트러스트 센터
통제 항목
인프라 보안
- 알 수 없음: 고유한 프로덕션 데이터베이스 인증 적용회사는 프로덕션 데이터 저장소에 인증할 때 고유한 SSH 키 등 승인된 보안 인증 방식을 사용하도록 요구합니다.
- 알 수 없음: 암호화 키 접근 제한회사는 암호화 키에 대한 특권 접근을 업무상 필요가 있는 승인된 사용자로 제한합니다.
- 알 수 없음: 고유한 계정 인증 적용회사는 시스템과 애플리케이션에 인증할 때 고유한 사용자 이름과 비밀번호 또는 승인된 SSH(Secure Socket Shell) 키를 사용하도록 요구합니다.
- 알 수 없음: 프로덕션 애플리케이션 접근 제한시스템 접근은 승인된 접근으로만 제한됩니다.
- 알 수 없음: 프로덕션 데이터베이스 접근 제한회사는 데이터베이스에 대한 특권 접근을 업무상 필요가 있는 승인된 사용자로 제한합니다.
- 알 수 없음: 프로덕션 OS 접근 제한회사는 운영 체제에 대한 특권 접근을 업무상 필요가 있는 승인된 사용자로 제한합니다.
- 알 수 없음: 프로덕션 네트워크 접근 제한회사는 프로덕션 네트워크에 대한 특권 접근을 업무상 필요가 있는 승인된 사용자로 제한합니다.
- 알 수 없음: 고유한 네트워크 시스템 인증 적용회사는 “프로덕션 네트워크”에 인증할 때 고유한 사용자 이름과 비밀번호 또는 승인된 SSH(Secure Socket Shell) 키를 사용하도록 요구합니다.
- 알 수 없음: 원격 접근 MFA 적용회사의 프로덕션 시스템은 유효한 다중 인증(MFA) 수단을 갖춘 승인된 직원만 원격으로 접근할 수 있습니다.
- 알 수 없음: 원격 접근 암호화 적용회사의 프로덕션 시스템은 승인된 직원만 승인된 암호화 연결을 통해 원격으로 접근할 수 있습니다.
조직 보안
- 알 수 없음: 악성코드 방지 기술 사용회사는 악의적인 공격에 취약한 환경에 악성코드 방지 기술을 배포하고, 정기적으로 업데이트하고 로그를 남기며 모든 관련 시스템에 설치되도록 구성합니다.
- 알 수 없음: 직원 신원 조회 수행회사는 신규 직원에 대해 신원 조회를 수행합니다.
- 알 수 없음: 직원의 비밀 유지 계약 확인회사는 직원이 온보딩 과정에서 비밀 유지 계약에 서명하도록 요구합니다.
제품 보안
- 알 수 없음: 데이터 암호화 사용민감한 고객 데이터를 보관하는 회사의 데이터 저장소는 저장 시 암호화됩니다.
- 알 수 없음: 통제 자체 평가 수행회사는 최소 연 1회 통제 자체 평가를 수행해 통제가 마련되어 효과적으로 운영되고 있음을 확인합니다. 관련 발견 사항에 따라 시정 조치를 취합니다. 회사가 특정 발견 사항에 대해 SLA를 약속한 경우, 시정 조치는 해당 SLA 내에 완료됩니다.
- 알 수 없음: 침투 테스트 수행회사의 침투 테스트는 최소 연 1회 수행됩니다. 수정 계획을 수립하고, SLA에 따라 취약점을 수정하기 위한 변경을 적용합니다.
- 알 수 없음: 취약점 및 시스템 모니터링 절차 수립회사의 공식 정책은 IT/엔지니어링과 관련된 다음 기능의 요구 사항을 규정합니다: 취약점 관리, 시스템 모니터링.
내부 보안 절차
- 알 수 없음: 사이버 보안 보험 유지회사는 업무 중단으로 인한 재정적 영향을 줄이기 위해 사이버 보안 보험을 유지합니다.
- 알 수 없음: 구성 관리 체계 수립회사는 시스템 구성이 환경 전반에 일관되게 배포되도록 구성 관리 절차를 마련하고 있습니다.
- 알 수 없음: SOC 2 – 시스템 설명감사 보고서 섹션 III에 들어갈 시스템 설명 작성
- 알 수 없음: 내부 고발 정책 수립회사는 공식적인 내부 고발 정책을 수립했으며, 사용자가 잠재적인 문제나 부정행위 우려를 신고할 수 있는 익명 소통 채널을 운영합니다.
- 알 수 없음: 이사회 감독 브리핑 실시회사의 이사회 또는 관련 소위원회는 최소 연 1회 고위 경영진으로부터 회사의 사이버 보안 및 개인정보 위험 현황을 보고받습니다. 이사회는 필요에 따라 경영진에게 피드백과 방향을 제시합니다.
- 알 수 없음: 이사회 헌장 문서화회사의 이사회는 내부 통제에 대한 감독 책임을 명시한 문서화된 헌장을 갖추고 있습니다.
- 알 수 없음: 이사회 전문성 강화회사의 이사회 구성원은 경영진의 정보 보안 통제 설계, 구현, 운영 역량을 감독할 수 있는 충분한 전문성을 갖추고 있습니다. 이사회는 필요에 따라 외부 정보 보안 전문가와 컨설턴트를 활용합니다.
- 알 수 없음: 이사회 회의 개최회사의 이사회는 최소 연 1회 회의를 열고 공식 회의록을 유지합니다. 이사회에는 회사로부터 독립적인 이사가 포함됩니다.
- 알 수 없음: 시스템 변경 사항 외부 공지회사는 고객의 처리에 영향을 줄 수 있는 중요한 시스템 변경 사항을 고객에게 알립니다.
- 알 수 없음: 역할 및 책임 명시정보 보안 통제의 설계, 개발, 구현, 운영, 유지 관리, 모니터링에 대한 역할과 책임은 직무 기술서 및/또는 역할 및 책임 정책에 공식적으로 지정되어 있습니다.
- 알 수 없음: 지원 시스템 제공회사는 사용자가 장애, 사고, 우려 사항 및 기타 불만에 관한 시스템 정보를 담당자에게 신고할 수 있는 외부 지원 시스템을 운영합니다.
- 알 수 없음: 시스템 변경 사항 공지회사는 시스템 변경 사항을 승인된 내부 사용자에게 알립니다.
- 알 수 없음: 접근 요청 필수회사는 범위 내 시스템 구성 요소에 대한 사용자 접근이 직무 역할과 기능에 기반하도록 하거나, 접근 권한을 부여하기 전에 문서화된 접근 요청서와 관리자 승인을 요구합니다.
- 알 수 없음: 회사 약속 외부 공지회사의 보안 약속은 마스터 서비스 계약(MSA) 또는 서비스 약관(TOS)을 통해 고객에게 전달됩니다.
- 알 수 없음: 외부 지원 리소스 제공회사는 시스템 운영과 관련된 가이드라인과 기술 지원 리소스를 고객에게 제공합니다.
- 알 수 없음: 서비스 설명 공지회사는 내부 및 외부 사용자에게 제품과 서비스에 대한 설명을 제공합니다.
- 알 수 없음: 위험 평가 목표 명시회사는 목표와 관련된 위험을 식별하고 평가할 수 있도록 목표를 명시합니다.
- 알 수 없음: 위험 평가 수행회사의 위험 평가는 최소 연 1회 수행됩니다. 이 과정에서 서비스 약속에 대한 위협과 변화(환경적, 규제적, 기술적)를 식별하고 위험을 공식적으로 평가합니다. 위험 평가에는 부정행위 가능성과 부정행위가 목표 달성에 미칠 수 있는 영향에 대한 검토가 포함됩니다.
데이터 및 개인정보
- 알 수 없음: 서비스 해지 시 고객 데이터 삭제고객이 서비스를 떠나면 회사는 모범 사례에 따라 기밀 정보가 포함된 고객 데이터를 애플리케이션 환경에서 제거하거나 삭제합니다.
보고서
하위 처리자
데이터
Hacktron은 고객 개인 식별 정보 및 신용카드 정보를 수집합니다. 개인 건강 정보는 수집하지 않습니다.