대기업은 어떻게 다양한 규정에 따른 백업 규정 준수를 보장할 수 있을까?

다양한 산업 분야와 관할 구역에서 사업을 운영하는 대기업은 SOX , HIPAA , PCI DSS, GDPR 등 여러 규정에 따라 동시에 백업 관련 규정 준수 요건을 충족해야 합니다. 각 규정은 특정 데이터 보호, 보존 및 감사 기능을 요구합니다. 규제 환경에서 500대 이상의 서버를 관리하는 조직은 모순되거나 중복되는 제어 기능을 만들지 않고 모든 관련 요건을 충족하는 백업 시스템을 구현해야 합니다.

기업이 여러 백업 규정 준수 요구 사항을 동시에 충족해야 하는 이유는 무엇일까요?

현대 조직은 단일 규제 프레임워크 내에서 운영되는 경우가 드뭅니다. 여러 규제를 동시에 준수해야 하는 현실은 여러 운영 요인에서 비롯됩니다.

• 다양한 산업에 걸친 운영: 신용 카드를 처리하는 의료 서비스 제공자는 두 가지 모두 준수합니다. HIPAA 및 PCI DSS
• 글로벌 운영: 다국적 기업은 유럽에서 GDPR, 캐나다에서 PIPEDA, 캘리포니아에서 CCPA에 직면합니다.
• 상장기업 요건: SOX 섹션 404는 산업 수직에 관계없이 적용됩니다.
• 정부 계약: 연방 계약자는 FedRAMP, NIST 800-171 또는 CMMC 요구 사항을 충족해야 합니다.
• 업계별 의무사항: 금융 서비스 부문에 FINRA, Basel III 추가, 교육 부문에 FERPA 추가

Medicare를 수용하고, 신용카드를 처리하고, 여러 주에서 운영하는 의료 기관은 유럽 환자를 대상으로 HIPAA, PCI DSS, 주별 위반 통지법, GDPR을 동시에 준수할 수 있습니다. 각 기관의 백업 요구 사항은 중복되지만 동일하지는 않습니다.

데이터 규제 요약

규제	주요 초점	보존 요건	키 백업 제어
SOX(사베인스-옥슬리법)	재정적 성실성	7년 재무 기록	불변성, 감사 추적, 액세스 제어
HIPAA	건강 정보 개인정보 보호	6년간의 진료 기록	암호화, 액세스 로그, 비즈니스 파트너 계약
PCI DSS	결제 카드 보안	1년 거래 데이터	네트워크 분할, 암호화, 분기별 감사
GDPR	개인 데이터 보호	사업이 정당화되는 한	데이터 거주권, 삭제 권리, 침해 통지
페드램	연방 클라우드 보안	기관별	FIPS 140-2 암호화, 지속적인 모니터링, 미국 거주

모든 규정에 공통적으로 적용되는 요건은 무엇인가?

다양한 초점에도 불구하고 대부분의 데이터 백업 규정 준수 프레임워크는 다음과 같은 기본적인 백업 요구 사항을 공유합니다.

1. 데이터 보호 및 암호화

거의 모든 규정은 민감한 데이터에 대한 암호화를 요구합니다.

• 정지 상태 암호화: 저장된 백업 데이터에 대한 AES-256 암호화(HIPAA, PCI DSS, GDPR, FedRAMP)
• 전송 중 암호화: 백업 및 복구 중 데이터 전송을 위한 TLS 1.2+(모든 주요 프레임워크)
• 암호화 키 관리: 액세스 제어(SOX, PCI DSS)를 통해 암호화된 데이터와 키 저장소를 분리합니다.
• 알고리즘 요구 사항: 정부 및 금융 서비스(FedRAMP, SOX)를 위한 FIPS 140-2 검증 암호화

Zmanda Pro 와 같은 솔루션은 여러 규제 요건을 동시에 충족하는 규정 준수 암호화를 제공합니다.

2. 접근 제어 및 인증

규정에서는 일반적으로 권한이 있는 직원에게만 백업 액세스를 제한하도록 요구합니다.

• 역할 기반 접근 제어(RBAC): 직무 기능(모든 규정)에 따른 세분화된 권한
• 다단계 인증: 관리 액세스에 필요함(PCI DSS, FedRAMP, 점점 더 HIPAA)
• 최소 권한 원칙: 사용자에게 최소한의 필수 액세스 권한(SOX, HIPAA, GDPR)이 부여됨
• 권한 있는 액세스 관리: 권한이 상승되면 승인 워크플로(SOX, FedRAMP)가 필요합니다.

3. 감사 추적 및 로깅

포괄적인 로깅을 통해 백업 규정 준수 검증 및 사고 조사가 가능합니다.

• 백업 작업 로그: 성공/실패 상태, 데이터 볼륨, 타이밍(모든 규정)
• 접근 로그: 누가 언제 어떤 데이터에 접근했는가(SOX, HIPAA, GDPR, PCI DSS)
• 구성 변경 사항: 정책 수정 사항의 감사 추적(SOX, FedRAMP)
• 복구 작업: 복구 활동의 전체 기록(HIPAA, SOX)
• 로그 보존: 일반적으로 규정에 따라 1~7년
• 로그 불변성: 감사 기록 ​​변조 방지(SOX, PCI DSS)

4. 데이터 무결성 검증

규정에서는 백업이 손상되지 않았음을 입증해야 합니다.

• 체크섬 검증: 저장 중 데이터가 변경되지 않았는지 확인하세요(SOX, HIPAA)
• 정기적인 복구 테스트: 백업이 복구 가능한 상태로 유지되는지 분기별 또는 연간 검증(모든 프레임워크)
• 백업 성공 보고: 실패에 대한 자동 검증 및 알림(PCI DSS, SOX)

SOX 요구 사항은 엔터프라이즈 백업에 어떤 영향을 미칩니까?

사베인스-옥슬리법은 모든 상장 기업에 적용되며 재무 데이터 무결성과 내부 통제에 중점을 둡니다. 규제 대상 기업의 백업 규정 준수를 위해서는 SOX 요건을 이해하는 것이 필수적입니다.

섹션 302: 기업의 책임

임원은 재무제표의 정확성을 인증해야 합니다. 백업 시스템은 다음을 통해 이를 지원합니다.

• 무단 변경을 방지하는 재무 기록의 변경 불가능한 사본 유지
• 변조가 발생하지 않았음을 보여주는 감사 추적 제공
• 과거 재무 상태를 재구성하기 위한 특정 시점 복구 활성화

섹션 404: 내부 통제 평가

조직에서는 백업 절차를 포함한 IT 제어를 문서화하고 테스트해야 합니다.

• 문서화된 백업 정책: 백업 빈도, 보존, 테스트에 대한 서면 절차
• 변경 제어 : 백업 정책 수정에 대한 공식 승인 프로세스
• 업무 분리: 다른 개인이 복원을 수행하는 대신 백업을 구성합니다.
• 정기 테스트: 문서화된 결과를 포함한 분기별 복구 테스트

보존 요건

SOX는 재무 기록 및 지원 문서에 대해 7년간 보관을 의무화했습니다.

• 총계정원장 데이터 및 거래 세부 정보
• 매출채권 및 지급채권 기록
• 감사 작업 서류 및 지원 문서
• 재정 문제에 관한 이메일 및 커뮤니케이션

금융 시스템을 보유한 조직의 경우, 변경 불가능한 백업 기능을 구현하면 SOX 무결성 요구 사항을 충족할 수 있습니다.

백업에 적용되는 HIPAA 규정 준수 요구 사항은 무엇입니까?

건강보험 이동성 및 책임법은 특정 기술적 보호 장치를 통해 환자 건강 정보를 보호합니다.

보안 규칙 요구 사항

행정적 안전장치:

• 백업 데이터에 대한 위협을 식별하는 위험 분석
• 백업 절차 및 데이터 처리에 대한 인력 교육
• 백업 공급업체와의 비즈니스 제휴 계약(SaaS 백업에 필수)
• 백업 및 재해 복구 절차를 포함한 비상 계획

물리적 안전장치:

• 온프레미스 백업 인프라에 대한 시설 접근 제어
• 무단 백업 접근을 방지하는 워크스테이션 보안
• 백업 미디어 위치 및 폐기를 추적하는 장치 및 미디어 컨트롤

기술적인 보호 장치:

• 보호된 건강 정보(PHI)를 보거나 복원할 수 있는 사람을 제한하는 액세스 제어
• PHI를 포함하는 백업 시스템에 대한 모든 액세스를 기록하는 감사 제어
• 무단 PHI 수정을 감지하는 무결성 제어
• 백업 저장소 및 전송 중 PHI 암호화

침해 통지 요구 사항

HIPAA는 500명 이상에게 영향을 미치는 PHI 침해를 발견한 후 60일 이내에 신고하도록 규정하고 있습니다. 백업 규정 준수 시스템은 다음을 준수해야 합니다.

• 백업 시스템은 승인되지 않은 액세스 시도를 감지하고 경고해야 합니다.
• 감사 로그에는 위반 조사에 대한 증거가 제공되어야 합니다.
• 백업 데이터를 암호화하면 암호화된 데이터에 액세스하는 경우 조직이 알림을 받지 않아도 됩니다(암호화는 안전한 항구 역할을 함).

보유 기간

HIPAA는 의료 기록 및 HIPAA 문서에 대해 6년간 보관을 의무화합니다.

• 전자 건강 기록 및 지원 문서
• HIPAA 정책, 절차 및 교육 기록
• 감사 로그 및 액세스 기록

의료기관은 HIPAA를 준수하는 백업을 위해 Zmanda의 의료 데이터 보호 기능을 검토해야 합니다.

PCI DSS는 백업 규정 준수 및 보안에 어떤 영향을 미치나요?

결제 카드 산업 데이터 보안 표준은 12가지 요구 사항을 통해 카드 소지자 데이터를 보호합니다.

요구 사항 3: 저장된 카드 소지자 데이터 보호

• 카드 소지자 데이터 저장을 최소화하세요(필요한 것만 저장하세요)
• 강력한 암호화를 사용하여 기본 계좌 번호(PAN) 암호화
• 암호화, 잘림 또는 토큰화를 통해 PAN을 읽을 수 없게 만듭니다.
• 분할된 지식과 이중 제어로 암호화 키를 보호합니다.

요구 사항 10: 네트워크 액세스 추적 및 모니터링

백업 시스템은 포괄적인 로깅을 구현해야 합니다.

• 백업 및 복원 작업을 포함하여 카드 소지자 데이터에 대한 모든 액세스를 기록합니다.
• 백업 시스템에 대한 관리 작업 기록
• 최소 1년 동안 감사 로그를 보관하고 3개월은 즉시 접근 가능
• 무단 수정으로부터 로그 보호(한 번 쓰기 저장)
• 보안 이벤트에 대한 로그를 매일 검토하세요

요구 사항 11: 보안 시스템을 정기적으로 테스트하세요

• 백업 인프라의 분기별 취약성 스캔
• 백업 시스템을 포함한 연간 침투 테스트
• 백업 구성에 대한 무단 변경을 감지하는 파일 무결성 모니터링

네트워크 세분화

PCI DSS는 카드 소지자 데이터를 분리하는 네트워크 세분화를 강력히 권장합니다.

• 카드 소지자 데이터를 저장하는 백업 시스템은 PCI 규격 네트워크 세그먼트에 있어야 합니다.
• 방화벽 규칙은 백업 트래픽을 승인된 시스템으로만 제한합니다.
• 정기적인 테스트를 통해 세분화 효과를 검증합니다.

많은 조직에서는 카드 소지자 데이터의 백업을 전혀 하지 않고 대신 결제 프로세서나 토큰화에 의존하여 PCI 범위를 최소화합니다.

엔터프라이즈 백업에 적용되는 GDPR 요구 사항은 무엇입니까?

일반 데이터 보호 규정은 중요한 백업 의미를 가지며 EU 거주자의 개인 데이터를 보호합니다.

데이터 상주 및 주권

GDPR은 유럽 경제 지역 외부로의 개인 데이터 전송을 제한합니다.

• EU 시민 데이터의 백업 저장소는 적절성 결정이 존재하지 않는 한 EU/EEA에 남아 있어야 합니다.
• 클라우드 백업 제공자는 EU 지역 스토리지 옵션을 제공해야 합니다.
• 백업 공급업체와 데이터 처리 계약이 필요합니다.
• 표준 계약 조항은 특정 조건 하에 제한된 비EU 이전을 허용할 수 있습니다.

삭제 권리(잊힐 권리)

GDPR은 개인에게 개인 데이터 삭제를 요청할 권리를 부여합니다.

• 조직은 백업에서 개별 데이터를 찾아 삭제할 수 있어야 합니다.
• 전체 백업을 파괴하지 않고도 세분화된 삭제를 가능하게 하는 기술적 조치
• 모든 백업 사본에서 삭제가 발생했음을 증명하는 문서
• 백업 보존 정책은 삭제 요구 사항과 충돌해서는 안 됩니다.

이러한 요구 사항은 기존 백업 시스템이 대규모 백업 세트 내의 특정 데이터를 세부적으로 삭제하는 것을 지원하지 않기 때문에 상당한 기술적 문제를 야기합니다.

위반 알림

GDPR은 개인 데이터 침해를 감지한 후 72시간 이내에 통지하도록 요구합니다.

• 백업 시스템은 무단 접근을 즉시 감지하고 경고해야 합니다.
• 감사 로그는 침해 조사 및 보고에 대한 증거를 제공합니다.
• 암호화된 데이터에 권한이 없는 당사자가 액세스할 수 없는 경우 암호화를 통해 알림 요구 사항이 줄어들 수 있습니다.

설계에 의한 데이터 보호

GDPR은 시스템 구축 초기부터 개인정보 보호 기능을 구축하도록 규정합니다.

• 개인 데이터 백업에는 기본적으로 암호화가 활성화되어 있습니다.
• 개인 데이터를 보거나 복원할 수 있는 사람을 제한하는 액세스 제어
• 불필요한 데이터 저장을 방지하는 자동화된 보존 시행
• 새로운 백업 구현에 대한 개인정보 영향 평가

조직에서는 다중 규정 백업 규정 준수를 어떻게 구현합니까?

각 규정을 별도로 처리하는 대신 효과적인 규정 준수 전략은 공통적인 요구 사항을 식별하고 통합된 제어를 구현합니다.

규정 준수 매트릭스 접근 방식

모든 해당 규정에 대한 백업 기능을 매핑합니다.

1. 해당되는 모든 규정 및 특정 백업 관련 요구 사항을 나열합니다.
2. 중복되는 요구 사항(암호화, 감사 로그, 보존)을 식별합니다.
3. 각 제어 범주에 대한 가장 엄격한 요구 사항을 결정합니다.
4. 가장 엄격한 요구 사항을 충족하는 제어를 구현합니다(덜 엄격한 규정은 자동으로 충족합니다)
5. 구현된 통제와 규제 요구 사항 간의 문서 매핑

예를 들어, SOX에서 7년 보관을 요구하는 반면 HIPAA에서 6년을 요구하는 경우, 두 가지를 모두 충족하기 위해 7년 보관을 구현합니다.

정책 계층화 전략

특정 규정에 대한 추가 제어를 통해 일반적인 요구 사항을 충족하는 기준 정책을 만듭니다.

• 기본 정책: AES-256 암호화, RBAC, 감사 로깅, 분기별 복원 테스트
• HIPAA 계층: 사업 파트너 계약, 침해 탐지, PHI 관련 액세스 제어 추가
• PCI 계층: 네트워크 세분화, 일일 로그 검토, 분기별 취약성 검사 추가
• GDPR 계층: EU 데이터 상주, 세부 삭제 기능, 72시간 침해 알림 추가

다중 규정 준수를 위한 기술 선택

규정 준수 요구 사항을 명시적으로 지원하는 백업 솔루션을 선택하세요.

• 암호화 기능: FIPS 140-2 검증 암호화 알고리즘
• 세분화된 보존 정책: 데이터 분류에 따른 다양한 보존 기간
• 지리적 저장 제어: 지역별 데이터 상주 지정
• 변경 불가능한 저장소: 감사 데이터에 대한 WORM(Write-Once-Read-Many) 기능
• 포괄적인 감사 추적: 모든 액세스 및 작업에 대한 변조 방지 로깅
• 데이터 분류 지원: 민감도 수준 및 적용 규정에 따른 태그 데이터

Zmanda Pro와 같은 솔루션은 사용자 정의 개발이 필요 없이 이러한 기능을 표준 기능으로 제공합니다.

다중 규정 준수에 있어 문서화는 어떤 역할을 하나요?

감사원은 규정 준수 통제가 존재하고 효과적으로 기능한다는 것을 증명하는 포괄적인 문서를 요구합니다.

정책 문서

• 백업 및 복구 절차
• 규제된 데이터 유형을 식별하는 데이터 분류 체계
• 데이터 분류 및 적용 규정에 따른 보존 일정
• 누가 어떤 데이터를 백업하고 복원할 수 있는지 정의하는 액세스 제어 매트릭스
• 암호화 표준 및 키 관리 절차
• 복구 시간 목표(RTO) 및 복구 지점 목표(RPO)를 포함한 재해 복구 계획

구현의 증거

• 암호화가 활성화된 것을 보여주는 구성 스크린샷
• 역할 기반 권한을 보여주는 액세스 제어 목록
• 포괄적인 로깅을 증명하는 감사 로그 샘플
• 분기별 검증을 문서화하는 테스트 결과 복원
• 안정적인 작업을 보여주는 백업 성공 보고서
• SaaS 백업 공급업체를 위한 공급업체 인증(SOC 2 Type II, ISO 27001)

지속적인 규정 준수 모니터링

• 월별 백업 성공률 보고서
• 분기별 복구 테스트 결과
• 연간 정책 검토 및 업데이트
• 백업 실패 또는 보안 이벤트에 대한 사고 보고서
• 백업 시스템 수정 사항을 문서화하는 변경 로그

자동화된 규정 준수 보고는 문서 작성 부담을 크게 줄여줍니다. 구현 지침은 Zmanda의 재해 복구 계획 템플릿을 참조하십시오.

조직에서는 상충되는 요구 사항을 어떻게 처리합니까?

가끔 규정이 충돌하는 경우가 있는데, 가장 흔한 경우는 데이터 보존과 삭제에 관한 것입니다.

GDPR 삭제 권리 대 법적 보존 요건

GDPR은 소송에서 데이터 보존을 명령하는 동안 삭제 권한을 부여합니다.

• 문서의 법적 근거: GDPR에는 법적 준수 및 합법적 이익에 대한 예외가 포함됩니다.
• 선택적 보존을 구현합니다. 격리된 백업에서 소송 보류 사본을 유지하면서 프로덕션 시스템에서 데이터를 삭제합니다.
• 보존 범위 최소화: 전체 백업 세트가 아닌 특정 개인이나 기간에만 보류를 적용합니다.
• 법률 상담: 변호사와 협력하여 방어 가능한 접근 방식을 문서화합니다.

데이터 상주 vs. 재해 복구 지리

GDPR 데이터 상주 요구 사항과 지리적 다양성을 권장하는 재해 복구 모범 사례 비교:

• 다중 지역 EU 스토리지: 거주지를 유지하면서 지리적 다양성을 위해 여러 EU 지역에 걸쳐 백업을 복제합니다.
• 완화책으로서의 암호화: 강력한 암호화를 통해 특정 사용 사례에 대해 EU 외 재해 복구 저장이 가능해질 수 있습니다.
• 표준 계약 조항: 특정 보호 조치에 따라 제한된 비EU 이전을 활성화합니다.

불변성 대 삭제권

SOX/PCI 불변성 요구 사항 대 GDPR 삭제 권한:

• 세분화된 불변성: 전체 백업 세트가 아닌 파일 수준에서 불변성을 구현합니다.
• 보존 정책 조정: 불변성 요구 사항과 삭제 권한을 모두 고려하여 보존 기간을 설계합니다.
• 선적 서류 비치: 삭제 요청보다 보존을 우선시하는 법적 근거를 명확하게 문서화합니다.

백업 시스템의 일반적인 규정 준수 감사 실패 사례는 무엇입니까?

일반적인 감사 결과를 이해하면 조직이 취약점을 사전에 해결하는 데 도움이 됩니다.

복원 테스트가 충분하지 않습니다

• 발견: 지난 12개월 동안 복구 테스트에 대한 문서화된 증거가 없습니다.
• 충격: 백업이 실제로 복구 가능하다는 것을 증명할 수 없습니다.
• 교정: 문서화된 결과와 승인을 통한 분기별 복원 테스트

부적절한 액세스 제어

• 발견: 백업 관리자에게 과도한 권한이 부여됨(승인 없이 백업 및 복원이 모두 가능)
• 충격: 직무 분리 요건을 위반합니다.
• 교정: 규제된 데이터에 영향을 미치는 복원 작업에 대한 승인 워크플로 구현

감사 로그 누락

• 발견: 복원 작업 또는 관리 변경 사항의 불완전한 로깅
• 충격: 접근 제어 정책 준수를 입증할 수 없습니다.
• 교정: 포괄적인 감사 로깅을 활성화하고 로그 보존 정책을 구현합니다.

암호화되지 않은 백업 저장소

• 발견: 암호화 없이 저장된 백업 데이터
• 충격: HIPAA, PCI DSS, GDPR 기술적 보호 조치 직접 위반
• 교정: 암호화를 즉시 활성화하세요. 지원되지 않는 경우 백업 시스템 교체가 필요할 수 있습니다.

과도한 데이터 보존

• 발견: 비즈니스 또는 규제 요구 사항을 넘어서 보관된 데이터
• 충격: GDPR 데이터 최소화 위반, 전자 증거 수집 비용 증가
• 교정: 데이터 분류를 기반으로 자동화된 보존 시행을 구현합니다.

조직은 규정 준수 감사에 어떻게 대비할 수 있나요?

사전 예방적 준비는 감사 스트레스를 줄이고 감사자가 문제를 발견하기 전에 문제를 식별합니다.

내부 감사 프로그램

• 실제 감사 체크리스트를 사용하여 분기별로 자체 평가를 수행합니다.
• 문서 조사 결과 및 개선 계획 수립
• 외부 감사자와 동일한 엄격성을 가지고 백업 복원 절차를 테스트합니다.
• 이상이나 정책 위반에 대한 액세스 로그를 검토합니다.

감사 준비 문서

체계적인 규정 준수 증거를 유지하세요.

• 승인 날짜가 포함된 현재 백업 정책 및 절차
• 최근 복구 테스트 결과(분기별)
• 현재 권한을 보여주는 액세스 제어 매트릭스
• 공급업체 인증 및 보안 평가(SOC 2, ISO 27001)
• 사고 보고서 및 해결 문서
• 백업 관리자를 위한 교육 기록

자동화된 규정 준수 보고

최신 백업 솔루션은 규정 준수 보고서를 자동으로 생성합니다.

• 시스템 및 데이터 분류별 백업 성공/실패율
• 모든 보호 시스템에서 암호화 상태 확인
• 누가 언제 무엇에 접근했는지 보여주는 액세스 활동 보고서
• 보존 기간을 초과하는 데이터를 식별하는 보존 준수 보고서
• 구성 변경 감사 추적

다중 규정 준수에 대한 통합적 접근 방식

SOX, HIPAA, PCI DSS, GDPR 및 기타 규정에 따라 백업 규정 준수를 관리하는 대기업은 복잡하고 중복되는 요건에 직면합니다. 성공을 위해서는 공통적인 통제 수단을 파악하고, 가장 엄격한 요건을 구현하며, 포괄적인 문서를 유지해야 합니다.

주요 규정 준수 기능으로는 암호화(저장 데이터 및 전송 데이터 모두), 감사 로깅을 통한 세분화된 액세스 제어, 규제 대상 데이터를 위한 변경 불가능한 스토리지, 데이터 분류에 따른 유연한 보존 정책, 그리고 자동화된 규정 준수 보고가 있습니다. 조직은 신중한 정책 설계 및 법률 자문을 통해 데이터 삭제 권한과 법적 보존 의무처럼 때로는 상충되는 요구 사항 간의 균형을 맞춰야 합니다.

각 규정을 개별적으로 처리하는 대신, 모든 관련 요건을 동시에 충족하는 통합 백업 제어를 구현해야 합니다. 기술 선택 시에는 내장 암호화, 감사 추적, 지리적 저장 제어, 자동화된 정책 시행을 통해 다중 규정 준수를 명시적으로 지원하는 솔루션을 우선적으로 고려해야 합니다.

Zmanda Pro는 FIPS 140-2 표준을 충족하는 암호화, 포괄적인 감사 로깅, 유연한 보존 정책 및 지리적 저장소 제어를 포함하여 다양한 규제 준수를 위한 엔터프라이즈급 백업 기능을 제공합니다. 강력한 백업 제어 기능을 한 번만 구현하면 기업은 데이터 보호 및 복구 가능성을 보장하면서 여러 규제 프레임워크를 효율적으로 충족할 수 있습니다.