데이터를 안전하게 보호합니다

전송 중 암호화 (TLS 1.2 이상): 전송 중인 데이터는 TLS 1.2 이상으로 암호화되며, 현행 정책상 TLS 1.3을 우선 적용합니다.

미사용 데이터 암호화 (AES-256): 저장된 데이터는 AES-256으로 암호화됩니다. 클라우드 스토리지, 데이터베이스, 백업 모두 동일하게 적용됩니다.

애플리케이션 레벨 암호화: 필드 레벨 암호화(Field-level Encryption)와 메시지 레벨 암호화(Message-level Encryption)를 지원합니다. 계좌번호·주민등록번호 등 민감 필드는 DB 저장 전 애플리케이션 단에서 추가로 암호화되며, 메신저 대화는 대화 단위 암호화를 지원합니다.

양자 내성 암호화 (PQC): 주요 API 연결에 ML-KEM-768 기반 하이브리드 키 교환을 적용해 미래 양자 컴퓨터 환경에 대비합니다.

키 관리 (AWS KMS): 암호화 키는 AWS KMS로 중앙 관리되며 자동 교체됩니다. 데이터 종류별로 키를 분리해 서로 다른 키로 보호하고, 키 접근·사용 내역은 모두 기록됩니다.

다단계 인증 (MFA): 모든 사용자 계정에 2단계 인증을 지원합니다.

SAML 2.0 SSO: 조직의 ID 공급업체와 연동해 Single Sign-On을 지원합니다. 기존 계정 하나로 Vertixion에 로그인할 수 있습니다.

SCIM 자동 프로비저닝: SCIM 2.0 표준으로 계정 생성·수정·비활성화를 자동화합니다. 직원 입퇴사 시 즉시 반영됩니다. Okta · Azure AD · Google Workspace · OneLogin 등 주요 IdP와 연동됩니다.

역할 기반 권한 (RBAC): 직무와 필요에 따라 접근 권한을 세분화합니다. 최소 권한 원칙을 적용해 필요한 데이터에만 접근할 수 있습니다.

네트워크·IP 접근 제어: 조직별 IP 화이트리스트와 보안 정책을 통해 허용된 네트워크에서만 시스템에 접근할 수 있습니다. 비인가 위치에서의 접근을 차단합니다.

네트워크 격리 (VPC): 업무 데이터베이스는 사설 네트워크(VPC·프라이빗 서브넷)에 두고 접근을 제한합니다. AI 등 외부 서비스 연동은 허용된 경로와 암호화된 통신을 사용합니다.

운영진 접근 통제: Vertixion 운영진의 테넌트 데이터 변경은 사유 기록이 필수이고 시간 제한이 있는 명시적 승인 절차를 거쳐야 하며, 애플리케이션을 통한 모든 관리 작업은 위·변조 감지가 가능한 감사 로그에 기록됩니다. 운영자 계정에는 2단계 인증(OTP)이 적용되고, 데이터베이스는 외부 접근이 차단된 프라이빗 네트워크에서 인증된 경로로만 접근합니다.

WAF (Web Application Firewall): SQL 인젝션·XSS 등 OWASP Top 10 공격 패턴을 차단합니다. 모든 퍼블릭 엔드포인트에 적용됩니다.

GuardDuty: 머신러닝 기반으로 비정상 API 호출, 악성 IP 접근, 계정 침해 시도를 실시간으로 탐지합니다.

취약점 스캔 (Inspector·의존성 점검): 서버 인스턴스와 서버리스 함수의 소프트웨어 취약점을 지속 스캔하고 CVE 기반으로 우선순위를 부여합니다. 애플리케이션 의존성은 커밋마다, 컨테이너 이미지는 빌드 파이프라인과 정기 스캔에서 자동 점검됩니다.

CloudTrail: 모든 API 호출과 콘솔 작업을 기록합니다. 로그인·데이터 접근·권한 변경 등 모든 보안 활동을 추적할 수 있습니다.

사고 대응: 보안 사고 발생 시 식별, 격리, 복구 및 사후 분석 절차에 따라 대응합니다.

클라우드 인프라 보안 인증 (AWS): Vertixion은 ISO 27001·SOC 2 등 국제 보안 인증을 보유한 AWS 인프라 위에서 운영됩니다. 해당 인증은 인프라 제공자인 AWS에 대한 것입니다.

개인정보보호법 준수: 개인정보보호법에 따라 고객 데이터의 수집·이용·보관·파기를 관리하며, 개인정보 처리방침을 공개하고 안전성 확보조치(암호화·접근통제·접근기록)를 적용합니다.

자동 백업 및 복구: 모든 데이터가 자동으로 백업되며(최대 30일 보관) Point-in-Time Recovery를 지원합니다. 장애가 발생해도 원하는 시점으로 복구해 데이터 손실을 최소화합니다.

보안 취약점 제보: 보안 취약점이나 우려 사항은 contact@vertixion.ai 로 제보해 주시면 신속히 검토·대응합니다.

AWS Config: 리소스 설정 변경 이력을 기록하고 보안 정책 준수 여부를 자동으로 평가합니다.

데이터 삭제 및 반환: 모든 데이터는 고객 소유입니다. 서비스 해지 시 요청에 따라 반환하거나 90일 이내 완전 파기합니다.

다운로드 통제: 민감 문서 다운로드를 역할·네트워크 기준으로 통제하고, 대량 내보내기를 감지해 경고합니다.

워터마크: HR 문서(계약서·급여명세)와 메신저 첨부에 워터마크를 적용해 출처를 추적합니다.

개인정보 자동 탐지: 데이터 반출 시 주민등록번호·계좌번호 등 개인정보를 자동으로 검출해 정책에 따라 기록·경고·차단합니다.

이상 행동 탐지: 대량 다운로드·다중 IP 동시 로그인 등 비정상 패턴을 감지해 알림을 발송합니다.

국내 데이터 저장과 AI 처리 범위: 업무 데이터 저장소는 국내에 둡니다. AI 문서 처리는 Google Cloud 글로벌 엔드포인트(국외)를 이용하며, 주민등록번호 등 주요 식별정보는 전송 전 국내에서 마스킹합니다. 이전 항목·수령자·보유기간·거부 방법은 개인정보처리방침에서 안내하며, 국외 AI 처리를 거부하는 고객사에는 해당 AI 기능이 제공되지 않습니다.

인사 서류 스캔 분석 시 중요 개인정보 자동 가림: 인사 서류 분석에는 국내 OCR을 이용한 주민등록번호 등 개인정보 마스킹을 적용합니다. 마스킹이 모든 개인정보를 제거한다는 뜻은 아니며, 요청 처리에 필요한 항목과 자료에 한해 AI로 전달합니다.

AI 제공사가 데이터를 학습에 쓰지 않음: 회사는 고객 데이터의 모델 학습을 허용하지 않으며, AI 제공사(Google Cloud·네이버클라우드)의 기업용 서비스 조건에 따라 처리합니다. 학습 미사용과 데이터 미보관은 다릅니다. Google의 남용 탐지 등 보관 조건은 개인정보처리방침에서 별도로 안내합니다.

관리자가 AI 사용 범위를 직접 통제: 조직 관리자가 AI가 할 수 있는 작업의 범위를 직접 정할 수 있습니다. 허용·차단할 기능, 금액 한도, 사용 가능 시간대, 금지어 등을 조직별로 설정하고, 이를 벗어나는 요청은 자동으로 차단하거나 경고합니다.

권한과 정책 범위 안에서 업무 실행: AI를 통한 업무 실행에는 이용자의 접근 권한과 조직의 정책이 적용됩니다. 담당자는 생성된 초안과 분석 내용을 확인하고 업무에 활용할 수 있습니다.

답변 근거 검증: AI 답변에 포함된 수치가 실제 데이터에 근거하는지 확인합니다. 근거를 확인할 수 없는 값이 나오면 설정에 따라 차단하거나 경고를 표시합니다.

AI 호출 내역을 모두 기록하고 이상 징후를 감지: AI 호출을 기록해 언제·무엇에 사용됐는지 추적할 수 있습니다. 기록은 위·변조를 탐지할 수 있는 방식으로 보관하며 프롬프트·답변 본문은 원문을 저장하지 않습니다. 정책에 의해 차단된 요청은 운영팀에 실시간으로 알려 즉시 검토합니다. 국내 「인공지능 기본법」과 「EU AI Act」의 기록 요건을 반영해 설계했습니다.