트러스트 센터
통제 항목
인프라 보안
- 알 수 없음: 고유한 프로덕션 데이터베이스 인증 적용회사는 프로덕션 데이터 저장소에 인증할 때 고유한 SSH 키 등 승인된 보안 인증 방식을 사용하도록 요구합니다.
- 알 수 없음: 암호화 키 접근 제한회사는 암호화 키에 대한 특권 접근을 업무상 필요가 있는 승인된 사용자로 제한합니다.
- 알 수 없음: 고유한 계정 인증 적용회사는 시스템과 애플리케이션에 인증할 때 고유한 사용자 이름과 비밀번호 또는 승인된 SSH(Secure Socket Shell) 키를 사용하도록 요구합니다.
- 알 수 없음: 프로덕션 애플리케이션 접근 제한시스템 접근은 승인된 접근으로만 제한됩니다.
- 알 수 없음: 접근 통제 절차 수립회사의 접근 통제 정책은 신규 사용자 추가, 사용자 변경, 기존 사용자의 접근 권한 제거 등 접근 통제 기능에 대한 요구 사항을 문서화합니다.
- 알 수 없음: 프로덕션 데이터베이스 접근 제한회사는 데이터베이스에 대한 특권 접근을 업무상 필요가 있는 승인된 사용자로 제한합니다.
- 알 수 없음: 프로덕션 OS 접근 제한회사는 운영 체제에 대한 특권 접근을 업무상 필요가 있는 승인된 사용자로 제한합니다.
- 알 수 없음: 프로덕션 네트워크 접근 제한회사는 프로덕션 네트워크에 대한 특권 접근을 업무상 필요가 있는 승인된 사용자로 제한합니다.
- 알 수 없음: 고유한 네트워크 시스템 인증 적용회사는 “프로덕션 네트워크”에 인증할 때 고유한 사용자 이름과 비밀번호 또는 승인된 SSH(Secure Socket Shell) 키를 사용하도록 요구합니다.
- 알 수 없음: 원격 접근 MFA 적용회사의 프로덕션 시스템은 유효한 다중 인증(MFA) 수단을 갖춘 승인된 직원만 원격으로 접근할 수 있습니다.
- 알 수 없음: 원격 접근 암호화 적용회사의 프로덕션 시스템은 승인된 직원만 승인된 암호화 연결을 통해 원격으로 접근할 수 있습니다.
조직 보안
- 알 수 없음: 악성코드 방지 기술 사용회사는 악의적인 공격에 취약한 환경에 악성코드 방지 기술을 배포하고, 정기적으로 업데이트하고 로그를 남기며 모든 관련 시스템에 설치되도록 구성합니다.
- 알 수 없음: 직원 신원 조회 수행회사는 신규 직원에 대해 신원 조회를 수행합니다.
- 알 수 없음: 직원의 비밀 유지 계약 확인회사는 직원이 온보딩 과정에서 비밀 유지 계약에 서명하도록 요구합니다.
- 알 수 없음: 방문자 절차 적용회사는 방문자가 데이터 센터나 보안 구역에 출입할 때 방문 기록을 남기고 방문자 배지를 착용하며 승인된 직원의 동행을 받도록 요구합니다.
제품 보안
- 알 수 없음: 데이터 암호화 사용민감한 고객 데이터를 보관하는 회사의 데이터 저장소는 저장 시 암호화됩니다.
- 알 수 없음: 통제 자체 평가 수행회사는 최소 연 1회 통제 자체 평가를 수행해 통제가 마련되어 효과적으로 운영되고 있음을 확인합니다. 관련 발견 사항에 따라 시정 조치를 취합니다. 회사가 특정 발견 사항에 대해 SLA를 약속한 경우, 시정 조치는 해당 SLA 내에 완료됩니다.
- 알 수 없음: 침투 테스트 수행회사의 침투 테스트는 최소 연 1회 수행됩니다. 수정 계획을 수립하고, SLA에 따라 취약점을 수정하기 위한 변경을 적용합니다.
- 알 수 없음: 취약점 및 시스템 모니터링 절차 수립회사의 공식 정책은 IT/엔지니어링과 관련된 다음 기능의 요구 사항을 규정합니다: 취약점 관리, 시스템 모니터링.
내부 보안 절차
- 알 수 없음: 업무 연속성 및 재해 복구 계획 수립회사는 핵심 인력이 부재할 경우에도 정보 보안의 연속성을 유지할 수 있도록 커뮤니케이션 계획을 포함한 업무 연속성 및 재해 복구 계획을 마련하고 있습니다.
- 알 수 없음: 업무 연속성 및 재해 복구 계획 테스트회사는 문서화된 업무 연속성 및 재해 복구(BC/DR) 계획을 마련하고 최소 연 1회 테스트합니다.
- 알 수 없음: 사이버 보안 보험 유지회사는 업무 중단으로 인한 재정적 영향을 줄이기 위해 사이버 보안 보험을 유지합니다.
- 알 수 없음: 구성 관리 체계 수립회사는 시스템 구성이 환경 전반에 일관되게 배포되도록 구성 관리 절차를 마련하고 있습니다.
- 알 수 없음: 개발 수명 주기 수립회사는 정보 시스템 및 관련 기술 요구 사항의 개발, 도입, 구현, 변경(긴급 변경 포함), 유지 관리를 규율하는 공식적인 시스템 개발 수명 주기(SDLC) 방법론을 갖추고 있습니다.
- 알 수 없음: SOC 2 – 시스템 설명감사 보고서 섹션 III에 들어갈 시스템 설명 작성
- 알 수 없음: 내부 고발 정책 수립회사는 공식적인 내부 고발 정책을 수립했으며, 사용자가 잠재적인 문제나 부정행위 우려를 신고할 수 있는 익명 소통 채널을 운영합니다.
- 알 수 없음: 이사회 감독 브리핑 실시회사의 이사회 또는 관련 소위원회는 최소 연 1회 고위 경영진으로부터 회사의 사이버 보안 및 개인정보 위험 현황을 보고받습니다. 이사회는 필요에 따라 경영진에게 피드백과 방향을 제시합니다.
- 알 수 없음: 이사회 헌장 문서화회사의 이사회는 내부 통제에 대한 감독 책임을 명시한 문서화된 헌장을 갖추고 있습니다.
- 알 수 없음: 이사회 전문성 강화회사의 이사회 구성원은 경영진의 정보 보안 통제 설계, 구현, 운영 역량을 감독할 수 있는 충분한 전문성을 갖추고 있습니다. 이사회는 필요에 따라 외부 정보 보안 전문가와 컨설턴트를 활용합니다.
- 알 수 없음: 이사회 회의 개최회사의 이사회는 최소 연 1회 회의를 열고 공식 회의록을 유지합니다. 이사회에는 회사로부터 독립적인 이사가 포함됩니다.
- 알 수 없음: 백업 프로세스 수립회사의 데이터 백업 정책은 고객 데이터의 백업 및 복구 요구 사항을 문서화합니다.
- 알 수 없음: 시스템 변경 사항 외부 공지회사는 고객의 처리에 영향을 줄 수 있는 중요한 시스템 변경 사항을 고객에게 알립니다.
- 알 수 없음: 경영진의 역할과 책임 정의회사 경영진은 정보 보안 통제의 설계와 구현을 감독하기 위한 역할과 책임을 정의했습니다.
- 알 수 없음: 역할 및 책임 명시정보 보안 통제의 설계, 개발, 구현, 운영, 유지 관리, 모니터링에 대한 역할과 책임은 직무 기술서 및/또는 역할 및 책임 정책에 공식적으로 지정되어 있습니다.
- 알 수 없음: 보안 정책 수립 및 검토회사의 정보 보안 정책과 절차는 문서화되어 있으며 최소 연 1회 검토됩니다.
- 알 수 없음: 지원 시스템 제공회사는 사용자가 장애, 사고, 우려 사항 및 기타 불만에 관한 시스템 정보를 담당자에게 신고할 수 있는 외부 지원 시스템을 운영합니다.
- 알 수 없음: 시스템 변경 사항 공지회사는 시스템 변경 사항을 승인된 내부 사용자에게 알립니다.
- 알 수 없음: 접근 요청 필수회사는 범위 내 시스템 구성 요소에 대한 사용자 접근이 직무 역할과 기능에 기반하도록 하거나, 접근 권한을 부여하기 전에 문서화된 접근 요청서와 관리자 승인을 요구합니다.
- 알 수 없음: 사고 대응 정책 수립회사는 보안 및 개인정보 사고 대응 정책과 절차를 문서화하고 승인된 사용자에게 전달합니다.
- 알 수 없음: 사고 관리 절차 준수회사의 보안 및 개인정보 사고는 보안 사고 대응 정책과 절차에 따라 경영진이 기록, 추적, 해결하고 영향을 받거나 관련된 당사자에게 전달합니다.
- 알 수 없음: 물리적 접근 프로세스 수립회사는 통제 책임자의 승인에 따라 회사 데이터 센터에 대한 물리적 접근 권한을 부여, 변경, 해지하는 프로세스를 갖추고 있습니다.
- 알 수 없음: 데이터 센터 접근 권한 검토회사는 최소 연 1회 데이터 센터 접근 권한을 검토합니다.
- 알 수 없음: 회사 약속 외부 공지회사의 보안 약속은 마스터 서비스 계약(MSA) 또는 서비스 약관(TOS)을 통해 고객에게 전달됩니다.
- 알 수 없음: 외부 지원 리소스 제공회사는 시스템 운영과 관련된 가이드라인과 기술 지원 리소스를 고객에게 제공합니다.
- 알 수 없음: 서비스 설명 공지회사는 내부 및 외부 사용자에게 제품과 서비스에 대한 설명을 제공합니다.
- 알 수 없음: 위험 평가 목표 명시회사는 목표와 관련된 위험을 식별하고 평가할 수 있도록 목표를 명시합니다.
- 알 수 없음: 위험 평가 수행회사의 위험 평가는 최소 연 1회 수행됩니다. 이 과정에서 서비스 약속에 대한 위협과 변화(환경적, 규제적, 기술적)를 식별하고 위험을 공식적으로 평가합니다. 위험 평가에는 부정행위 가능성과 부정행위가 목표 달성에 미칠 수 있는 영향에 대한 검토가 포함됩니다.
- 알 수 없음: 위험 관리 프로그램 수립회사는 잠재적 위협의 식별, 관련 위험의 중요도 평가, 해당 위험의 완화 전략에 대한 지침을 포함하는 문서화된 위험 관리 프로그램을 갖추고 있습니다.
데이터 및 개인정보
- 알 수 없음: 데이터 보존 절차 수립회사는 회사 및 고객 데이터의 안전한 보존과 폐기를 안내하는 공식적인 보존 및 폐기 절차를 갖추고 있습니다.
- 알 수 없음: 서비스 해지 시 고객 데이터 삭제고객이 서비스를 떠나면 회사는 모범 사례에 따라 기밀 정보가 포함된 고객 데이터를 애플리케이션 환경에서 제거하거나 삭제합니다.
- 알 수 없음: 데이터 분류 정책 수립회사는 기밀 데이터가 적절히 보호되고 승인된 인원으로 제한되도록 데이터 분류 정책을 갖추고 있습니다.
보고서
하위 처리자
데이터
Hacktron은 고객 개인 식별 정보 및 신용카드 정보를 수집합니다. 개인 건강 정보는 수집하지 않습니다.