Reaudit이 데이터를 보호하는 방법.

보안에 대한 당사의 약속

Reaudit에서 보안은 최우선 과제입니다. 당사는 데이터, 인프라 및 운영을 보호하기 위해 업계 수준의 보안 조치를 적용합니다. 이 페이지에서는 당사의 보안 관행과 정책을 설명합니다.

1. 데이터 암호화

1.1 전송 중 암호화

• TLS 1.3: 전송 중인 모든 데이터는 강력한 암호화 스위트를 사용하는 TLS 1.3으로 암호화됩니다
• HTTPS Everywhere: 모든 연결에는 HTTPS가 필요합니다
• Perfect Forward Secrecy: 추가 보호를 위해 적용됩니다

1.2 저장 시 암호화

• AES-256: 모든 민감한 데이터는 저장 시 암호화됩니다
• 데이터베이스 암호화: 필드 수준의 전체 데이터베이스 암호화
• 암호화된 백업: 모든 백업이 암호화됩니다
• 키 관리: 암호화 키의 안전한 관리

2. 접근 제어

2.1 인증

• OAuth 2.0: 안전한 타사 연동 (Google)
• 세션 관리: 안전한 httpOnly 쿠키와 자동 만료(7일)를 사용하는 JWT sessions
• reCAPTCHA v3: 인증 시 봇 방지
• Brute Force 방지: 요청 속도 제한

2.2 권한 부여

• 역할 기반 접근 제어 (RBAC): 세분화된 권한
• 최소 권한 원칙: 사용자는 최소한의 필요한 접근 권한만 가집니다
• 데이터 분리: 고객 간 엄격한 데이터 분리
• 감사 로그: 모든 접근 활동에 대한 종합적인 기록

3. 인프라 보안

3.1 인프라 보안

• MongoDB Atlas: SOC 2 및 ISO 27001 인증을 받은 관리형 데이터베이스
• Docker: 자동 재시작 정책을 갖춘 Containerized deployment
• DDoS Protection: Cloudflare DDoS 및 WAF 보호

3.2 애플리케이션 보안

• Web Application Firewall (WAF): 일반적인 웹 공격으로부터 보호
• 입력 검증: 모든 사용자 입력에 대한 엄격한 검증
• CSRF 보호: Cross-Site Request Forgery로부터 보호
• 콘텐츠 보안 정책: 엄격한 CSP 정책 적용
• 보안 헤더: HSTS, X-Frame-Options, X-Content-Type-Options

3.3 API 보안

• API 인증: 안전하게 저장되는 API 키
• 속도 제한: API 남용으로부터 보호
• API 버전 관리: 통제된 API 진화
• API 로깅: 모든 API 요청에 대한 포괄적인 로깅

4. 모니터링 및 대응

4.1 모니터링

• 오류 모니터링: Sentry를 통한 실시간 오류 모니터링
• 구조화된 로깅: 타임스탬프가 포함된 중앙 집중식 애플리케이션 로깅
• 가용성 모니터링: 서비스 가용성 모니터링

4.2 사고 대응

• 대응 계획: 문서화된 사고 대응 절차
• 격리: 영향받은 시스템의 신속한 격리
• 침해 통지: GDPR에 따른 72시간 이내 통지

5. 데이터 보호

5.1 데이터 백업

• 자동 백업: MongoDB Atlas를 통한 일일 자동 백업
• 특정 시점 복구: 특정 시점으로 데이터를 복원하는 기능
• 암호화: 모든 백업이 암호화됩니다

5.2 데이터 삭제

• 안전한 삭제: 암호화된 데이터 삭제
• 보존 정책: 명확한 데이터 보존 정책
• 요청 시 삭제: 사용자 데이터 삭제 기능

6. 안전한 개발

• 코드 리뷰: 모든 코드 변경은 peer review를 거칩니다
• TypeScript Strict Mode: 오류를 줄이는 type-safe 코드
• 의존성 스캔: 서드파티 패키지 취약점 자동 스캔
• 환경 분리: 개발, staging, 프로덕션 환경 분리

7. 팀 보안

• 비밀유지계약: 모든 팀원이 서명
• 최소 권한 원칙: 팀원은 필요한 항목에만 접근
• 접근 권한 회수: 퇴사 시 즉시 회수

8. 컴플라이언스 및 인증

8.1 현재 인증

• GDPR: 일반개인정보보호규정(GDPR) 완전 준수
• CCPA: California Consumer Privacy Act 준수
• PCI DSS: 결제 처리 컴플라이언스

8.2 표준 정합성

• SOC 2: AICPA Trust Service 기준에 맞춘 보안 점검. 공식 인증은 로드맵에 포함되어 있습니다.
• ISO 27001: ISO 27001 프레임워크에 맞춘 보안 관행. 인증은 로드맵에 포함되어 있습니다.

9. 서드파티 보안

• 공급업체 평가: 엄격한 보안 평가
• 데이터 처리 계약: 모든 처리업체와 계약 체결
• 최소 접근 권한: 서드파티 접근 제한
• 정기 검토: 공급업체 지속 모니터링

10. 서비스 가용성

• Managed Database: 자동 failover를 지원하는 MongoDB Atlas
• 자동 재시작: 서비스 복구를 위한 Docker restart policies
• CDN: 글로벌 콘텐츠 배포를 위한 Cloudflare CDN

11. 취약점 신고

당사는 보안 취약점의 책임 있는 공개를 권장합니다. 취약점을 발견하셨다면:

• 이메일을 보내주세요: [email protected]
• 취약점에 대한 상세한 설명을 제공해 주세요
• 당사가 문제를 해결할 때까지 공개적으로 공개하지 마세요
• 사용자 데이터에 접근하거나 수정하지 마세요

당사는 48시간 이내에 답변드리고 문제 해결을 위해 협력하겠습니다.

12. 문의

보안 관련 질문이나 우려 사항이 있으시면: