보안과 거버넌스

Msty 제품과 요금 · 글 9편

Msty 제품과 요금

이 글에서 다루는 것Msty 공식 사이트와 문서가 밝힌 보안 통제, 데이터 처리 방식, 그리고 아직 받지 않았다고 스스로 밝힌 인증을 정리합니다.

이 글의 범위

회사에서 AI 도구를 들이려면 보안 담당자가 묻는 질문이 있습니다. 데이터가 어디에 저장되는가, 무엇이 밖으로 나가는가, 누가 무엇을 쓸 수 있는가, 어떤 인증을 받았는가입니다.

이 글은 Msty 공식 사이트의 보안 페이지, Privacy & Security Q&A, 그리고 Studio 문서의 Enterprise 항목이 이 질문에 어떻게 답하는지를 모았습니다. 사이트가 밝힌 내용만 옮겼으며, 사이트가 아직 하지 못했다고 밝힌 것도 그대로 적었습니다.

먼저 확인할 것: 받지 않은 인증

공식 사이트는 다음을 분명히 적고 있습니다. 2026-10-11 확인 기준입니다.

항목	사이트가 밝힌 상태
SOC 2	정식 인증이 아직 완료되지 않음
ISO 27001	정식 인증이 아직 완료되지 않음
HIPAA	관련 주장을 하지 않음

보안 페이지는 인증이 끝나지 않았다는 사실을 다르게 보이도록 암시하지 않겠다고 적었습니다. Q&A 페이지는 이 기준들을 향해 준비하고 있으며 업계의 보안 관행을 따르고 있다고 설명합니다. 완료 예정 시기는 적혀 있지 않습니다.

기업 평가를 위해서는 현재 제품의 통제 기능, 배포 방식, 데이터 경계, 제공할 수 있는 문서를 직접 논의하겠다고 안내합니다. 인증서가 필수 조건인 조직이라면 이 점을 도입 검토 초기에 확인해야 합니다.

여섯 가지 통제 경계

보안 페이지는 통제를 여섯 영역으로 나눕니다. 페이지는 구체적인 통제가 제품과 배포 방식에 따라 다르다고 덧붙입니다.

영역	내용	관련 제품·기능
Identity	팀 SSO와 역할 기반 접근 지원	Studio Enterprise
Model access	팀과 앱이 쓸 수 있는 로컬·온라인 모델 선택	Studio 팀 설정, Nexus
Credentials	제공업체 키를 도구마다 복사하지 않고 통제된 게이트웨이에 보관	Nexus
Knowledge	승인된 맥락을 의도적으로 공유하고, 접근은 필요에 따라 부여	Studio 공유, Stack (출시 예정)
Visibility	관리 활동과 사용량 보기	감사 로그, Nexus Usage
Deployment	데스크톱, 로컬, 클라우드 연결, 고객 소유 환경 가운데 선택	제품별로 다름

사이트 첫 화면은 거버넌스 항목으로 SSO와 팀 접근, 모델과 기능 통제, 관리 감사 로그, 고객이 관리하는 저장소, 제품 원격 측정 없음, DPA를 들고 있습니다.

데이터는 어디에 있는가

Privacy & Security Q&A의 답을 정리했습니다.

제품 안의 데이터

대화, 모델, 설정, 프롬프트, 에이전트, 작업 공간 맥락, 제공업체 설정, Nexus 경로 설정은 사용자의 기기 또는 사용자가 연결한 시스템에 남습니다. Msty는 로컬 데이터를 저장하거나 접근하지 않는다고 밝힙니다.

Studio Web의 데이터

Studio Web은 브라우저에서 실행되지만 데이터는 브라우저 저장소에 로컬로 저장됩니다. Msty의 중앙 서버로 가지 않습니다. 그래서 브라우저 캐시나 저장소를 지우면 데이터가 삭제됩니다. 백업 방법은 데이터 백업과 복구에 있습니다.

밖으로 나가는 데이터

로컬에만 있다는 설명에는 중요한 예외가 있습니다. 사용자가 온라인 모델이나 외부 도구를 연결하면 그쪽으로 보낸 데이터는 기기를 떠납니다.

온라인 모델(예: 클라우드 LLM)에 보낸 대화와 맥락은 그 제공업체의 정책에 따라 처리됩니다.
웹 검색이나 외부 서비스에 연결되는 MCP 도구는 필요한 데이터를 그 서비스로 보낼 수 있습니다.

Q&A는 연결하는 외부 서비스의 개인정보 처리방침과 약관을 확인하라고 권합니다. 로컬 우선 AI의 개념은 배우기의 글들을 참고하세요.

Enterprise에서 Msty 서버에 저장되는 것

Studio 문서의 Enterprise 항목은 예외를 구체적으로 적었습니다.

데이터	저장 위치
대화	사용자 기기. Msty 서버에 저장하지 않음
공유 자원 (Knowledge Stacks, Prompts, Personas)	고객이 제공하고 관리하는 S3 호환 저장소. Msty는 접근 권한 없음
사용자, 팀, 저장소 프로필, 감사 로그 데이터	Msty 서버. 사용자·팀 관리 기능을 제공하기 위함

문서는 Msty 서버의 이 데이터를 업계 관행에 따라 보호하고 민감한 데이터는 암호화하며, Enterprise 요금제는 단일 테넌시라서 고객별 데이터를 다른 고객과 분리해 저장한다고 설명합니다.

다만 감사 로그에 대해서는 문서 안에서도 설명이 엇갈립니다. Enterprise 개요는 감사 로그 데이터가 Msty 서버에 저장된다고 적었고, Audit Log 항목은 로그가 각 사용자 기기에 로컬로 저장된다고 적었습니다. 도입할 때 Msty에 직접 확인해야 할 부분입니다.

원격 측정과 추적

대상	사이트의 설명
Studio, Go, Nexus 제품	사용 정보나 충돌 보고를 보내지 않음. 사용자를 식별하거나 활동 데이터를 수집하지 않음
msty.ai 웹사이트	One Dollar Stats로 방문량을 측정. 집계되고 익명화된 데이터
업데이트	설치 전에 검증하며, 추적이나 데이터 수집 장치를 포함하지 않음
네트워크 통신	클라우드 모델과 외부 서비스를 포함해 HTTPS/TLS 사용

제품에 원격 측정이 없기 때문에 사용자 의견은 Discord 커뮤니티로 받는다고 합니다.

결제와 계정 정보

계정, 구독, 결제는 Lemon Squeezy와 Stripe가 처리하며 결제 정보도 이들이 보관합니다. Msty는 자사 서버에 결제 정보를 저장하지 않는다고 밝힙니다. 계정 데이터 삭제는 Lemon Squeezy 또는 Stripe에 요청합니다. 로컬 데이터는 사용자가 브라우저나 파일 시스템에서 직접 지웁니다.

계약 문서

개인정보 처리방침, 이용약관: 사이트에 공개되어 있습니다.
DPA (데이터 처리 계약): 있으며, Msty에 연락해 요청합니다.
하위 처리자 목록: Q&A에는 결제를 맡는 Lemon Squeezy와 Stripe 외의 목록이 없습니다. 더 자세한 내용은 DPA를 요청해 확인해야 합니다.

관리자가 쓸 수 있는 통제

실제 화면에서 설정하는 통제는 다음 글에서 다룹니다.

통제	내용	글
사용자 역할	Owner, Admin, User	사용자 관리
팀별 기능·모델 제한	팀이 쓸 수 있는 기능, 플랫폼, 온라인 제공업체 선택. 온라인 모델을 전혀 허용하지 않을 수도 있음	팀 관리
고객 관리 저장소	S3 호환 저장소에 공유 자원 보관	저장소와 공유
감사 로그	사용자·팀 관리 행위 기록	감사 로그
작업 공간 잠금	암호 문구로 작업 공간과 키 보호 (실험 기능)	작업 공간 잠금과 비밀값 암호화
Vapor 모드	대화를 기록에 남기지 않음	작업 모드

Nexus의 토큰, 키 보관, 네트워크 공개 방식은 Msty Nexus 자세히 보기에, Go의 폴더·네트워크 통제는 Msty Go 자세히 보기에 있습니다.

도입 검토 때 물어볼 것

사이트 내용을 바탕으로, 보안 검토에서 Msty에 직접 확인하면 좋은 질문을 정리했습니다.

SOC 2와 ISO 27001 인증의 현재 진행 단계와 예상 시기.
DPA 사본과 하위 처리자 목록.
Enterprise에서 Msty 서버에 저장되는 사용자·팀 데이터의 저장 지역과 보관 기간. 사이트에는 적혀 있지 않습니다.
감사 로그의 저장 위치, 기록되는 사건 목록, 내보내기 방법.
우리 조직이 쓰려는 온라인 모델 제공업체와 MCP 도구로 어떤 데이터가 나가는지.

보안 페이지는 보안 관련 질문을 일찍 가져오라고 권하며, 문의 양식의 Start a security review로 연결합니다.