법률

GGWP 보안 개요

GGWP는 보안을 최우선으로 생각합니다。 아래 절차는 패치 적용, 모니터링, 암호화, 접근 제어, 사고 대응 및 재해 복구를 다룹니다。

최종 업데이트：9/1/2023

보안 업데이트 및 패치

당사는 데이터 보관 기간과 GDPR, CCPA 등의 데이터 보호법 준수를 규정하는 GGWP의 개인정보 처리방침을 따릅니다。

탐지：무단 활동이나 데이터 침해를 실시간으로 모니터링합니다。 사고 유형은 다음과 같습니다：
- 권한이 없는 직원이나 제3자가 정보를 사용한 경우；
- GGWP Inc.의 AWS 환경에서 정보가 부적절하게 다운로드되거나 복사된 경우；
- 정보가 담긴 장비나 기기를 분실하거나 도난당한 경우；
- 정보가 담긴 장비나 기기가 무단 활동（예：해킹, 악성 소프트웨어）의 대상이 된 경우；
- 개인정보가 부적절하게 공개되거나, 접근 또는 전송된 경우。
분석：사고 탐지 즉시 DevOps 팀이 평가를 수행하여 추정 근본 원인을 파악합니다。 분석 내용은 로그에 기록하고 문서화합니다。
봉쇄：근본 원인의 영향을 완화하고 추가 피해를 방지하기 위해 신속하게 조치합니다。 추가 통제 조치를 적용할 수 있습니다。
제거：공격자의 환경 접근 권한을 포함하여 시스템의 취약점과 침해 요소를 제거합니다。
복구：영향을 받은 시스템을 완전히 정상화하기 위해 협력하여 복구를 진행합니다。
사고 후 조치：
- 고위 경영진이 검토합니다。
- 내부 및 외부에 적절한 커뮤니케이션이 이루어지도록 합니다。
- 법률 자문을 받거나 법 집행 기관과 협력할 수 있습니다。
- 예방 조치：사고 후 회고 및 검토 결과를 바탕으로 시행합니다。

버전 관리
- 버전 2.0
- 매년 검토하며, 프로세스의 미비점이 확인되면 업데이트합니다
목표
- RTO 및 RPO：SLA 계약에 따라 심각도 1 사고의 경우 24시간 이내로 설정합니다。
런북
- 낮은 심각도：단순 장애를 포함하며, 일반적으로 코드 롤백으로 해결합니다。
- 높은 심각도：데이터 손실, 침해 및 장기 장애를 포함합니다。 상세 런북이 마련되어 있습니다。
담당 인력
- 낮은 심각도：당직 엔지니어가 처리합니다。
- 높은 심각도：당직 엔지니어와 DevOps 엔지니어가 함께 대응합니다。
절차
- 낮은 심각도：일반적으로 코드 롤백으로 해결합니다。
- 높은 심각도：코드 롤백, 코드 롤포워드, 데이터베이스 복원 및 보안 절차를 포함합니다。
추적
- 이벤트 로그：발생한 이벤트와 가능한 해결 방안을 상세히 추적합니다。
테스트
- 연례 검토：매년 DR 런북을 실행하고 테스트하며, 회고 분석을 수행합니다。

데이터 무결성이나 개인정보 보호에 영향을 미치는 심각한 사고가 발생하면, GGWP는 합리적으로 가능한 한 신속하게 이용 가능한 모든 커뮤니케이션 채널을 통해 알립니다。

SOC 2 보고서를 공유하고 인프라 및 법무팀의 보안 질문서에 답변해 드릴 수 있습니다。