보안 정책

1. 보안에 대한 당사의 약속

당사는 당사 플랫폼, 사용자 데이터, 그리고 당사 서비스를 지원하는 시스템의 보안과 무결성을 보호하기 위해 최선을 다하고 있습니다. 본 보안 정책은 정보 보안에 대한 당사의 접근 방식과 귀하의 데이터를 보호하기 위해 당사가 구현하는 조치를 설명합니다.

2. 인프라 보안

2.1 호스팅 및 데이터 센터

• 당사 서비스는 엔터프라이즈급 클라우드 인프라에서 호스팅됩니다
• 데이터 센터는 SOC 2 Type II 및 ISO 27001 인증을 유지합니다
• 물리적 접근 통제에는 생체 인증 및 연중무휴 감시가 포함됩니다
• 이중화된 전원, 냉각 및 네트워크 연결로 높은 가용성을 보장합니다

2.2 네트워크 보안

• 전송 중인 모든 데이터는 TLS 1.3을 사용하여 암호화됩니다
• 웹 애플리케이션 방화벽(WAF)이 일반적인 공격 벡터로부터 보호합니다
• DDoS 완화 서비스가 네트워크 엣지에 배포되어 있습니다
• 네트워크 트래픽은 이상 징후를 지속적으로 모니터링합니다

3. 애플리케이션 보안

• 보안 개발 수명 주기(SDLC) 관행을 따릅니다
• 정기적인 코드 검토 및 정적 분석이 수행됩니다
• 종속성 스캐닝을 통해 제3자 라이브러리의 취약점을 식별합니다
• 독립적인 업체에 의해 최소 연 1회 침투 테스트가 실시됩니다

4. 데이터 보호

4.1 암호화

• 저장 중인 데이터는 AES-256 암호화를 사용하여 암호화됩니다
• 전송 중인 데이터는 TLS 1.3을 사용하여 암호화됩니다
• 암호화 키는 전용 키 관리 서비스를 통해 관리됩니다
• 당사의 키 관리 정책에 따라 정기적인 키 교체가 수행됩니다

4.2 접근 제어

• 역할 기반 접근 제어(RBAC)를 통해 데이터 접근을 승인된 인원으로 제한합니다
• 모든 내부 시스템에는 다단계 인증(MFA)이 요구됩니다
• 접근 권한 검토는 분기별로 수행됩니다
• 최소 권한 원칙이 모든 시스템에 걸쳐 시행됩니다

5. 사고 대응

당사의 사고 대응 프로세스는 다음을 포함합니다:

1. 탐지(Detection): 자동화된 모니터링 및 경보 시스템이 잠재적 사고를 식별합니다
2. 분류(Triage): 보안팀이 심각도와 영향을 평가합니다
3. 격리(Containment): 사고의 범위를 제한하기 위한 즉각적인 조치
4. 제거(Eradication): 근본 원인 식별 및 제거
5. 복구(Recovery): 영향을 받은 시스템 및 서비스의 복원
6. 사후 검토(Post-Incident Review): 종합적인 분석 및 프로세스 개선

6. 취약점 관리

• 자동화된 취약점 스캐닝이 지속적으로 수행됩니다
• 중대한 취약점은 발견 후 24시간 이내에 패치됩니다
• 외부 연구자를 위한 책임 있는 공개 프로그램이 운영됩니다
• 고객에게 영향을 미치는 문제에 대해 보안 권고가 게시됩니다

7. 비즈니스 연속성

• 정기적인 백업이 지리적 이중화와 함께 수행됩니다
• 재해 복구 계획은 최소 연 2회 테스트됩니다
• 복구 시간 목표(RTO): 중요 서비스의 경우 4시간
• 복구 시점 목표(RPO): 중요 데이터의 경우 1시간

8. 규정 준수

당사는 다음에 대한 준수를 유지합니다:

• SOC 2 Type II
• GDPR(일반 데이터 보호 규정)
• CCPA(캘리포니아 소비자 개인정보 보호법)
• 결제 처리를 위한 PCI DSS

9. 책임 있는 공개

보안 취약점을 발견한 경우, 책임감 있게 신고해 주시기 바랍니다:

• 이메일: security@unifapi.com
• 당사가 문제를 해결하기 전에 취약점을 공개적으로 공개하지 마십시오
• 당사가 문제를 재현할 수 있도록 충분한 세부 정보를 제공하십시오
• 당사는 24시간 이내에 신고를 접수 확인할 것을 약속합니다

10. 문의

보안 관련 문의는 당사 보안팀(security@unifapi.com)으로 연락해 주시기 바랍니다.