능성이 아니라 PIPL 국경 간·데이터 국내화 질문. SonarQube Server는 자가 호스팅(국내에 유지); SonarQube Cloud는 중국 본토 리전이 없는 SaaS.
SonarQube는 중국에서 작동하나요?
중국 엔지니어링 팀에게 질문은 SonarQube의 대시보드가 상하이에서 로드되느냐가 아니라 — 귀사 소스 코드와 그 분석 발견이 어디 머물도록 허가되느냐입니다. SonarQube는 귀사 자신의 코드 약점의 집약적 지도 — 보안 민감 데이터셋 — 를, 커밋과 픽스처에 비밀과 개인 데이터를 일상적으로 지닌 소스에서 계산합니다. 해외 SonarQube Cloud 테넌트에서 돌리면, 그 코드·그 발견·귀사 기여자의 신원이 해외에 앉습니다.
그것은 그것을 PIPL 국경 간 이전(제38~40조)으로, 그리고 핵심정보인프라 운영자나 대량 취급자에게는 사이버보안법의 제39조(구 제37조) 아래 국내 저장 의무로 만듭니다 — 그중 무엇도 도달 가능성 검사가 볼 수 없습니다. SonarQube Server가 자가 호스팅이므로, 합법적인 레버가 있습니다: Server를 국내 인프라에서 돌려 코드와 발견이 상주하게 하세요. SonarQube Cloud는 EU와 US 리전에서만 제공되는 SaaS입니다.
21YunBox는 귀사가 이미 돌리는 SonarQube에 대한 컴플라이언스 오버레이이자 파트너입니다 — 저희는 그것이 무엇을 지니는지 지도화하고, 귀사가 규제받는 코드와 발견을 국내에 유지하도록 돕고, 어떤 중국 지향 개발자 표면이든 규정에 맞게 전송합니다. 저희는 어떤 종류의 우회도 결코 사용하거나 제안하지 않습니다; 구체적인 사항은 법무와 확인하세요.
컴플라이언스 스냅샷
- ! 해외에서 돌리면, 귀사 소스 코드와 그것을 지닌 컨트롤 플레인이 본토를 떠납니다
- ! SAST 발견은 귀사 자신의 취약점을 지도화합니다 — 해외에 지녀진 보안 민감 데이터셋
- ! 코드 + 커밋 속 PII가 이것을 도달 가능성이 아니라 PIPL 제38~40조 국경 간 이전으로 만듭니다
- ! CIIO / 대량 취급자: CSL 제39조(구 제37조) 아래 국내 저장
- ! SonarQube Cloud는 SaaS, EU와 US 리전만 — 중국 본토 리전 없음
- ✓ SonarQube Server는 자가 호스팅 — 국내에서 돌려 코드와 발견을 상주시키세요
SonarQube 공식 문서가 중국에 대해 말하는 것
| 사실 | 1차 출처 |
|---|---|
| SonarQube Server는 자가 관리형입니다 — 귀사가 어디서 돌지, 데이터가 어디 살지 고릅니다. Sonar 자체 문서는 밝힙니다: “Self-managed: you install, host, upgrade, back up, and secure the instance yourself (on-prem or in your own cloud).”(자가 관리형: 귀사가 인스턴스를 직접 설치·호스팅·업그레이드·백업·보안(온프레미스나 자체 클라우드).) 같은 페이지는 Server로 “You fully control where data lives and how infrastructure meets your regulatory requirements”(데이터가 어디 사는지와 인프라가 규제 요건을 어떻게 충족하는지 완전히 통제)한다고 덧붙이고, “if you need strict data residency”(엄격한 데이터 레지던시가 필요하면) SonarQube Server를 고르라 권고합니다. | Sonar documentation, “SonarQube Server vs SonarQube Cloud” (docs.sonarsource.com), 2026-10-12 열람 |
| SonarQube Cloud는 SaaS로, EU 리전과 US 리전에서만 호스팅됩니다 — 중국 본토 리전 없음. Sonar는 SonarQube Cloud(구 SonarCloud)를 “the SaaS delivery of the SonarQube platform”(SonarQube 플랫폼의 SaaS 전달)로 묘사하고, 그 “Choosing your region” 가이드는 유럽 리전(sonarcloud.io, 프랑크푸르트 AWS)과 미국 리전(sonarqube.us, 노던 버지니아 AWS)만 제공합니다; 리전은 가입 시 선택되고 나중에 바꿀 수 없습니다. | Sonar, SonarQube Cloud product page and “Choosing your region” documentation (sonarsource.com / docs.sonarsource.com), 2026-10-12 열람 |
| 중국에서 수집된 코드와 PII를 해외 테넌트로 보내는 것은 국경 간 이전입니다. 커밋·이슈·픽스처가 이름·이메일이나 실제 기록을 지니는 곳에서, 그것을 본토 밖으로 반출하는 것은 PIPL 제38~40조를 작동시킵니다: 고지, 별도 동의, 그리고 하나의 이전 메커니즘 — CAC 안전성 평가, CAC 표준계약, 또는 인증. | 중화인민공화국 개인정보 보호법 제38~40조 — 21YunBox gov-doc 요약, 2026-10-12 열람 |
| CIIO와 대량 취급자는 중국에서 수집된 데이터를 국내에 저장해야 합니다. 사이버보안법의 제39조(구 제37조 — 2026-01-01 발효한 2025년 개정으로 재번호, 실질 불변)는 중국에서 생성된 개인정보와 중요 데이터를 본토에 저장할 것을, 어떤 반출 전에도 안전성 평가와 함께 요구합니다; 해외 SaaS 테넌트는 이를 충족할 수 없습니다. | 중화인민공화국 사이버보안법 제39조(구 제37조) — 21YunBox gov-doc 요약, 2026-10-12 열람 |
21YunBox 컴플라이언스 팀이(가) 2026년 10월 12일에 출처를 확인했습니다.
중국 본토 엔지니어링 팀에게, SonarQube에 대해 먼저 정할 것은 질문이 대시보드가 상하이에서 빨리 그려지느냐, 또는 스캐너가 서버에 닿을 수 있느냐가 아니라는 것입니다. SonarQube는 코드 품질·정적 분석 플랫폼이고, 그것이 지니는 것은 유별나게 집약적입니다: 귀사 소스 코드의 전체 스냅샷 — 그 자체로 영업 비밀이고, 설정·픽스처·테스트 기록 안에 임베드된 자격증명·토큰·개인 데이터를 일상적으로 지님 — 과, 그 코드에서 계산된 분석 발견. 그 발견이 특유의 부분입니다. SonarQube 프로젝트는 사실상 귀사 자신의 소프트웨어 약점의 상세한 지도입니다: 취약점, 보안 핫스팟, 귀사 방어가 가장 얇은 정확한 파일과 라인. 해외 테넌트에서 돌리면, 귀사가 어디서 취약한지의 그 지도 — 그것이 계산된 코드와 모든 기여자의 신원과 함께 — 가 해외에 와서 멈춥니다. 그 모두가 어디 살도록 허가되느냐가 진짜 질문이고, 그것은 두 모양이 있습니다: SonarQube Server, 귀사가 고르는 인프라에 설치하는 자가 관리형 소프트웨어, 그리고 SonarQube Cloud, Sonar가 고정된 해외 리전 집합에 호스팅하는 SaaS.
SonarQube를 중국에서 한눈에
| 무엇이 결정하는가 | Sonar 자체 표현으로 — 그리고 중국의 법으로 |
|---|---|
| 그것이 지니는 것 — 코드와 취약점 지도 | SonarQube 프로젝트는 귀사 소스 코드 더하기 그것에서 계산된 발견입니다. 코드는 영업 비밀이고 설정·픽스처·테스트 기록에 자격증명·토큰·개인 데이터를 일상적으로 지닙니다. 발견이 더 날카로운 자산입니다: 귀사 자신의 소프트웨어 약점의 집약적 지도 — 취약점, 보안 핫스팟, 귀사가 취약한 정확한 라인. 모든 기여자의 신원을 더하면 귀사는 IP·보안 민감 데이터·개인 데이터를 한곳에 둡니다. |
| 두 배치 모양 | SonarQube Server는 자가 관리형입니다: Sonar 표현으로, “you install, host, upgrade, back up, and secure the instance yourself (on-prem or in your own cloud)”(귀사가 인스턴스를 직접 설치·호스팅·업그레이드·백업·보안(온프레미스나 자체 클라우드)), 그리고 “You fully control where data lives”(데이터가 어디 사는지 완전히 통제). SonarQube Cloud(구 SonarCloud)는 SaaS — “fully hosted and operated by Sonar”(Sonar가 전적으로 호스팅·운영) — 로 유럽 리전(sonarcloud.io, 프랑크푸르트 AWS)과 미국 리전(sonarqube.us, 노던 버지니아 AWS)에서만 제공됩니다. 중국 본토에는 리전이 없고, 리전은 나중에 바꿀 수 없습니다. |
| 발견이 특유의 두 번째 절반 | 도달 가능성 검사가 결코 보지 못하는 절반. SonarQube의 출력은 브로슈어가 아닙니다 — 그것은 귀사의 취약한 표면의 목록으로, 그 자체가 비밀과 개인 데이터를 지닌 코드에서 계산됩니다. 해외 Cloud 테넌트에 지녀지면, 그 취약점 지도와 그 뒤의 소스가 매 근무일 해외에 머뭅니다. 페이지 로드 테스트는 그 데이터가 어디 사는지 볼 수 없고, 화면이 그려지는지만 봅니다. |
| 레지던시 & 국경 간 | 중국 팀의 코드와 그 커밋 속 PII를 해외 테넌트에 푸시하는 것은 PIPL 제38~40조상 국경 간 이전(数据出境)입니다 — 고지, 별도 동의, 그리고 하나의 이전 메커니즘(CAC 안전성 평가, CAC 표준계약, 또는 인증). 핵심정보인프라 운영자나 대량 취급자에게, 사이버보안법 제39조(구 제37조)는 중국에서 수집된 개인정보를 본토에 저장할 것을 요구합니다 — 해외 SaaS 테넌트가 충족할 수 없는 것. |
| 민감 PI & ICP 문 | 커밋·이슈·픽스처가 정부 ID·금융이나 건강 기록을 지니는 곳에서, 그 콘텐츠는 PIPL 제28~29조상 민감 개인정보일 수 있습니다 — 귀사 저장소가 실제로 지니는 것에 비추어 확인할 리스크. 그리고 귀사가 SonarQube 앞에 세우는 어떤 공개, 중국 지향 표면이든 — 개발자 포털, 품질 대시보드, 문서 — 는 본토 호스팅에 묶인 ICP 비안(备案) 의무를 진 인터넷 정보 서비스입니다. |
| 도달 가능성은 축이 아닙니다 | 서버가 본토에서 응답하느냐는 운영적이지 컴플라이언스 질문이 아닙니다. 그것을 결정하는 것은 코드와 발견이 어디 사느냐입니다. SonarQube Server가 자가 호스팅이므로, 합법적인 레버가 있습니다: Server를 국내 인프라에서 돌려 코드와 발견이 상주하게 하고, 어떤 중국 지향 개발자 표면이든 규정에 맞게 전송 — 21YunBox Optimizer — 귀사가 이미 돌리는 것 앞단에서. |
그것이 실제로 지니는 것 — 귀사 코드와 그 약점의 지도
SonarQube는 브로슈어 사이트가 아닙니다; 그것은 민감한 두 가지의 동시 작업 거처입니다. 첫째는 귀사 소스 코드입니다: 분석을 위해 당겨진 전체 스냅샷, 그 자체가 영업 비밀이고, 임베드된 자격증명·API 키·토큰, 더해 설정 파일·픽스처·테스트 기록 안의 개인 데이터를 일상적으로 지님. 둘째는 SonarQube가 그 코드에서 계산하는 것 — 그리고 이것이 평범한 저장소와 다른 지점입니다. 그 분석은 귀사 자신의 소프트웨어 약점의 집약적 지도를 생성합니다: 버그, 코드 스멜, 그리고 무엇보다 취약점과 보안 핫스팟을, 정확한 파일과 라인에 위치시켜. SonarQube 프로젝트는 독자에게 귀사 방어가 어디 얇은지 정확히 말해줍니다. 해외의 잘못된 손에서, 그것은 단지 지식재산이 새는 것이 아닙니다 — 그것은 준비된 표적 목록입니다.
커밋·티켓·픽스처가 사람을 이름 짓거나 묘사하는 곳이면, 그것은 중국 개인정보 보호법상 개인정보이고, 정부 ID·금융이나 건강 데이터를 포함하는 곳이면 민감 개인정보일 수 있습니다. 그 코드·발견·기여자 신원의 결합된 저장소가 본토에 사는지 해외에 사는지는 귀사가 어느 SonarQube를 돌리고 어디서 돌리느냐로 결정됩니다.
문들: 레지던시, 국경 간, 민감 PI, ICP
중국 팀을 해외 SonarQube Cloud 테넌트에 겨누면 첫 문이 열립니다. 분석을 위해 푸시된 코드, 그것에서 도출된 발견, 그리고 그 주위의 기여자 신원이 해외에 머물고, 그것이 국경 간 이전(数据出境)으로 만듭니다. 의무는 Sonar가 아니라 취급자인 귀사에게 떨어집니다: PIPL 제13조와 제23조는 데이터를 수집할 고지와 근거를 요구하고, 제38~40조는 그것을 해외로 보낼 이전 메커니즘 — CAC 안전성 평가, CAC 표준계약, 또는 인증 — 을, 해외 이전을 위한 별도 동의와 함께 요구합니다.
일부 취급자에게, 저장은 메커니즘의 문제가 전혀 아닙니다 — 그것은 국내에 머물러야 합니다. 귀사 조직이 핵심정보인프라를 운영하거나, 개인정보를 대규모로 취급한다면, 사이버보안법의 제39조(구 제37조 — 2026년 1월 1일 발효한 2025년 사이버보안법 개정이 데이터 국내화 조항을 제37조에서 제39조로 재번호, 실질 불변)는 중국에서 생성된 개인정보와 중요 데이터를 본토에 저장하고, 어떤 반출 전에도 안전성 평가를 할 것을 요구합니다. 중국 본토 리전이 없는 해외 SaaS 테넌트는 구조적으로 그 의무를 충족할 수 없습니다.
더 조용하고 날카로운 문은 데이터의 민감성입니다. 코드나 그 픽스처가 실제 정부 ID·금융 기록이나 건강 데이터를 지니는 곳에서, 그 콘텐츠는 PIPL 제28~29조상 민감 개인정보일 수 있고, 그것은 구체적 목적·높아진 필요성·별도 동의를 요구합니다. 그리고 세 번째 문은 발행에서 따릅니다: 귀사가 SonarQube 앞에 공개, 중국 지향 표면 — 개발자 포털, 공유 품질 대시보드, 또는 귀사 본토 사용자가 닿는 문서 — 을 노출하는 순간, 그 표면은 인터넷 정보 서비스이고 본토 호스팅 리소스에 묶인 ICP 비안(备案) 의무를 집니다.
왜 도달 가능성 검사가 이것을 놓치는가
중국 안의 탐침은 SonarQube 대시보드가 로드되는 것, 또는 스캐너가 리포트를 제출하는 것을 지켜보고 “작동한다”고 결론지을 수 있습니다. 그 답은 핵심을 벗어납니다. 컴플라이언스 노출은 화면에 있지 않습니다 — 그것은 정지 데이터와 그것이 어떻게 이동하느냐에 있습니다: 소스 스냅샷, 그것에서 계산된 취약점 발견, 그리고 기여자 신원, 모두 Sonar가 EU나 US로 — 결코 중국 본토가 아니라 — 열거하는 리전의 해외 테넌트에 앉은 채로. 페이지 로드 테스트는 그중 무엇도 측정하지 않습니다. 그것은 데이터가 어느 리전에 사는지, 별도 동의가 취해졌는지, 이전 메커니즘이 갖춰졌는지, 또는 중국 지향 대시보드가 ICP 비안이 필요한지 볼 수 없습니다.
이런 종류의 플랫폼에 특유한 두 번째 함정이 있습니다. 해외 서버를 그저 도달 가능하게 만드는 것 — 중국 안의 자가 호스팅 스캐너나 CI 러너를 그것에 겨누는 것조차 — 은 규제받는 데이터를 하나도 국내로 옮기지 않습니다. 스캐너는 귀사 코드를 읽고 결과를 제출할 뿐입니다; 프로젝트, 전체 소스 스냅샷, 이슈 이력, Quality Gate 발견은 여전히 Server나 Cloud 테넌트가 도는 곳 어디든 삽니다. 컨트롤 플레인이 데이터를 지니는 것이고, 러너는 컨트롤 플레인이 아닙니다. 그것이 질문의 경쟁자가 답할 수 없는 두 번째 절반입니다 — 그리고 그것이 규제받는 코드와 발견을 그저 도달 가능하게가 아니라 국내에 유지하는 것이 답인 이유입니다.
합법적인 경로 — 지도화, 현지화, 전송
중국 본토 팀을 위해 SonarQube를 돌리는 규정에 맞는 길이 있고, SonarQube Server가 자가 호스팅이므로 그것은 귀사가 이미 쓰는 플랫폼 위에 앉습니다 — 재구축 없고, SonarQube를 떠나는 마이그레이션 없이.
먼저 지도화(map): 저희 중국 컴플라이언스 팀은 귀사 SonarQube 발자국이 무엇을 지니는지 — 분석을 위해 당겨진 소스 저장소, 취약점·보안 핫스팟 발견, 설정·픽스처에 따라오는 비밀과 개인 데이터, 기여자 신원, 그리고 어떤 중국 지향 대시보드나 포털이든 — 목록화하고, 귀사가 오늘 어느 SonarQube를 돌리고 그 컨트롤 플레인이 어디 머무는지(해외 Cloud 리전, 또는 Server 인스턴스), 그리고 각 흐름이 기대는 동의·레지던시 근거를 확립합니다. 저희는 기술 그림을 짓고; 법적 결론은 법무와 정합니다.
그다음 현지화(localize): SonarQube Server를 국내 인프라에서 돌려 코드·발견·비밀이 본토 땅에 와서 멈추게 하고, 프로젝트와 그 분석 이력을 해외 Cloud 테넌트가 아니라 상주시키고, 제13조/제23조 고지와 별도 동의를 얻고, 픽스처의 어떤 정부 ID나 금융 데이터든 민감 개인정보로 다루고, 애초에 코드베이스에 들어가는 개인 데이터를 최소화하세요. 현지화는 합법적인, 국내 SonarQube를 세우는 것을 뜻합니다 — 결국 코드를 해외로 보내는 경로도, 어떤 종류의 우회도 아니라.
그다음 전송(deliver): 플랫폼 앞의 어떤 공개, 중국 지향 표면이든 — 개발자 포털, 품질 대시보드, 또는 귀사 본토 사용자가 닿는 문서 — 는 인터넷 정보 서비스라, ICP 비안 의무를 지고 규정에 맞는 국내 전송이 필요합니다. 21YunBox는 그것을 국내에서 전송합니다 — 21YunBox Optimizer — 귀사가 이미 돌리는 것 앞단에서, 그래서 귀사 중국 사용자를 합법적으로, 규정에 맞게 서비스합니다. 21YunBox는 어떤 종류의 우회도 결코 사용하거나 제안하지 않습니다 — 저희는 법이 머물러야 한다고 하는 것을 국내에 유지하고, 나머지를 본토 안에서 규정에 맞게 전송하며, 개인정보나 소스 코드를 몰래 국경 너머로 결코 옮기지 않습니다. 21YunBox는 귀사가 이미 돌리는 SonarQube에 대한 컴플라이언스 오버레이이자 파트너이지, 그 경쟁자가 아닙니다.
이 중 무엇도 SonarQube가 중국에서 “차단”되거나 “불법”이라는 판정이 아닙니다. 그것은 레지던시·동의 지도이고, 어느 의무가 귀사 사례를 무는지는 귀사 법인, 중국 법상 귀사 역할, 귀사 데이터 볼륨, 그리고 귀사 저장소와 발견이 실제로 지니는 것에 달려 있습니다 — 귀사 중국 팀의 코드와 그 취약점 지도가 그것에 기대기 전에 구체적인 사항을 법률 자문과 정할 가치가 있습니다.
함께 읽기:
자주 묻는 질문
SonarQube는 중국에서 차단되나요?
소비자 앱이 차단될 수 있는 방식으로는 아닙니다. 컴플라이언스 질문은 대시보드가 본토에서 로드되느냐가 — 그것은 귀사 소스 코드와 그 분석 발견이 어디 머무느냐입니다. SonarQube Server는 자가 호스팅이라, 그것을 국내 인프라에서 돌려 그 데이터를 상주시킬 수 있습니다; SonarQube Cloud는 EU와 US 리전에서만 제공되는 SaaS라, Cloud 테넌트는 귀사 코드와 발견을 해외에 유지합니다. 합법적인 경로가 데이터에 직접 닿으므로, 우회할 것이 없고, 저희는 우회를 결코 사용하거나 제안하지 않습니다. 구체적인 사항은 법무와 확인하세요.
중국 안에서 자가 호스팅 SonarQube 스캐너나 CI 러너를 돌리면 규정을 준수하게 되나요?
그것만으로는 아닙니다. 스캐너는 귀사 코드를 읽고 결과를 SonarQube 서버에 제출할 뿐입니다; 프로젝트, 전체 소스 스냅샷, 이슈 이력, Quality Gate 발견은 모두 그 서버 — 컨트롤 플레인 — 가 도는 곳 어디든 삽니다. 서버가 해외 SonarQube Cloud 테넌트라면, 중국 기반 스캐너나 러너를 그것에 겨눠도 여전히 코드와 발견을 국경 너머로 보냅니다. 데이터를 상주시키는 것은 SonarQube Server 자체를 국내 인프라에서 돌리는 것입니다.
우리 소스 코드와 SAST 발견을 SonarQube Cloud에 보내는 것이 데이터 레지던시 문제인가요?
그럴 수 있습니다. 귀사 코드는 커밋·설정·픽스처에 비밀과 개인정보를 지닐 수 있고, SonarQube의 발견은 귀사 자신의 취약점의 집약적 지도입니다 — 둘 다 민감. 그것을 해외 SonarQube Cloud 테넌트(EU나 US)에 보내는 것은 먼저 지식재산·기밀성 문제이고, 데이터가 개인정보를 포함하는 곳에서는 PIPL 국경 간 이전(제38~40조)입니다. 그것이 “중요 데이터”이거나 귀사가 핵심정보인프라를 운영한다면, 사이버보안법의 제39조(구 제37조) 국내 저장 의무가 적용됩니다. 21YunBox는 귀사가 노출을 진단하고 SonarQube Server를 국내에서 돌리도록 돕습니다 — 구체적인 사항은 법무와 확인하세요.
