보안 & 규정 준수

1. 암호화

• 모든 트래픽은 HSTS 및 비보안 요청의 자동 업그레이드를 통해 HTTPS/TLS로만 제공됩니다.
• 데이터베이스 및 파일 데이터는 클라우드 공급자 인프라에 암호화되어 저장됩니다.
• 타사 서비스 인증 정보는 서버에 비밀로 저장되며 브라우저에 노출되지 않습니다.

2. 접근 제어

• 인증된 계정 및 직원 역할로만 관리 데이터에 액세스할 수 있습니다.
• 역할은 별도의 테이블에 유지되며 각 작업 시 서버에서 확인됩니다.
• 행 수준 보안(RLS) 정책은 클라이언트의 직접적인 접근을 차단합니다.

3. 애플리케이션 방어

• 알려진 공격 패턴(SQLi, XSS, 경로 탐색, 프로빙)에 대한 경로별 규칙을 사용하는 애플리케이션 방화벽.
• 공개 양식 및 중요 경로에 대한 속도 제한, 안전한 429 응답.
• 엄격한 보안 헤더: CSP, HSTS, nosniff, referrer policy, permissions policy.
• 클라이언트 및 서버의 스키마를 이용한 모든 입력 유효성 검사.

4. 24/7 모니터링 및 이벤트

• 모든 활성 도메인에 대해 15분마다 HTTPS/TLS 자동 검사 (체인, 발급자 및 만료일 확인).
• 심각도, 상관 ID 및 식별/해결 흐름을 포함한 보안 이벤트 기록.
• 임계값을 포함하여 치명적인 발견 사항에 대해서만 이메일 알림을 보내고 반복 경고를 방지합니다.
• 모든 배포에서 종속성 검사 및 정적 코드 분석.

5. 로깅 및 추적성

모든 관리 활동, 상태 변경, 이메일 전송 및 GDPR 요청은 사용자, 시간, 식별자와 함께 기록되어 규정 준수를 위한 완전한 감사 추적을 제공합니다.

6. 보존 및 백업

데이터베이스 백업은 인프라 제공업체에서 수행합니다. 로그 파일은 규정된 보존 정책에 따라 보존되며, 만료 후 자동으로 삭제됩니다.

7. 책임 있는 취약점 공개

잠재적인 취약점을 발견하시면 info@veritron.co로 “Security”라는 제목으로 보고서를 보내주십시오. 복구되기 전에 공개하지 않기를 요청하며, 72시간 이내에 초기 답변을 드릴 것을 약속드립니다.

실제 사용자 가용성 또는 데이터에 영향을 미치는 테스트는 피해주세요.