SkyDeck.ai 보안 관행

2023년 11월 1일 기준

데이터 보안

• 모든 구성 요소는 안전한 VPC 내에 호스팅되며 데이터는 AWS KMS를 사용하여 AES-256으로 정지 상태에서 암호화됩니다. 또한, 우리는 전송 중 암호화를 위해 TLS 1.2 이상을 사용합니다.

• 우리의 애플리케이션 비밀도 KMS와 AES-256으로 안전하게 정지 상태에서 암호화됩니다.

대화 보안 강화

저장된 데이터 암호화 외에도 사용자 대화 내용 및 대화 이름에 대한 선택적 강화 보안 기능을 제공합니다.

• 대화 데이터에 대한 두 번째 독립적인 암호화 계층을 제공할 수 있습니다. 이 접근 방식의 장점은 중복 보안입니다. 그러나 대화가 표시되거나 검색에 사용될 때 추가적인 복호화 계층이 필요하다는 비용이 발생합니다. 이는 기업 고객을 위한 제어 센터의 옵션입니다.\

• 모든 사용자는 자신의 저장된 대화 데이터에 대한 암호화 키를 보유할 수 있습니다. 이렇게 하면 사용자가 우리 시스템에 로그인하는 동안에만 그들의 대화 데이터에 접근할 수 있습니다. 로그아웃하면 데이터는 암호화되며 복호화 키에 대한 기록이 없습니다. 우리는 그 암호화를 구현하기 위해 사용자의 비밀번호의 독립적인 해시를 사용합니다. 비밀번호는 저장하지 않으며, 해시는 사용자가 로그인하는 동안에만 존재합니다. 이 접근 방식의 장점은 사용자가 _단순히 플랫폼 사용을 중단_하면 아무도 사용자 데이터에 접근할 수 없다는 것입니다. 데이터는 사용자가 적극적으로 사용하지 않을 때 사실상 사라집니다. 이 접근 방식의 단점은 사용자가 비밀번호를 잃어버리면 모든 대화 데이터를 회복할 방법 없이 잃게 된다는 것입니다. 또 다른 단점은 대화 데이터를 표시하고 작업하는 데 더 느리고 _지연_이 발생할 것이라는 점입니다. 또한, 사용자 비밀번호를 변경하는 과정이 느려질 것이며, 모든 데이터를 복호화하고 다시 암호화해야 합니다. 이는 기업 고객을 위한 선택적 기능입니다.

제품 보안

• SkyDeck.ai는 정기적인 침투 테스트를 수행하고 우리의 안전한 개발 생명 주기(SDLC)의 중요한 단계에서 취약점 스캐닝을 실시합니다.

• 우리의 보안 전략에는 침투 테스트 중 블랙박스 및 그레이박스 테스트가 포함됩니다.

• 우리는 정적 분석, 소프트웨어 구성 분석, 악성 의존성 스캐닝, 동적 분석 및 네트워크 취약점 스캐닝을 포함하여 시스템의 보안을 보장하기 위해 다양한 방법을 활용합니다.

액세스 관리

• 우리는 신뢰할 수 있는 SSO 서비스를 활용하여 우리의 신원 및 액세스 관리를 보호합니다.

• 애플리케이션에 대한 액세스는 역할 기반이며, 고용 종료 시 자동으로 취소됩니다.

• 추가 액세스는 각 애플리케이션에 설정된 정책을 준수해야 합니다.

데이터 보호

• 모든 고객 데이터는 저장 중 및 전송 중 모두 암호화됩니다.

• **AWS 키 관리 시스템 (KMS)**는 우리의 암호화 키 관리를 담당합니다.

보안 교육

• 모든 직원은 온보딩 과정 중 포괄적인 보안 교육을 받으며, 매년 우리 플랫폼 내 교육 모듈을 통해 갱신됩니다.

• 우리 팀은 중요한 보안 업데이트에 대한 정보를 제공하기 위해 커뮤니케이션 채널에서 정기적인 위협 브리핑을 공유합니다.

공급업체 보안

• 우리는 WireGuard를 사용하여 내부 리소스에 대한 안전한 원격 액세스를 보장합니다.

• 추가적인 보호 계층을 제공하기 위해, 우리는 직원과 그들의 엔드포인트가 인터넷을 탐색하는 동안 안전을 지키기 위해 악성 소프트웨어 차단 DNS 서버도 사용합니다.