내 데이터는 어떻게 보호됩니까?
탈레스 Data Protection on Demand에는 어떤 인증이 있습니까?
탈레스 DPoD(온디맨드 데이터 보호)는 FIPS 140-2 레벨 3, ISO 27001 및 SOC 유형 2에 대한 독립적인 감사 및 인증을 받았습니다.
탈레스 DPoD(온디맨드 데이터 보호)에 FIPS 인증이 있습니까?
탈레스 Data Protection on Demand에 사용되는 HSM은 FIPS 140-2 레벨 3 인증을 받았습니다.
내 데이터는 어떻게 보호됩니까?
"내 데이터"를 다른 고객의 데이터와 어떻게 분리합니까?
테넌트 관리자는 자신의 계정에 속한 데이터에만 액세스할 수 있습니다. 테넌트 특정 세부 정보 및/또는 메타데이터는 볼륨 암호화를 사용하여 저장 상태 시 보호됩니다.
탈레스, 또는 서비스 제공업체, 다른 사람이 Luna Cloud HSM 서비스에 저장된 내 암호화 키에 액세스할 수 있습니까?
HSM On Demand 인스턴스가 초기화되면 서비스 소유자는 보안 책임자 및 암호 책임자 역할 모두에 대한 암호 또는 비밀 구문을 생성합니다.
이러한 비밀은 파생 체계에 사용되며 HSM이 암호화 자료의 봉인을 관리하는데 필요합니다.
보안 책임자/암호화 책임자만이 이러한 비밀을 소유하고 있습니다. 필요에 따라 자격 증명을 공유하는 것은 해당 담당자의 재량에 달려 있습니다.
암호화 및 데이터 무결성은 얼마나 강력합니까?
테넌트 특정 세부 정보 및/또는 메타데이터는 볼륨 암호화를 사용하여 저장 상태 시 보호됩니다.
각 PoP 내에서, 라우터와 방화벽으로 정교하게 구성된 네트워크가 네트워크 분리, 무결성 및 데이터의 기밀성과 해당 데이터에 대한 액세스를 보장합니다.
네트워크 자체 내에서, 내부 방화벽은 애플리케이션과 데이터베이스 계층 간의 트래픽을 분리하여 비밀성과 무결성을 보장하고 높은 수준의 가용성을 제공합니다.
서비스 침투 테스트
탈레스 Data Protection on Demand는 정기적인 애플리케이션 및 네트워크 침투 테스트를 거칩니까?
탈레스 애플리케이션은 타사의 정기적인 애플리케이션 및 네트워크 침투 테스트를 거치며 탈레스 Data Protection On Demand는 이 사례를 따릅니다. 평가 방법론에는 ISECOM의 OSSTMM(Open Source Security Testing Methodology Manual), OWASP(Open Web Application Security Project), 웹 애플리케이션 보안 컨소시엄(WASC) 및 ISO 27001:2013 정보 보안 표준과 같은 방법론에 의해 정의된 "동급 최고의" 모범 사례를 기반으로 하는 구조화된 검토 프로세스가 포함됩니다.
애플리케이션 보안 감사의 그레이박스 접근 방식이 감사 목적으로 채택됩니다. 다음 그림은 테스트 중인 일부 보안 공격 벡터를 보여줍니다. 발견된 모든 문제는 일반 개발 주기의 일부로 해결됩니다.
취약성 관리자
취약점 관리 프로그램의 증거를 보여줄 수 있습니까?
탈레스 소프트웨어 애플리케이션은 타사의 정기적인 애플리케이션 및 네트워크 침투 테스트를 거칩니다.
평가 방법론에는 ISECOM의 OSSTMM(Open Source Security Testing Methodology Manual), OWASP(Open Web Application Security Project), 웹 애플리케이션 보안 컨소시엄(WASC) 및 ISO 27001:2013 정보 보안 표준과 같은 방법론에 의해 정의된 "동급 최고의" 모범 사례를 기반으로 하는 검토 프로세스가 포함됩니다.
취약점 수정 프로세스는 어떻게 이루어집니까?
잠재적인 보안 사고가 감지되면 권한을 부여 받은 담당자가 사전에 정의된 사고 관리 프로세스를 시작합니다. 시정 조치는 정의된 정책 및 절차에 따라 실행됩니다.
실제 서비스 업데이트 전에 다음 작업이 수행됩니다.
- 프로비저닝 테스트: 이것은 통제된 환경의 업데이트된 서비스에서 수행되며 탈레스 서비스 운영 팀에서 수행합니다. 이 테스트의 결론으로 코드는 3번의 테스트를 성공적으로 통과했으며 각각 다른 그룹에서 수행했습니다. 이 세 테스트는 개발자가 수행한 단위 테스트, QA 그룹에서 수행한 스프린트 코드 테스트, 그리고 서비스 작업에서 수행한 서비스 업데이트 프로비저닝 테스트입니다.
- PRN(계획된 출시 알림)은 업데이트 범위 및 실제 서비스 업데이트 계획 날짜를 알리기 위해 기존의 모든 고객에게 전송됩니다.
- 침투 테스트: 침투 테스트는 비 운영 시스템에서 수행되지만 운영 서비스와 동일한 환경에서 실행됩니다.
- 마지막 단계에서 모든 데이터는 운영 서비스에서 백업되므로 탈레스는 예기치 않은 문제가 발생할 경우 즉시 롤백할 수 있습니다.
네트워크 및 애플리케이션의 취약점을 얼마나 자주 스캔합니까?
당사는 서버 및 네트워크 장비에 대한 모든 패치에 대한 월간 검토를 수행합니다.
탈레스 내부 통제 및 절차
탈레스는 여러 내부 서비스 통제를 수행합니까?
예, 탈레스는 ISO27001 및 SOC2 범위에 따라 내부 네트워크 및 정보 보안, 기술 기반 제어, 물리적 액세스 및 환경 제어, 문제 관리, 변경 관리, 분리 업무, 시스템 소프트웨어 변경 관리를 포함하되 이에 국한되지 않는 내부 서비스 제어를 수행합니다.
데이터 센터의 물리적 보안
데이터 센터의 물리적 보안에 수반되는 조치는 무엇입니까?
물리적 보안은 모든 클라우드 기반 서비스를 뒷받침하므로 모든 데이터 센터에는 도보 순찰 및 업계 모범 사례를 준수하는 액세스 제어가 포함된 경계 검사를 포함하여 24시간 유인 보안이 이루어집니다. 이는 데이터 센터에 따라 다를 수 있지만 근접성, 생체 인식, 키, PIN, 또는 이 같은 제어 방식들의 다양한 조합이 포함될 수 있습니다.
데이터 센터는 자산 탈취를 추적하는 각 시설과 그 경계 전체에 걸쳐 비디오 감시 장치를 완벽하게 갖추고 있어 해당 장비에 보관된 데이터의 장비와 보안이 보장됩니다. 데이터 센터는 또한 최첨단 기술을 활용하여 연결성, 전원, 안전 및 보안의 이중화를 보장합니다.
탈레스 DPoD(온디맨드 데이터 보호) 서비스의 물리적 보안 기능은 무엇입니까?
- 각 시설에 영상감시 카메라 설치
- 24시간 연중무휴 유인 보호—데이터 센터에 대한 보안되지 않은 액세스 없음
- 데이터 센터 입장 시 항상 다단계 인증 사용
네트워크 회복력
탈레스는 언제든지 가장 탄력적인 네트워크를 선택할 수 있는 능력을 어떻게 유지합니까?
프라이빗 데이터 센터는 주요 인터넷 서비스 제공자(ISP)에 대한 다중 공급업체 및 중립 네트워크 연결과 함께 제공되며 주요 인터넷 허브 근처에 있습니다.
데이터 센터에 대한 네트워크 연결은 어떻게 제공됩니까?
데이터 센터에 대한 네트워크 연결은 인증 요청 처리의 최소 대기 시간을 보장하기 위해 광섬유 연결을 통한 고용량 대역폭의 보안 링크를 사용하여 제공됩니다. 모든 광섬유 기반 연결은 안전한 콘크리트 볼트를 통해 데이터 센터 건물에 들어갑니다.
PoP의 내부 네트워크 인프라는 무엇을 기반으로 합니까?
PoP의 내부 네트워크 인프라는 고속 광섬유 기반 네트워크를 기반으로 구축되어 고용량 처리량을 보장합니다. 이 인프라는 고도로 안전한 네트워크 방화벽과 라우터를 통한 다중 연결을 사용하여 최적의 트래픽 전달은 물론 완전한 이중화를 제공합니다.
탈레스 Data Protection on Demand (DPoD) 서비스 PoP의 네트워크 보안 기능은 무엇입니까?
- 데이터 센터는 네트워크 업체 중립적입니다.
- 각 데이터 센터의 다중 광섬유 채널
- 지속적인 고대역폭 인터넷 액세스를 보장하기 위해 여러 인터넷 서비스 제공업체를 사용합니다.
전력 공급 이중화
데이터 센터에는 전력이 어떻게 공급됩니까?
전력은 지하 유틸리티 전력 공급을 사용하여 데이터 센터에 전달되며, 그 다음 로컬 디젤 연료 저장 장치가 있는 현장 중복(N+1) 디젤 발전기에 의해 보충 및 백업됩니다.
전원은 중복(N+1) CPS/UPS 시스템을 통해 전산실에 공급되어 지속적인 공급을 보장하고 중복 PDU(전원 분배 장치)를 사용하여 PoP 장비 랙에 전원을 공급합니다. 이것은 지속적인 고대역폭 인터넷 액세스를 보장합니다.
데이터 백업 및 복구
탈레스가 스토리지 볼륨 사본을 보관하기 위해 사용하는 방법은 무엇입니까?
클라우드 내에서 탈레스는 스냅샷을 사용하여 애플리케이션 인스턴스와 연결된 스토리지 볼륨의 복사본을 유지합니다.
스냅샷은 자주 생성되고 삭제됩니다. 데이터베이스 백업은 관계형 데이터베이스 백업을 사용하여 관리됩니다. 애플리케이션 로그는 온라인으로 유지되며 정해진 기간 동안 안전하게 저장됩니다. 데이터는 데이터가 저장되는 지역에 적용되는 규정 준수에 상응하는 기간 동안 보관됩니다.
얼마나 자주 서비스 전체 복원 테스트를 수행합니까?
서비스 전체 복원 테스트는 매년 수행됩니다. 이 테스트를 위해 오프사이트 스토리지에서 테이프를 회수하고 데이터를 테스트 환경으로 복원합니다.
탈레스는 재해 복구 계획을 가지고 있습니까?
예. 탈레스는 공식 재해 복구 계획을 배포합니다. 계획은 매년 유지되고 테스트됩니다. 테스트 중에 식별된 모든 문제는 공식적으로 논의되고 개선 계획이 수립됩니다. 또한 탈레스는 업데이트가 필요한지 여부를 결정하기 위해 매년 검토되는 공식적인 비즈니스 연속성 계획을 가지고 있습니다. 사소한 처리 오류 및 중단에 대해서도 해결하기 위한 절차가 문서화되어 있습니다.