보안은 기능이 아니라 약속입니다. 본 보안 정책은 eFind가 위탁받은 데이터와 시스템을 어떻게 보호하는지, 당사가 의존하는 조직적·기술적 조치, 그리고 서비스를 이용하는 광고주, 퍼블리셔 및 기타 고객과 공유하는 책임을 설명합니다. 당사는 오늘 실제로 하고 있는 일에 대해 정직하고, 아직 구축 중인 부분에 대해서는 명확하게 밝히고자 합니다.
본 보안 정책은 서비스, 서비스가 보유한 데이터, 그리고 이를 운영하는 인프라를 안전하게 유지하기 위해 eFind가 운영하는 프로그램을 설명합니다. 이 문서는 두 가지 독자를 동시에 대상으로 작성되었습니다. 기업 고객 및 그 보안 팀에게는 당사가 운영하는 통제와 지키는 약속에 대한 명확한 설명이며, 이를 통해 자신 있게 eFind를 평가할 수 있도록 합니다. 그 밖의 모든 독자에게는 정보 보호라는 어렵고 지속적인 작업에 대한 당사의 접근 방식을 평이한 언어로 설명한 것입니다. 당사는 이상적으로가 아니라 정확하게 프로그램을 설명하고자 했습니다. 어떤 통제가 완전히 도달한 상태가 아니라 지향하는 목표인 경우, 그렇게 밝힙니다.
보안은 결코 완성되지 않습니다. 위협은 변화하고 당사 서비스는 성장하며, 아래의 조치들은 지속적으로 검토되고 개선됩니다. 따라서 본 문서는 살아 있는 프로그램을 설명하는 것이며, 당사가 사용하는 구체적인 기술과 절차는 그 배경이 되는 약속과 원칙이 안정적으로 유지되는 가운데 발전해 나갈 것입니다.
본 보안 정책은 다음에 정의된 서비스에 적용됩니다: 마스터 정의집. 여기에는 eFind Ads 광고 플랫폼, 당사 웹사이트, 애플리케이션, API, 그리고 이를 운영하는 프로덕션 시스템 및 인프라가 포함됩니다. 본 정책은 eFind가 개인정보, 기밀정보, 광고주 콘텐츠, 퍼블리셔 콘텐츠, 그리고 서비스에서 생성되는 운영 데이터를, 네트워크를 통해 전송 중이든 당사 시스템에 저장 중이든, 어떻게 보호하는지를 다룹니다.
본 문서는 eFind 자체의 보안 프로그램과 당사가 적용하는 조치를 설명합니다. 이는 다음의 계약상 보안 약속을 대체하지 않습니다: 데이터 처리 부속서, 해당 문서는 eFind가 고객을 대신하여 처리하는 개인정보에 대해 동일한 사항을 다루는 경우 우선합니다. 본 보안 정책과 데이터 처리 부속서가 모두 기술적 또는 조직적 조치에 관해 언급하는 경우, 두 문서는 함께 읽히도록 의도되었으며, 처리 관계에서 발생하는 법적 의무는 데이터 처리 부속서가 규율합니다.
본 보안 정책은 eFind, 당사 인력, 그리고 당사를 대신하여 보안 표준을 준수시키는 재위탁처리자 및 공급업체에 적용됩니다. 또한 보안은 어느 한쪽만으로는 실현할 수 없는 공동의 과제이므로, 광고주, 퍼블리셔, 개발자 및 기타 고객에게 부과되는 책임도 설명합니다. 서비스를 이용할 때 귀하는 여기에 설명된 조치에 의존하게 되며, 당사는 아래 책임 분담 섹션에 명시된 대로 귀하가 자신의 자격 증명, 시스템 및 통합을 보호할 것에 의존합니다.
개인정보, 기밀정보, 서비스, 재위탁처리자, 광고주, 퍼블리셔, 준거법 등 본 문서에서 사용되는 대문자로 표기된 용어는 다음에서 부여된 의미를 갖습니다: 마스터 정의집. 일부 용어는 본 문서에 특정된 것입니다. 보안 사고 란 서비스 또는 서비스가 보유한 데이터의 기밀성, 무결성 또는 가용성을 침해하는, 확인되었거나 합리적으로 의심되는 사건을 의미하며, 개인정보에 대한 무단 접근, 취득 또는 공개를 포함합니다. 취약점 이란 보안 사고를 유발하기 위해 악용될 수 있는 소프트웨어, 구성 또는 프로세스상의 약점을 의미합니다. 공인 프레임워크 란 국제표준화기구, 미국공인회계사협회, 미국 국립표준기술연구소가 발행한 것과 같이 널리 사용되는 정보보안 및 개인정보 표준과 통제 목록을 의미하며, eFind는 이를 자사 프로그램의 참고 기준으로 사용합니다.
eFind는 기업과 그들이 도달하는 사람들에 관한 대량의 데이터를 다루는 광고 플랫폼을 구축합니다. 이러한 책임이 당사의 보안에 대한 사고방식을 형성합니다. 당사는 보안을 나중에 덧붙이는 것이 아니라 시스템 전체의 속성으로 취급하며, 첫 번째 코드 줄과 첫 번째 아키텍처 결정부터 이를 설계에 반영합니다. 아래 원칙은 본 문서 후반에서 설명하는 모든 통제의 지침이 됩니다.
당사는 데이터를 안전하게 지키기 위해 단일 통제에 의존하지 않습니다. 네트워크 통제, 애플리케이션 통제, 신원 통제, 암호화, 모니터링, 그리고 사람에 의한 검토를 결합하여 하나의 조치가 실패하더라도 데이터가 노출되지 않도록 보호를 계층화합니다. 공격자가 한 계층을 통과하더라도 다음 계층이 이를 지연시키거나 억제하거나 드러내야 합니다.
인력과 시스템은 업무 수행에 필요한 최소한의 접근 권한만을 부여받으며, 그 이상은 부여받지 않습니다. 접근 권한은 이유에 따라 역할에 연결되어 부여되며, 그 이유가 종료되면 제거됩니다. 이 원칙은 당사 인력, 플랫폼을 구성하는 서비스, 그리고 이를 운영하는 자동화된 프로세스에 적용됩니다.
당사는 안전한 경로를 쉬운 경로로 만드는 것을 목표로 합니다. 새로운 기능은 처음부터 보안과 개인정보 보호를 고려하여 설계되며, 합리적인 보호 기능은 설정을 기다리지 않고 기본값으로 활성화되며, 보호를 편의성과 맞바꾸는 설정보다 안전한 기본값을 선호합니다.
당사는 무언가 잘못될 가능성에 대비하여 계획을 세웁니다. 시스템을 분할하고, 단일 침해로 인한 영향 범위를 제한하며, 사건을 재구성할 수 있도록 활동을 기록하고, 사고 발생 시 즉흥적으로 대응하지 않고 신속하고 침착하게 대응할 수 있도록 대응을 예행연습합니다.
당사는 프로그램을 과장하기보다 정확하게 설명하고자 합니다. 현실을 넘어서는 보안 주장은 원래 구축하고자 했던 신뢰 자체를 훼손합니다. 어떤 통제가 아직 성숙 단계에 있는 경우, 당사는 이를 이미 지킨 약속이 아니라 적극적으로 추구하고 있는 목표로 취급합니다.
보안 프로그램은 그 배경에 있는 책임 소재만큼만 견고합니다. eFind는 명확한 소유권, 문서화된 정책, 그리고 일상적인 의사결정을 고객이 기대하는 보호 수준과 연결하는 위험 관리 프로세스 하에 프로그램을 운영합니다.
정보 보안에 대한 책임은 최고 경영진에게 보고하고 eFind 신뢰·법무실과 협력하는 eFind 보안 리더십에 있습니다. 보안은 단일 팀만의 업무로 취급되지 않습니다. 엔지니어링, 운영, 제품 팀은 각각 자신들이 구축하고 운영하는 것의 보안에 대한 책임을 지며, 보안 리더십은 기준을 설정하고, 위험을 검토하며, 이러한 팀들에게 책임을 묻습니다.
eFind는 본 문서의 원칙을 당사 인력 및 시스템에 대한 구체적인 규칙으로 전환하는 일련의 내부 보안 정책 및 표준을 유지합니다. 이는 회사 시스템의 허용 가능한 사용, 접근 통제, 데이터 분류 및 취급, 안전한 개발, 변경 관리, 로깅, 사고 대응, 업무 연속성과 같은 영역을 포함합니다. 정책은 문서화되고, 적용 대상 인력에게 제공되며, 서비스의 실제 작동 방식과 보조를 맞추기 위해 정기적으로 검토됩니다.
당사는 체크리스트만이 아니라 위험을 통해 보안을 관리합니다. eFind는 중요한 자산을 식별하고, 이에 영향을 미칠 수 있는 위협과 취약점을 평가하며, 그로 인해 발생하는 위험의 발생 가능성과 영향을 평가합니다. 그런 다음 통제 추가, 문서화되고 적절한 수준에서의 위험 수용, 위험 이전, 또는 위험을 발생시키는 활동의 회피 중 어느 방법으로 각 위험을 처리할지 결정합니다. 중요한 위험은 추적되고 담당자가 지정되며 보안 리더십의 검토를 받아, 의사결정이 신중하게 이루어지고 상황 변화에 따라 재검토되도록 합니다.
eFind는 당사의 통제가 보안 전문가들이 이미 알고 신뢰하는 개념에 대응하도록 공인 프레임워크를 참조하여 프로그램을 설계합니다. 당사는 이러한 프레임워크를 공통 어휘 및 완전성의 기준으로 사용하며, 처음부터 방식을 새로 고안하기보다 확립된 통제 목록에 비추어 당사의 통제를 점검합니다.
공인 프레임워크와의 정합성은 해당 프레임워크에 대한 인증 취득과 동일하지 않습니다. eFind가 어떤 프레임워크와 정합한다고 명시하는 경우, 이는 당사가 이를 설계 참조 기준으로 사용하고 그 통제 목표를 지향한다는 의미입니다. 당사가 보유한 공식 인증이나 독립적인 증명, 그리고 그 범위에 대해서는 여기서 암시하지 않고 별도로 정확하게 설명하겠습니다.
기술만으로는 조직이 안전해지지 않습니다. 서비스를 구축하고 운영하는 사람들과 그들의 업무가 구성되는 방식은 당사가 보유한 가장 중요한 통제 중 하나입니다.
개인정보 또는 기밀정보를 보유한 시스템에 대한 접근 권한을 인력에게 부여하기 전에, eFind는 해당 역할에 적합하고 준거법에서 허용하는 심사를 실시하며, 여기에는 신원 확인 및 배경 조사가 포함될 수 있습니다. 민감한 시스템에 대한 접근은 해당 접근 수준에 필요한 심사를 완료한 인력에게만 부여됩니다.
당사의 모든 인력은 입사 시 및 이후 정기적으로 보안 및 개인정보 보호 교육을 받습니다. 교육은 사회공학 및 피싱 시도를 인식하는 방법, 개인정보와 기밀정보를 안전하게 취급하는 방법, 의심되는 보안 사고를 보고하는 방법, 그리고 각자의 역할에 특정된 책임을 다룹니다. 소프트웨어를 구축하는 인력은 안전한 개발 관행에 관한 추가 교육을 받습니다.
시스템 및 데이터에 대한 접근은 알 필요성에 따라 부여되며, 각자의 역할에 필요한 최소 권한으로 범위가 한정됩니다. 민감한 작업은 어떤 개인도 확인 없이 고위험 작업을 단독으로 완료할 수 없도록 구성됩니다. 적절한 경우, 당사는 변경을 요청한 사람이 이를 승인하거나 배포하는 유일한 사람이 되지 않도록 직무를 분리하여, 실수나 악의적인 행위가 발견되지 않을 가능성을 줄입니다.
인력 및 계약업체는 계약 종료 후에도 존속하는 기밀 유지 의무를 부담합니다. 개인정보 또는 기밀정보를 취급하는 모든 사람은 이를 기밀로 유지하고, 승인된 목적으로만 사용하며, 당사 내부 정책에 명시된 취급 규칙을 따라야 합니다. 이러한 의무는 당사 계약서의 기밀정보 조항과 데이터 처리 부속서의 기밀 유지 약속에 반영되어 있습니다.
인력이 eFind를 퇴사하거나 역할을 변경할 때, 당사는 더 이상 필요하지 않은 접근 권한을 적시에 취소하고, 회사 자산을 회수하며, 해당 접근에 연결된 자격 증명이 비활성화되었는지 확인합니다. 퇴사 처리는 단순한 행정 절차가 아니라 보안 사건으로 취급됩니다.
아래의 기술적 통제는 이동 중 및 저장 중인 데이터를 보호하고, 이를 처리하는 시스템을 강화하며, 문제를 감지할 수 있는 가시성을 제공합니다. 이러한 통제들은 서로 함께 작동하며, 각각은 앞서 설명한 심층 방어 접근 방식의 한 계층입니다.
eFind는 공용 네트워크를 통해 전송되는 개인정보 및 기타 민감한 데이터를, 현재 업계에서 통용되는 전송 암호화를 사용하여 암호화합니다. 당사 웹사이트, 애플리케이션, API에 대한 연결은 강력한 암호화 프로토콜로 보호되며, 당사는 취약한 프로토콜 및 암호 스위트가 안전한 사용 범위를 벗어남에 따라 이를 비활성화하기 위해 노력합니다. 서비스를 구성하는 구성 요소 간의 내부 트래픽도 신뢰 경계를 넘는 경우 마찬가지로 보호됩니다.
개인정보 및 기타 민감한 데이터는 이를 보유한 저장 시스템에서 강력하고 업계에서 통용되는 알고리즘을 사용하여 저장 시 암호화됩니다. 저장 시 암호화는 물리적 또는 인프라 계층에서 기본 저장 매체가 분실, 도난 또는 부적절하게 접근되는 경우에도 데이터가 노출되지 않도록 보호합니다.
암호화는 키 관리 방식만큼만 강력합니다. eFind는 통제된 생성, 저장, 순환, 폐기를 통해 암호화 키를 보호합니다. 키는 보호된 키 관리 시설에 보관되고, 키에 대한 접근은 이를 필요로 하는 시스템 및 인력으로 제한되며, 키는 정해진 일정에 따라, 그리고 상황이 요구할 때 순환됩니다. 당사는 한쪽에 대한 접근이 다른 쪽에 대한 접근을 자동으로 부여하지 않도록 키의 관리를 그것이 보호하는 데이터와 분리합니다.
eFind는 시스템이 단일한 평면 네트워크에 놓이는 대신 기능과 민감도에 따라 그룹화되도록 네트워크를 분할합니다. 방화벽 및 이에 준하는 접근 통제는 세그먼트 간 트래픽을 필요한 것으로 제한하며, 가장 민감한 데이터를 보유한 시스템은 더 제한된 영역에 배치됩니다. 분할은 환경의 한 부분에 도달한 공격자가 이동할 수 있는 범위를 제한하며, 세그먼트 간의 비정상적인 트래픽을 더 쉽게 알아차릴 수 있게 합니다.
보안은 마지막에 검사하는 것이 아니라 소프트웨어를 작성하는 방식 자체에 내장되어 있습니다. 당사의 개발 수명 주기는 설계 단계의 보안 요구사항, 개발 중의 안전한 코딩 관행, 출시 전 테스트를 포함합니다. 개발자는 문서화된 안전한 개발 표준에 따라 작업하며, 중요한 신규 기능은 그 위험에 비례하는 보안 및 개인정보 보호 검토를 받습니다.
서비스에 대한 변경은 통제된 절차를 거칩니다. 코드는 병합되기 전에 검토되고, 변경 사항은 추적되며, 프로덕션에 대한 배포는 롤백 기능을 갖춘 정해진 변경 관리 경로를 따릅니다. 코드를 검토하고 변경을 관문 처리함으로써 보안 결함을 포함한 많은 결함이 고객에게 도달하기 전에 발견됩니다.
eFind는 당사 소프트웨어, 종속성, 인프라의 약점을 찾아내고, 우선순위를 매기고, 수정하기 위한 취약점 관리 프로세스를 운영합니다. 당사는 자동화된 스캐닝과 종속성 분석을 사용하여 알려진 취약점을 드러내고, 심각도와 노출도에 따라 우선순위를 매기며, 그 위험을 반영한 기간 내에 패치와 완화 조치를 적용합니다. 심각도가 높은 문제는 긴급하게 처리되며, 심각도가 낮은 문제는 일정을 정해 해결될 때까지 추적됩니다.
eFind는 공격자가 하는 방식으로 당사 시스템을 조사하는 침투 테스트를 포함하여 서비스에 대한 보안 테스트를 실시합니다. 테스트는 자격을 갖춘 내부 인력 또는 독립적인 제3자에 의해 수행될 수 있으며, 그 결과는 당사의 취약점 관리 및 시정 프로세스에 반영됩니다. 당사는 테스트를 일회성 행사가 아니라 프로그램의 정기적인 일부로 취급합니다.
eFind는 민감한 시스템에 대한 접근 및 관리자 작업을 포함하여 서비스 전반에 걸친 보안 관련 사건을 기록합니다. 로그는 중앙에서 수집되고, 변조로부터 보호되며, 그 목적에 적합한 기간 동안 보관됩니다. 당사는 이상 징후 및 알려진 유해 활동을 모니터링하며, 자동화된 탐지를 사용하여 잠재적인 보안 사고를 당사 팀에 경고함으로써 신속하게 조사하고 대응할 수 있도록 합니다. 모니터링은 문제를 조기에 발견하는 것과, 사고가 발생한 경우 무슨 일이 있었는지 재구성할 수 있도록 하는 것, 두 가지 목적 모두를 위해 존재합니다.
누가 무엇에 접근할 수 있는지를 통제하는 것은 보안에서 가장 중요한 부분 중 하나입니다. eFind는 자사 인력의 신원 및 접근을 관리하며, 고객에게는 자신의 계정에 대한 접근을 관리할 수 있는 도구를 제공합니다.
eFind 시스템 및 고객 계정에 대한 접근은 접근 대상의 민감도에 적합한 인증 통제에 의해 보호됩니다. 당사는 자격 증명 강도 요건을 시행하고, 통용되는 단방향 해싱 기법을 사용하여 저장된 자격 증명을 보호하며, 자동화된 추측 및 자격 증명 스터핑 공격에 대한 보호 조치를 적용합니다.
eFind는 도난당한 비밀번호만으로는 접근할 수 없도록 민감한 내부 시스템에 대한 접근을 보호하기 위해 다단계 인증을 사용합니다. 당사는 또한 고객 계정에 대한 다단계 인증을 지원하고 권장하며, 모든 광고주, 퍼블리셔 및 승인된 사용자가 이를 활성화할 것을 권장합니다. 서비스에서 이를 제공하는 경우, 다단계 인증을 켜는 것은 고객이 계정을 보호하기 위해 취할 수 있는 가장 효과적인 단일 조치 중 하나입니다.
접근 권한은 여전히 적절한지 확인하기 위해 정기적으로 검토됩니다. 이러한 검토 과정에서 당사는 더 이상 필요하지 않은 접근 권한을 제거하고, 과도한 권한을 시정하며, 가장 민감한 시스템에 대한 접근이 이를 필요로 하는 인력으로 계속 제한되는지 확인합니다. 접근 권한 검토는 역할이 변화함에 따라 최소 권한 원칙이 흐트러지지 않고 시간이 지나도 유지되도록 하는 방법입니다.
관리자 권한 및 기타 고도의 특권 접근은 신중하게 부여되고 면밀히 모니터링되며, 실무적으로 가능한 경우 항상 열려 있지 않고 필요할 때만 이용할 수 있도록 제공됩니다. 특권 접근으로 수행된 작업은 검토할 수 있도록 기록됩니다.
가장 안전한 데이터는 당사가 보유하지 않은 데이터입니다. eFind는 데이터 최소화를 보안 통제로 적용하여, 서비스 제공 및 개선과 법적 의무 이행에 필요한 범위 내에서만 개인정보를 수집하고 보유합니다. 당사는 데이터를 민감도에 따라 분류하고 그 분류에 맞는 취급 규칙을 적용하여, 가장 민감한 정보가 가장 강력한 보호를 받도록 합니다.
당사는 준거법에서 더 긴 기간을 요구하거나 허용하지 않는 한 개인정보를 수집 목적에 필요한 기간을 초과하여 보유하지 않으며, 더 이상 필요하지 않은 데이터는 안전하게 폐기합니다. 개인정보 대신 집계 데이터 또는 비식별화된 데이터로 목적을 달성할 수 있는 경우, 당사는 이를 선호합니다. 당사가 수집하는 정보, 그 이유, 보유 기간, 그리고 개인이 이용할 수 있는 권리에 대한 전체 세부 사항은 다음에 명시되어 있습니다: 개인정보 처리방침 및 관련 개인정보 처리방침.
데이터를 최소화하고 분류하는 것은 개인정보 보호에 관한 결정인 동시에 보안에 관한 결정이기도 합니다. 당사가 수집하지 않기로 선택한 모든 항목, 그리고 더 이상 필요하지 않을 때 안전하게 삭제하는 모든 기록은, 공격자가 도달할 수 있는 대상을 하나씩 줄이는 것입니다.
eFind는 서비스 제공을 돕기 위해 신중하게 선정된 공급업체 및 재위탁처리자에 의존하며, 이들에게 당사와 일관된 보안 표준을 준수하도록 요구합니다. 개인정보 또는 기밀정보를 취급하게 될 공급업체 또는 재위탁처리자와 계약하기 전에, 당사는 위험에 비례하는 보안 실사를 실시하며, 여기에는 해당 업체의 보안 관행, 인증, 실적 검토가 포함될 수 있습니다.
당사는 적절한 기술적·조직적 보안 조치, 기밀 유지, 그리고 보안 사고 발생 시 협력을 요구하는 계약을 체결합니다. 고객을 대신하여 개인정보를 처리하는 재위탁처리자에 대해서는, 당사는 데이터 처리 부속서와 일관된 데이터 보호 의무를 하위로 전달하며, 해당 재위탁처리자의 이행에 대해 고객에 대한 책임을 계속 부담합니다. 당사는 실사를 일회성 관문으로 취급하지 않고 시간이 지나도 공급업체와 재위탁처리자를 계속 모니터링하며, 보안이 더 이상 당사 기준을 충족하지 않는 공급업체를 변경할 수 있는 능력을 유지합니다.
강력한 예방 통제에도 불구하고 보안 사고는 어디에서든 발생할 수 있습니다. 잘 운영되는 프로그램과 그렇지 못한 프로그램의 차이는 얼마나 신속하고 정직하게 탐지, 억제, 소통하는지에 있습니다. eFind는 압박 속에서도 일관되게 행동할 수 있도록 문서화된 사고 대응 프로세스를 유지합니다.
당사는 위에서 설명한 모니터링, 로깅, 위협 탐지 통제, 자동화된 시스템의 경고, 당사 인력의 보고, 그리고 고객 및 외부 연구자의 보고를 통해 잠재적인 보안 사고를 탐지합니다. 신뢰할 수 있는 모든 보고는 우선순위가 매겨지며, 의심되는 사고는 대응을 담당하는 인력에게 상향 보고됩니다.
당사의 사고 대응 프로세스는 사고 식별 및 확인, 피해를 제한하기 위한 억제, 원인 제거, 영향을 받은 시스템 복구, 그리고 사후 검토라는 정해진 단계를 거칩니다. 실제 사고 발생 중에는 조율된 대응 팀이 증거를 보존하고, 진행 중인 피해를 막기 위해 노력하며, 취해진 조치의 기록을 유지합니다. 사고가 해결된 후, 당사는 근본 원인을 파악하고 유사한 사고의 재발 가능성을 낮추기 위해 통제를 강화하는 검토를 실시합니다.
보안 사고가 eFind가 고객을 대신하여 처리하는 개인정보에 영향을 미치는 경우, 당사는 다음의 통지 의무에 따라 이를 인지한 후 부당한 지체 없이 영향을 받은 고객에게 통지합니다: 데이터 처리 부속서 및 준거법. 당사의 통지에는 사고의 성격, 알려진 범위 내에서 영향을 받은 데이터 및 개인의 범주, 예상되는 결과, 그리고 당사가 취했거나 취할 것을 제안하는 조치가 기술되며, 더 많은 정보가 알려짐에 따라 업데이트됩니다. eFind가 개인정보의 컨트롤러로 행위하는 경우, 또는 준거법이 개인이나 규제기관에 대한 통지를 요구하는 경우, 당사는 요구되는 기간 내에 해당 통지를 제공합니다. 당사는 실무적으로 가능한 한 각자의 통지가 일치하도록 영향을 받은 고객과 소통을 조율합니다.
eFind가 고객을 대신하여 처리하는 개인정보에 관한 정확한 통지 기한, 내용 및 책임은 다음에 의해 규율됩니다: 데이터 처리 부속서. 본 섹션과 데이터 처리 부속서가 동일한 의무를 다루는 경우, 데이터 처리 부속서가 우선합니다.
가용성은 보안의 일부입니다. eFind는 서비스를 계속 운영하고 심각한 장애가 발생할 경우 신속하게 복구하도록 설계된 업무 연속성 및 재해 복구 체계를 유지합니다. 당사는 정기적인 일정에 따라 중요한 데이터를 백업하고, 이러한 백업을 보호하며, 복원할 수 없는 백업은 애초에 백업으로 취급하지 않도록 복원 능력을 테스트합니다.
당사의 인프라는 단일 구성 요소의 장애가 서비스를 중단시키지 않도록 이중화를 사용하여 복원력을 염두에 두고 구축되었습니다. 당사는 인프라 장애, 자연재해, 그리고 불가항력 개념에 포함되는 기타 장애와 같은 사건에 대응하기 위한 계획을 유지하며, 필요하기 전에 당사 인력이 각자의 역할을 알 수 있도록 이러한 계획을 검토하고 훈련합니다. 당사의 복구 목표는 복원 속도와 복원되는 데이터의 무결성 사이의 균형을 맞추도록 설정되어 있습니다.
서비스는 강력한 물리적·환경적 보호를 제공하는 시설에서 호스팅되는 인프라에서 운영됩니다. eFind는 데이터센터가 물리적 접근을 승인된 인력으로 제한하고, 시설을 모니터링하며, 접근 통제, 감시, 소화, 공조 관리, 예비 전원과 같은 조치를 통해 화재, 침수, 정전과 같은 환경적 위험으로부터 장비를 보호하는 인프라 제공업체에 의존합니다. 당사는 인프라 제공업체의 물리적 보안 태세를 공급업체 및 재위탁처리자에 적용하는 실사에 포함합니다.
eFind 자체의 기업 환경 내에서, 당사는 인력이 사용하는 시스템과 정보를 보호하기에 적합한 물리적 보안 조치를 적용하며, 민감한 시스템에 접근하는 데 사용되는 기기가 당사의 보안 요건을 충족하도록 요구합니다. 물리적 보안과 논리적 보안은 서로를 강화하며, 당사는 이를 하나의 프로그램의 부분들로 취급합니다.
당사는 보안 커뮤니티의 도움을 환영합니다. 귀하가 연구자, 고객, 또는 서비스에서 잠재적인 취약점을 발견한 그 밖의 누구이든, 당사는 귀하로부터 연락받고 싶으며, 공격자가 아니라 귀하로부터 약점에 대해 알기를 원합니다.
의심되는 취약점은 다음으로 신고해 주십시오: support@efind.com, 당사가 문제를 재현하고 이해할 수 있을 만큼 충분한 세부 정보를 포함해 주시고, 메시지에 보안 보고서임을 표시해 주십시오. 다음 전화번호로도 당사 팀에 연락하실 수 있습니다: 1-214-444-8126. 당사는 신뢰할 수 있는 보고를 확인하고, 조사하며, 확인된 취약점을 그 심각도를 반영한 기간 내에 시정하기 위해 노력합니다.
당사는 연구자들이 선의로 행동할 것을 요청합니다. 즉, 공개적으로 공개하기 전에 당사가 문제를 조사하고 수정할 합리적인 기회를 제공하고, 귀하 소유가 아닌 데이터에 접근하거나 이를 변경하는 것을 피하고, 서비스나 다른 사용자의 경험을 저하시키는 것을 피하며, 준거법 및 다음의 범위 내에 머무를 것을 요청합니다: 이용 규정. 서비스 거부, 스팸, 당사 인력이나 고객에 대한 사회공학, 또는 물리적 침입을 수반하는 테스트는 허용되지 않습니다. 연구자가 선의로 보고하고 이러한 지침을 준수하는 경우, 당사는 그 연구 행위 자체에 대해 그들을 상대로 조치를 취하지 않을 것이며, 그들의 보고를 서비스 보안에 대한 소중한 기여로 취급할 것입니다.
서비스의 보안은 파트너십입니다. eFind는 플랫폼, 이를 운영하는 인프라, 그리고 본 문서에 설명된 조치를 보호할 책임이 있습니다. 고객은 서비스를 이용하는 방식과 자신이 통제하는 환경 부분에 대해 책임이 있습니다. 어느 한쪽도 단독으로 보안을 실현할 수 없으며, 공백은 대개 양측의 경계에서 발생합니다. 아래 표는 이러한 분담을 요약하며, 세부 사항은 다음과 같습니다.
| 영역 | eFind의 책임 영역 | 고객의 책임 영역 |
|---|---|---|
| 플랫폼 및 인프라 | 서비스, 호스팅 인프라, 그리고 본 정책에 명시된 통제의 보안 | 계약서 및 정책에 따른 서비스 이용 |
| 계정 접근 | 인증 및 다단계 옵션 제공 | 자격 증명 보호 및 다단계 인증 활성화 |
| 구성 | 안전한 기본값 및 접근 통제 제공 | 설정, 역할 및 권한의 적절한 구성 |
| 통합 및 API 키 | API 보안 및 키 발급 | API 키 보호 및 통합의 보안 확보 |
| 고객 콘텐츠 및 시스템 | 서비스 내 데이터 보호 | 광고주 및 퍼블리셔의 시스템, 랜딩 페이지, 자산의 보안 |
귀하는 계정에 접근하는 자격 증명을 기밀로 유지하고, 강력하고 고유한 비밀번호를 선택하고, 제공되는 경우 다단계 인증을 활성화하며, 신뢰할 수 있는 승인된 사용자만 계정에 접근할 수 있도록 할 책임이 있습니다. 온라인 서비스에 영향을 미치는 가장 피해가 큰 사고들 중 다수는 재사용되었거나, 공유되었거나, 보호되지 않은 채 방치된 자격 증명에서 시작됩니다. 귀하의 자격 증명을 귀하 데이터의 열쇠로 취급하십시오.
귀하는 서비스에서 제공되는 설정, 역할 및 권한을 귀하의 보안 요구에 맞게 구성하고, 서비스에 접근하는 데 사용하는 기기와 시스템을 패치되고 보호된 상태로 유지할 책임이 있습니다. 당사는 통제 수단과 합리적인 기본값을 제공하며, 이를 귀하의 조직에 어떻게 적용할지는 귀하가 결정합니다.
API를 통해 서비스에 연결하거나, 퍼블리셔 자산을 통합하거나, 전환 추적을 배포하거나, 그 밖의 방식으로 플랫폼 위에 구축하는 경우, 귀하는 해당 통합의 보안에 대해 책임이 있습니다. 여기에는 API 키 및 기타 비밀 정보를 보호하고, 발견될 수 있는 곳에 내장하는 대신 안전하게 저장하고, 노출되었을 가능성이 있을 때 순환시키고, 범위를 제한하고, 사용을 모니터링하는 것이 포함됩니다. 노출된 API 키는 누군가가 귀하인 척 행동하도록 허용할 수 있으므로, 키를 비밀번호와 같은 정도로 주의하여 취급하십시오.
귀하의 계정이 침해되었다고 판단되거나 우려되는 활동을 발견한 경우, 다음으로 즉시 알려 주십시오: support@efind.com 또는 1-214-444-8126 . 당사가 귀하의 대응을 도울 수 있도록 하기 위함입니다. 신속한 보고는 고객이 할 수 있는 가장 가치 있는 일 중 하나입니다. 문제가 확산되기 전에 당사가 이를 억제할 수 있게 하기 때문입니다.
eFind는 본 보안 정책과 그 배경이 되는 프로그램을 정기적으로, 그리고 당사 서비스, 인프라, 위협 환경 또는 준거법에 중대한 변경이 있을 때 추가로 검토합니다. 검토는 이 페이지의 내용이 당사가 실제로 운영하는 통제와 일치하도록 유지하는 방법입니다. 중대한 변경이 있을 경우, 당사는 갱신된 정책을 이 페이지에 게시하며, 중요한 변경 사항은 당사 계약서 및 정책에 명시된 수단을 통해 전달합니다. 보안은 지속적인 실천이므로, 당사는 본 문서가 시간이 지남에 따라 변경될 것으로 예상하며, 각 버전은 이전 버전을 대체합니다.
사람들이 신뢰할 수 있는 기술 만들기.
© 2026 eFind. All rights reserved.