보안 개요
KYRA AI MDR은 보안 우선 원칙을 기반으로 구축되었으며, 플랫폼의 모든 계층에 걸쳐 심층 방어(defense-in-depth)를 구현합니다. 민감한 고객 데이터를 처리하는 보안 제품으로서, 데이터 보호, 접근 제어, 운영 보안에 대한 업계 표준을 상회합니다.
Multi-Tenant 격리
데이터 격리
- 모든 데이터 테이블에 Row-level tenant 격리 적용
- 모든 요청에 대해 애플리케이션 계층에서 tenant context 적용
- 여러 검증 지점에서 cross-tenant 접근 방지 검증
- tenant별 저장 데이터 암호화 키 제공
네트워크 격리
- 인터넷에 직접 노출되지 않는 Private 네트워크 세그먼트
- 모든 플랫폼 컴포넌트 간 암호화된 통신
- 서비스 간 통신에 Mutual TLS 인증 적용
- 모든 공개 엔드포인트에 Web Application Firewall (WAF) 보호 적용
인증 및 인가
인증
- 토큰 유효기간을 설정할 수 있는 JWT 기반 인증
- Okta, Azure AD, Google 및 커스텀 프로바이더와의 SSO 연동 (OIDC)
- 백업 복구 코드를 포함한 TOTP 기반 2단계 인증
- 프로그래밍 방식 접근을 위한 API Key 관리
인가
- 3가지 기본 역할(Admin, Analyst, Viewer)을 제공하는 역할 기반 접근 제어 (RBAC)
- 도메인 수준 접근 제어를 포함한 세분화된 권한 모델
- 메서드 수준의 인가 적용
- 모든 접근 및 작업에 대한 포괄적인 감사 로깅
암호화
저장 데이터 (Data at Rest)
- 모든 저장 데이터에 AES-256 암호화 적용
- 고객 관리형 암호화 키
- 암호화된 백업 및 아카이브
- 안전한 키 순환 절차
전송 데이터 (Data in Transit)
- 모든 클라이언트-플랫폼 통신에 TLS 1.3 적용
- Collector-플랫폼 연결에 Mutual TLS 적용
- 암호화된 서비스 간 통신
- 자동 순환을 통한 인증서 관리
API 보안
- 서비스 티어 기반의 tenant별 Rate Limiting
- 요청 검증 및 입력 값 검증(Sanitization)
- Origin 허용 목록 기반의 CORS 보호
- 모든 응답에 보안 헤더 적용 (X-Frame-Options, CSP, HSTS)
- 하위 호환성을 보장하는 API 버전 관리
Secrets 관리
- 자동 순환을 지원하는 중앙 집중식 Secrets 관리
- 설정 파일에 평문 자격 증명 미포함
- 암호화된 환경 변수 처리
- 모든 Secret 접근에 대한 감사 추적
모니터링 및 인시던트 대응
- 플랫폼 인프라에 대한 실시간 보안 모니터링
- 의심스러운 플랫폼 활동에 대한 자동 알림
- 플랫폼 보안 이벤트에 대한 정의된 인시던트 대응 절차
- 정기적인 보안 평가 및 모의 해킹(Penetration Testing)
컴플라이언스
플랫폼은 다음 프레임워크에 대한 컴플라이언스를 지원합니다 (티어에 따라 가용 범위가 다름):
- ISMS-P: 한국 정보보호 관리체계 (MDR 티어 이상)
- SOC 2: 보안, 가용성 및 기밀성 통제 (PRO 티어 이상)
- ISO 27001: 정보보호 관리체계 (CUSTOM 티어)
- PCI-DSS: 지불카드 산업 컴플라이언스 (CUSTOM 티어)
- GDPR: 데이터 거주지, 삭제권, 데이터 이동성 (CUSTOM 티어)
다중 프레임워크 컴플라이언스(ISMS-P, SOC 2, ISO 27001, PCI-DSS, GDPR)가 필요한 경우 CUSTOM 티어를 권장합니다.
취약점 관리
- 정기적인 의존성 스캔 및 패치 적용
- 배포 전 컨테이너 이미지 스캔
- CI/CD 파이프라인 내 자동화된 보안 테스트
- 책임 있는 취약점 공개 프로그램