데이터를 안전하게 보호합니다

전송 중 암호화 (TLS 1.2 이상): 전송 중인 데이터는 TLS 1.2 이상으로 암호화되며, 현행 정책상 TLS 1.3을 우선 적용합니다.

미사용 데이터 암호화 (AES-256): 저장된 데이터는 AES-256으로 암호화됩니다. 클라우드 스토리지, 데이터베이스, 백업 모두 동일하게 적용됩니다.

애플리케이션 레벨 암호화: 필드 레벨 암호화(Field-level Encryption)와 메시지 레벨 암호화(Message-level Encryption)를 지원합니다. 급여·계좌번호·주민번호 등 민감 필드와 메신저 메시지는 DB 저장 전 애플리케이션 단에서 추가로 암호화됩니다.

양자 내성 암호화 (PQC): TLS 연결에 ML-KEM-768 기반 하이브리드 키 교환을 적용해 미래 양자 컴퓨터 환경에 대비합니다.

키 관리 (AWS KMS): 암호화 키는 AWS KMS로 중앙 관리됩니다. 서비스별로 키를 분리하며, 접근·사용 내역은 모두 기록됩니다.

다단계 인증 (MFA): 모든 사용자 계정에 2단계 인증을 지원합니다.

SAML 2.0 SSO: 조직의 ID 공급업체와 연동해 Single Sign-On을 지원합니다. 기존 계정 하나로 Vertixion에 로그인할 수 있습니다.

SCIM 자동 프로비저닝: SCIM 2.0 표준으로 계정 생성·수정·비활성화를 자동화합니다. 직원 입퇴사 시 즉시 반영됩니다. Okta · Azure AD · Google Workspace · OneLogin 등 주요 IdP와 연동됩니다.

역할 기반 권한 (RBAC): 직무와 필요에 따라 접근 권한을 세분화합니다. 최소 권한 원칙을 적용해 필요한 데이터에만 접근할 수 있습니다.

네트워크·IP 접근 제어: 조직별 IP 화이트리스트와 보안 정책을 통해 허용된 네트워크에서만 시스템에 접근할 수 있습니다. 비인가 위치에서의 접근을 차단합니다.

네트워크 격리 (VPC): 고객 데이터는 외부 인터넷과 분리된 사설 네트워크(VPC·프라이빗 서브넷)에서만 처리됩니다. 보안그룹(방화벽)으로 업무에 필요한 통신만 허용하고, 그 외 모든 접근은 차단합니다.

운영진 접근 통제: Vertixion 운영진의 테넌트 데이터 변경은 사유 기록과 시간 제한이 있는 명시적 승인 절차를 거쳐야 하며, 애플리케이션을 통한 모든 관리 작업은 위·변조 감지가 가능한 감사 로그에 기록됩니다. 운영자 계정에는 2단계 인증(OTP)이 적용되고, 데이터베이스는 외부 접근이 차단된 프라이빗 네트워크에서 인증된 경로로만 접근합니다.

WAF (Web Application Firewall): SQL 인젝션·XSS 등 OWASP Top 10 공격 패턴을 차단합니다. 모든 퍼블릭 엔드포인트에 적용됩니다.

GuardDuty: 머신러닝 기반으로 비정상 API 호출, 악성 IP 접근, 계정 침해 시도를 실시간으로 탐지합니다.

Inspector: EC2 인스턴스와 컨테이너 이미지의 소프트웨어 취약점을 지속 스캔하고 CVE 기반으로 우선순위를 부여합니다.

Security Hub: GuardDuty·Inspector·Config 결과를 통합해 AWS 보안 모범 사례 기준으로 전체 보안 상태를 한눈에 관리합니다.

CloudTrail: 모든 API 호출과 콘솔 작업을 기록합니다. 로그인·데이터 접근·권한 변경 등 모든 보안 활동을 추적할 수 있습니다.

SIEM 연동: 외부 보안 정보 및 이벤트 관리 시스템과 연동해 통합 모니터링을 지원합니다.

사고 대응: 보안 사고 발생 시 식별, 격리, 복구 및 사후 분석 절차에 따라 대응합니다.

클라우드 인프라 보안 인증 (AWS): Vertixion은 ISO 27001·SOC 2 등 국제 보안 인증을 보유한 AWS 인프라 위에서 운영됩니다. 해당 인증은 인프라 제공자인 AWS에 대한 것입니다.

개인정보보호법 준수: 개인정보보호법에 따라 고객 데이터의 수집·이용·보관·파기를 관리하며, 개인정보 처리방침을 공개하고 안전성 확보조치(암호화·접근통제·접근기록)를 적용합니다.

자동 백업 및 복구: 모든 데이터가 자동으로 백업되며(최대 30일 보관) Point-in-Time Recovery를 지원합니다. 장애가 발생해도 원하는 시점으로 복구해 데이터 손실을 최소화합니다.

보안 취약점 제보: 보안 취약점이나 우려 사항은 contact@vertixion.ai 로 제보해 주시면 신속히 검토·대응합니다.

AWS Config: 리소스 설정 변경 이력을 기록하고 보안 정책 준수 여부를 자동으로 평가합니다.

데이터 삭제 및 반환: 모든 데이터는 고객 소유입니다. 서비스 해지 시 요청에 따라 반환하거나 90일 이내 완전 파기합니다.

다운로드 통제: 대량 데이터 다운로드를 제한해 내부 유출을 방지합니다.

워터마크: HR 문서(계약서·급여명세)와 메신저 첨부에 워터마크를 적용해 출처를 추적합니다.

개인정보 자동 탐지: 대량 업로드 시 주민등록번호·계좌번호 등 개인정보를 자동으로 검출해 기록·경고합니다.

이상 행동 탐지: 대량 다운로드·다중 IP 동시 로그인 등 비정상 패턴을 감지해 알림을 발송합니다.

개인정보는 국내에서만 처리: AI 기능이 처리하는 개인정보는 한국(서울) 데이터센터에서만 처리합니다. 특히 개인정보가 담길 수 있는 문서 분석(스캔 서류·명함·영수증)은 국외로 전송되지 않도록 시스템 차원에서 차단하며, 오류가 나면 전송을 진행하지 않고 멈춥니다.

인사 서류 스캔 분석 시 중요 개인정보 자동 가림: 여러 직원의 인사 서류를 스캔해 한 번에 분석할 때는, 문서를 이미지로 변환해 중요 개인정보가 있는 영역을 문자 인식(OCR)으로 찾아 검게 가린 뒤에만 AI로 전달합니다. 가린 뒤 한 번 더 검사해 남은 정보가 없는지 확인하며, 확실히 가려지지 않은 문서는 AI로 보내지 않고 담당자가 직접 확인하도록 넘깁니다.

AI 제공사에 데이터가 남지 않음: 전송된 데이터는 AI 모델 학습에 사용되지 않으며, AI 제공사(Google) 측에 저장되지 않도록 설정했습니다. 처리에 필요한 순간에만 쓰이고 이후 남지 않습니다.

관리자가 AI 사용 범위를 직접 통제: 조직 관리자가 AI가 할 수 있는 작업의 범위를 직접 정할 수 있습니다. 허용·차단할 기능, 금액 한도, 사용 가능 시간대, 금지어 등을 조직별로 설정하고, 이를 벗어나는 요청은 자동으로 차단하거나 경고합니다.

중요한 변경은 사람이 승인: AI가 제안하는 데이터 변경은 자동으로 실행되지 않습니다. 담당자가 내용을 확인하고 승인한 경우에만, 그 사람의 권한 범위 안에서 실행됩니다.

답변 근거 검증: AI 답변에 포함된 수치가 실제 데이터에 근거하는지 확인합니다. 근거를 확인할 수 없는 값이 나오면 설정에 따라 차단하거나 경고를 표시합니다.

모든 AI 사용 기록·이상 감지: 모든 AI 호출을 기록해 언제·무엇에 사용됐는지 추적할 수 있습니다. 기록은 위·변조를 탐지할 수 있는 방식으로 보관하며(프롬프트·답변 본문은 원문 대신 지문값으로 저장), 정책에 의해 차단된 요청은 운영팀에 실시간으로 알려 즉시 검토합니다. 「EU AI Act」의 기록 요건을 반영해 설계했습니다.