보안 대책

1. 기본 방침

당사는 정보 보안 방침에 정한 안전관리 조치를, 정보 보안의 국제적 기본 개념인 기밀성(Confidentiality)·무결성(Integrity)·가용성(Availability)의 세 가지 관점에서 정리하여 설계·운영하고 있습니다.

2. 권한 관리

• 모든 기능·API 접근에 이용자 인증을 필수로 하며, 권한은 역할(관리자·일반 이용자 등)에 따라 최소한으로 부여합니다(최소 권한의 원칙). 이용자 추가·권한 변경·삭제 등의 관리 조작은 관리자 권한을 가진 이용자로 한정합니다.
• 고객(테넌트)별로 데이터를 논리적으로 분리하여 다른 고객의 데이터에는 접근할 수 없는 설계입니다. 데이터의 조회·갱신은 항상 고객 단위 범위로 한정하여 수행됩니다.
• 부서 단위의 접근 범위 제한(일반 이용자는 소속 부서의 통화 이력만 열람 가능)을 지원합니다.
• 운영사 측의 특권 조작은 지정된 담당자만 수행할 수 있는 설계이며, 일반적인 이용자 등록 과정에서 특권이 부여되는 일은 없습니다.

3. 로그 관리

• "누가·언제·무엇을 했는가"를 감사 로그로 기록합니다. 대상에는 로그인(성공·실패), 이용자·설정 변경, 통화 이력 열람·음성 재생, 요금제 변경 등의 중요 조작이 포함됩니다.
• 감사 로그는 고객 관리자가 관리 화면에서 확인할 수 있습니다.
• 시스템의 접근 로그·가동 로그는 클라우드 기반에서 집중 관리하며, 장애·부정 접근 조사에 이용할 수 있는 상태를 유지합니다.

4. 백업·데이터 보존

• 데이터베이스는 클라우드 사업자의 매니지드 기능에 의한 자동 백업으로 운영합니다. 첨부 서류 등의 파일은 높은 내구성을 갖춘 오브젝트 스토리지에 보관합니다.
• 통화 이력 데이터는 고객이 관리 화면에서 선택한 보존 기간(30일부터 180일까지, 초기 설정은 180일)을 초과하면 표시 대상에서 제외되며, 해당 통화의 텍스트 변환, 녹음, 요약 및 상대방 전화번호는 정기 처리로 삭제합니다. 삭제된 데이터는 복원할 수 없습니다. 다만, 요금 청구에 필요한 기록(통화 일시·통화 시간)은 보존합니다(개별 계약에서 달리 정한 경우 제외).
• 신용카드 정보는 당사 시스템에 저장하지 않습니다(§6 참조).

5. 장애 복구

• 서비스는 이중화된 매니지드 클라우드 기반에서 운영하며, 릴리스는 무중단 롤링 방식으로 수행합니다. 변경은 하위 호환을 유지하는 방침이며, 문제 발생 시 이전 버전으로 되돌릴 수 있는 운영 체제를 갖추고 있습니다.
• 일 단위의 집계·삭제 등 자동 처리는 실패를 감지하여 통지하는 구조를 갖추고 있으며, 이상 발생 시 운영 담당자가 대응합니다.
• 장애·보안 사고 발생 시의 대응(영향 파악·확대 방지·복구·재발 방지·고객 연락)은 정보 보안 방침 "5. 사고 대응"에 정한 절차를 따릅니다.

6. 데이터 암호화

• 고객의 브라우저·전화 기반·외부 서비스와의 통신은 모두 암호화(TLS)하여 수행합니다.
• 저장되는 데이터는 클라우드 사업자가 제공하는 저장 시 암호화 기능으로 보호합니다.
• 비밀번호는 원래 값으로 복원할 수 없는 비가역 해시 형태로만 저장하며 평문으로 보관하지 않습니다. 비밀번호 재설정·본인 확인 코드류도 동일하게 보호합니다.
• 신용카드 정보는 당사 시스템에 보유하지 않으며, PCI DSS를 준수하는 결제 대행 사업자에게 처리를 위탁하고 있습니다.
• 전화 기반·결제 사업자로부터의 통지(Webhook)는 서명 검증으로 발신원의 진정성을 확인한 후 처리합니다.

7. 가용성 확보

• 애플리케이션은 복수 인스턴스의 병행 가동을 전제로 설계하여 부하나 장애의 영향을 국소화합니다.
• 과도한 접근에 의한 영향을 억제하기 위해 API에 요청 빈도 제한을 두고 있습니다.
• 이용 요금의 예산 상한 알림, 스팸·장난 전화에 대한 착신 가드 등 예상치 못한 이용으로부터 고객을 보호하는 구조를 제공합니다.
• 가동 상황을 모니터링하며, 이상을 감지한 경우 운영 담당자에게 통지됩니다.

8. 보안 인증·제3자 평가

객관적인 제3자 평가를 통해 보안 수준을 지속적으로 검증·개선해 나가기 위해, 다음 인증 취득·평가 실시를 계획하고 있습니다. 취득·실시 상황은 이 페이지에서 수시로 갱신합니다.

※ 위 표는 향후 예정·계획을 포함합니다. 현시점에서 취득 완료된 인증은 없습니다.

9. 보안 점검 대응

조달·거래에 수반되는 정보 보안 조사표(보안 체크시트)에 대한 회답이나, 이 페이지에 기재되지 않은 사항에 관한 질문에는 개별적으로 대응합니다. 문의하기를 통해 상담해 주십시오.