SaaS는 Software as a Service의 줄임말이고, 소프트웨어를 사서 내 컴퓨터나 회사 서버에 설치하는 대신 인터넷 너머에 있는 것을 빌려 쓰는 방식이다. 표준 정의를 담은 미국 NIST의 클라우드 정의 문서(SP 800-145, 2011년 9월)를 열어 보면, SaaS 항목이 쓸 수 있는 기능이 아니라 쓰는 쪽이 관리하지 않는 것의 목록으로 쓰여 있다. 7쪽짜리 문서다.
공식 정의는 왜 안 하는 일로 쓰여 있나
정의의 핵심 문장이 이렇게 되어 있어서다.
“소비자는 네트워크, 서버, 운영체제, 저장소를 포함한 기반 인프라를 관리하거나 통제하지 않으며, 개별 애플리케이션 기능조차 통제하지 않는다.”
영어 원문의 does not manage or control 뒤에 붙은 목록이다. 화면이 예쁘다거나 월 얼마라는 이야기는 정의에 없다. 요금은 아예 각주로 밀려나 있다. 각주 1번이 “일반적으로 사용량 기준 과금으로 이뤄진다”고 한 줄 적어 둔 게 전부다.
미국 조달청이 운영하는 Cloud Information Center의 SaaS 페이지는 같은 이야기를 반대편에서 적는다. 공급자가 “소프트웨어 업그레이드와 보안 패치 같은 유지보수를 처리한다”고 되어 있다. 두 문서를 나란히 놓으면 그림이 선명해진다. 한쪽이 안 하는 일이 다른 쪽 일이다.
그래서 어떤 서비스가 SaaS인지 아닌지는 기능 목록으로 가려지지 않는다. 고장 났을 때 누가 일어나는지로 가려진다.
개발 이야기에서 이 말이 유독 자주 들리는 이유
결정을 가르는 단어라서다. 어떤 기능이 필요할 때 선택지는 둘이다. 만들거나, 이미 있는 걸 빌려 쓰거나. 뒤쪽을 고르면 그게 SaaS다.
이 갈림길은 개발 순서에서 꽤 앞쪽에 있다. 요구사항을 정리하다 보면 “이건 우리가 만들 거리가 아닌데” 싶은 항목이 나온다. 결제, 메일 발송, 로그인, 고객 문의. 그 자리에서 SaaS라는 말이 나온다. 회의에서 같이 튀어나오는 다른 약어들과 다른 점이 있다면, 이 말은 설명을 요구하는 게 아니라 결정을 요구한다는 것이다.
듣는 자리가 하나 더 있다. 만드는 쪽에서도 쓴다. “우리 제품을 SaaS로 낸다”는 말은 설치 파일을 파는 대신 계정을 열어 주고 서버를 우리가 굴리겠다는 뜻이다. 같은 단어인데 책임이 정반대로 붙는다.
온프레미스와는 어디서 갈리나
돈이 아니라 책임의 위치에서 갈린다. 온프레미스는 우리말로 구축형이라고 부르는 방식으로, 소프트웨어를 우리 서버에 직접 설치해 굴리는 쪽이다. 발주 문서에서는 구축형이라는 말이 더 자주 보인다.
| 항목 | 온프레미스(구축형) | SaaS |
|---|---|---|
| 시작할 때 | 서버와 라이선스를 먼저 산다 | 계정을 만든다 |
| 버전 | 우리가 고른다 | 저쪽이 정한다 |
| 보안 패치 | 우리가 누른다 | 저쪽이 한다 |
| 고장 났을 때 | 우리가 고친다 | 기다린다 |
| 기능이 아쉬울 때 | 고쳐 넣는다 | 요청하고 기다린다 |
| 그만둘 때 | 데이터가 우리 서버에 있다 | 내보내기 기능에 달렸다 |
표의 왼쪽 칸이 전부 손해처럼 보이지만 그렇지 않다. 왼쪽은 자유가 있고 오른쪽은 시간이 있다. 어느 쪽이 좋은지는 그 기능이 우리 사업의 핵심이냐에 달렸다.
이 블로그는 SaaS가 아닌 쪽이다
그래서 NIST가 관리하지 않는다고 적어 둔 항목이 우리 쪽에는 실물로 남아 있다. 이 블로그는 워드프레스를 직접 설치해 굴린다. 네이버 블로그나 워드프레스닷컴을 썼다면 SaaS 쪽이었을 텐데, 두 도메인을 따로 굴리려고 서버를 직접 잡았다. 그 선택의 청구서를 방금 세어 봤다.
2026년 8월 3일 기준으로 서버에 접속해 확인한 숫자다.
| 항목 | 한글판 | 영문판 |
|---|---|---|
| 워드프레스 버전 | 7.0.2 | 7.0.2 |
| 업데이트 기다리는 플러그인 | 2건 | 2건 |
| 자동 업데이트 켜진 플러그인 | 0개 | 0개 |
| 손으로 넣은 기능 파일 | 7개 | 7개 |
업데이트를 기다리는 두 건은 양쪽이 같다. Site Kit 1.183.0에서 1.184.0으로, Yoast SEO 28.0에서 28.1로. 사이트가 둘이니 같은 버튼을 네 번 눌러야 한다. 설치된 플러그인 12개 중 자동 업데이트가 켜진 건 하나도 없다. 누를 사람은 나다.
기능 파일 7개는 더 정확한 예다. 헤더의 언어 연결, 글 아래 작성자 소개, 사이드바 위젯 같은 것들을 파일로 써서 서버에 올려 뒀다. 같은 파일을 두 계정에 각각 두니 실제로는 14벌이다. NIST 문장에서 “개별 애플리케이션 기능조차 통제하지 않는다”고 한 그 자리가, 우리한테는 폴더 안의 파일 일곱 개다.
이게 나쁘다는 이야기가 아니다. 하고 싶은 걸 해서 그렇다. 두 언어 사이트를 서로 연결하는 기능은 어느 서비스도 대신 해 주지 않았다. 다만 계산서는 정직하게 읽어야 한다. 버전 번호를 외우고 있다는 것 자체가 SaaS를 안 쓰고 있다는 증거다. 네이버 블로그를 쓰는 사람은 네이버 블로그가 몇 버전인지 모른다. 알 필요가 없다. 그게 SaaS다.
블로그 플랫폼을 비교한 글에서 제일 쉬운 칸과 제일 자유로운 칸은 서로 반대편에 있다고 썼는데, 그 저울이 바로 이것이었다.
IaaS와 PaaS는 또 뭔가
같은 문서에 나란히 적힌 형제들이고, 경계선의 위치만 다르다. NIST는 세 항목을 똑같은 문장 틀로 써 놨다. IaaS는 “운영체제, 저장소, 배포한 애플리케이션을 통제한다”, PaaS는 “인프라는 통제하지 않지만 배포한 애플리케이션은 통제한다”, SaaS는 앞서 본 대로 거의 아무것도 통제하지 않는다. 서버실 열쇠를 몇 개 쥐고 있느냐의 차이다. 우리 블로그는 서버를 빌려 쓰면서 운영체제와 웹서버를 직접 손보니 IaaS 쪽에 있다.
우리 법에는 SaaS라는 말이 없다
찾아보다 알게 된 건데, 국내 법조문에는 이 약어가 등장하지 않는다. 클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률 시행령 제3조가 클라우드컴퓨팅서비스의 종류를 네 가지로 나눠 두는데, 두 번째 호가 “응용프로그램 등 소프트웨어를 제공하는 서비스”다. 이게 SaaS다. 첫째 호가 “서버, 저장장치, 네트워크 등을 제공하는 서비스”로 IaaS, 셋째 호가 개발과 배포 환경을 주는 서비스로 PaaS다. 2026년 1월 2일 시행된 판을 확인했다.
순서가 영어권 관습과 다른 것도 눈에 띈다. 영어 자료는 대개 IaaS, PaaS, SaaS 순으로 늘어놓는데 시행령은 IaaS, SaaS, PaaS 순이다. 큰 뜻은 없겠지만, 회의에서 다들 쓰는 약어가 정작 계약의 근거가 되는 문서에는 한 글자도 안 나온다는 건 알아 둘 만하다. 제안서에 SaaS라고만 적어 두면 그게 법에서 말하는 어느 호인지는 아무도 안 적은 셈이 된다.
그래서 언제 SaaS를 고르나
그 기능이 우리 제품의 자랑거리가 아니면 SaaS를 쓴다. 결제, 메일 발송, 오류 수집, 고객 문의 창구. 직접 만들어도 남들과 똑같아지는 자리다. 여기에 개발자 시간을 쓰면 그만큼 진짜 만들 것을 못 만든다.
반대로 세 가지 중 하나라도 걸리면 직접 굴리는 쪽을 본다. 데이터가 밖에 나가면 안 되는 경우, 그 기능이 곧 제품인 경우, 그리고 그만둘 때 데이터를 통째로 들고 나올 수 있는지 확인이 안 되는 경우다. 마지막 항목이 제일 자주 무시된다. 계약할 때 아무도 헤어질 이야기를 안 하기 때문이다.
고를 때 물어볼 문장은 하나면 된다. 새벽 세 시에 이게 멈추면 누가 일어나는가. 그 답이 나면 이름표는 저절로 붙는다.