보안
구체적인 보안 통제로
고객 데이터를 관리합니다
문서박사는 접근 통제·데이터 암호화·주기적 백업 등 구체적 통제를 적용하여 문서와 개인정보를 관리합니다.
데이터 암호화2단계 인증IP 접근 제어접근 통제개인정보 보호인프라 보안
TRUST ARCHITECTURE
기술 기반의 신뢰 체계
문서박사는 물리적 분리, 데이터 암호화, 이력 대조 해시 체인으로 신뢰를 구축합니다.
테넌트 물리 분리
사업자별 독립 DB 파일로 물리적 격리
전송/저장 암호화
TLS 1.3 통신 및 비밀번호 단방향 해싱
SHA-256 해시 체인
이력 대조로 사후 데이터 변경 탐지
데이터 삭제 절차 수행
계정 삭제 시 서비스 데이터 삭제 절차를 수행하며 법령상 보존 의무와 백업 정책의 예외는 별도 안내합니다.
시스템 구현 실증 및 기술적 범위※ 실제 제품 비식별 캡처 및 구현 기술 기준
사후 위변조 탐지
SHA-256 감사 로그 해시 체인
구현 및 역할: 서명 요청·열람·완료 등 주요 행위시 이전 블록 해시와 결합한 SHA-256 체인을 저장하여 사후 이력 변경 여부를 대조·탐지할 수 있습니다.
기술적 한계: 해시 체인은 시스템에 저장된 데이터의 사후 변경 여부를 기술적으로 증명하며, 최초 문서 작성 이전 당사자 간 오프라인 사전 합의의 진위 여부를 결정하지는 않습니다.
SECURITY MEASURES
다층 보안으로 데이터를 보호합니다
데이터 암호화
- HTTPS/TLS (Caddy 자동 인증서)로 전송 구간 암호화
- 비밀번호는 scrypt + salt 단방향 해싱
- timingSafeEqual로 타이밍 공격 방지
2단계 인증 (2FA)
- TOTP 기반 2단계 인증 (RFC 6238)
- Google Authenticator, Authy 등 호환
- QR코드 스캔으로 간편 설정
- 로그인 시 비밀번호 + 6자리 코드 이중 검증
IP 접근 제어
- 사용자별 IP 화이트리스트 설정
- CIDR 표기 지원 (서브넷 단위)
- 허용되지 않은 IP에서 로그인 차단
- 로그인 시점 체크 (성능 영향 없음)
접근 통제
- JWT 세션: 2시간 토큰 + 8시간 절대 만료
- 역할별 4단계 접근 제어 (개발자/파트너/사업자/직원)
- 직원별 세부 기능 권한 설정
- 비밀번호 정책: 8자 이상 + 영문/숫자 조합
개인정보 보호
- 테넌트별 물리적으로 분리된 데이터베이스
- 개인정보 접근 권한 최소화 원칙
- 계정 삭제 시 규정에 따른 서비스 데이터 삭제 절차 진행
- 서명 감사 로그는 익명화 후 영구 보존
- 접속기록 2년 자동 보관 후 파기 (PIPA 시행령 제30조의2)
인프라 보안
- 전용 서버 운영 (공유 호스팅 아님)
- NFS 기반 파일 스토리지 이중화
- 일일 자동 백업 (SSH 원격 NAS)
INCIDENT RESPONSE
침해사고 대응 체계
실시간 모니터링
- 방화벽으로 비정상 트래픽 차단
- Rate Limiting으로 API 남용 방지
- 미들웨어 레벨 보안 헤더 적용
감사 로그
- 서명 행위 블록체인식 해시 체인 기록
- 로그인·로그아웃 및 주요 권한 변경 이벤트 추적
- HTTP 요청·민감 데이터 조회 기록 (Avro 압축 저장)
- 관리자의 타 테넌트 열람 별도 구분
- IP·브라우저·시각 기록, 월 1회 자동 점검 리포트
네트워크 보안
- XSS, CSRF 방지 헤더 자동 적용
- CORS 정책으로 비인가 도메인 차단
- X-Frame-Options DENY로 클릭재킹 방지
INTERNAL SECURITY
정보 관리 및 내부 보안
정보 파기 절차
개인정보: 사용 목적 달성 후 또는 계정 삭제 요청 시 즉시 파기
문서 데이터: 계정 삭제 시 테넌트 데이터 삭제 절차를 수행하며 법령상 보존 의무 및 백업 보관 기간에 따른 예외는 별도 안내됩니다.
법률 준수
- 전자서명법, 전자문서 및 전자거래 기본법 준수
- 개인정보보호법에 따른 안전성 확보 조치 수행
- 개인정보보호법 시행령 제30조의2에 따른 접속기록 2년 보관 및 월 1회 점검
- 정보통신망 이용촉진 및 정보보호 등에 관한 법률 준수