고객 자료를 어떻게 다루는가
WoodIT는 철도 분야의 RAMS·안전성 업무를 수행하며, 그 과정에서 고객의 설계 문서, 소스코드, 시험·고장 자료를 받아 다룹니다. 이 페이지는 그 자료를 어떻게 보호하고, 무엇을 기록하며, 어디까지 답할 수 있는지를 밝힙니다.
제3자 인증
현재 보유한 정보보호 인증(ISO/IEC 27001, SOC 2 등)은 없습니다.
이 페이지의 항목은 실제 설정과 운영 기록을 기준으로 적었습니다. 확인이 필요하시면 기록으로 답해 드립니다. 기록을 제공하는 범위는 고객 자료 취급 기준 제9조에 정해 두었습니다.
계약상 인증이 요구되는 경우 별도로 협의합니다.
통제 현황
현재 운영 중인 통제입니다. 구체적인 정책 이름과 설정값은 보안상 공개하지 않습니다.
신원과 접근
- 업무 계정은 단일 신원 체계(Microsoft Entra ID)로 관리개인 메일 계정이나 개인 도메인으로 업무 자료를 다루지 않습니다.
- 업무용 사용자 계정의 서비스 접근에 다단계 인증 요구비상 접근 등 예외 계정은 별도 절차로 관리합니다.
- 조건부 액세스로 접근 조건 통제
- 관리자 권한 보유자 최소화비상 접근 계정은 별도의 인증·감시 절차로 관리합니다.
- 비상 접근 계정 사용 시 즉시 알림
자료의 분류와 보호
- 민감도 레이블로 분류하고, 등급에 따라 암호화레이블을 붙일 수 없는 형식(HWP, 압축 파일, 이미지 등)은 저장 위치의 접근 권한으로 보호합니다.
- 보호 등급을 낮출 때 사유 입력 필수, 변경 기록 보존
- 고객 프로젝트마다 저장 위치 분리
- 이동식 저장장치로 내보낼 때 경고하고 사유를 기록
단말
- Windows·macOS·Android에서의 Microsoft 365 업무 접근에 다단계 인증과 회사 관리에 등록된 준수 단말 요구당사 구성원의 계정 로그인에 적용합니다.
- iOS는 지정된 업무 계정에 암호 없는 다단계 인증과 앱 보호를 함께 요구
- Windows·macOS 업무 단말에 위협 탐지·대응(EDR) 운영
전송
- 당사로 오는 메일의 전송 구간 암호화 강제 (MTA-STS)암호화된 경로로만 전달되도록 공표하고, 전송 결과 보고를 받아 확인합니다.
- 발신 도메인 위조 방지 (SPF·DKIM·DMARC)보내는 메일에 서명하며, 당사를 사칭해 인증에 실패한 메일은 수신 측이 격리하도록 공표합니다.
- 새 익명 공유 링크는 보기 전용·기본 7일·최대 14일 기준으로 전달링크 취급은 아래를 참고해 주십시오.
기록과 사고 대응
- 계정·파일 활동의 감사 기록 보존
- 계약상 요구되는 경우 수신·파기 자료를 해시와 함께 대장에 기록
- 사고 대응 절차 운영의심 정황이 보이면 외부 연락보다 증거 보존을 먼저 합니다. 계약상 통지 의무가 있으면 그에 따르고, 그 밖에는 통지 여부를 판단합니다. 통지하지 않기로 한 경우에도 판단과 근거를 기록합니다.
보유와 파기
- 계약에 정함이 없으면 용역 종료 후 3개월 보관, 이후 삭제
- 삭제 후 최대 93일이 지나면 자동 영구 삭제
- 계약에서 더 짧은 기간을 정하면 휴지통 보관 없이 영구 삭제파일은 즉시, 메일은 최대 14일 뒤 복구할 수 없게 됩니다.
- 계약이 체결되지 않거나 취소·해지되면 지체 없이 영구 삭제 (법령상 보존 의무가 있는 자료 제외)
- 요청 시 파기 확인서 제공
거래 상대 확인
- 미국 상무부(BIS)·재무부(OFAC) 제재 목록에 오른 개인·기관과 거래하지 않음
- 계약 전 미국 재무부(OFAC)·상무부(BIS) 제재 목록으로 상대방을 조회하고 결과 기록확인할 수 있는 범위에서 직간접 소유자와 사업의 최종 사용자도 함께 조회합니다. 일치 가능성이 있으면 원본 목록과 대조합니다.
- 계약 후 제재 대상으로 확인되면 업무와 자료 접근 중단보유 자료는 관련 법령과 보존 의무를 확인한 뒤 반환·삭제하거나 격리하여 보존합니다.
자료 보관 위치
고객 자료를 저장하는 곳입니다.
| 서비스 | 보관하는 것 | 데이터 위치 |
|---|---|---|
| Microsoft 365 | 고객 자료(문서·메일), 감사 기록 | 파일 저장소: 대한민국 |
이 웹사이트와 회사 도메인의 DNS는 Cloudflare에서 운영합니다. Cloudflare에는 고객 자료를 보관하지 않습니다.
미국 법률에 관한 고지Microsoft는 미국 사업자이므로, 당사 자료는 미국 법률(CLOUD Act, FISA Section 702 등)에 따른 정부의 제출 요구 대상이 될 수 있습니다. 이 요구는 데이터의 저장 위치가 아니라 사업자에 대해 이루어집니다. 당사는 이 위험을 계약 시 고지하며, 사업자도 열 수 없는 암호화가 필요한 경우 별도로 협의합니다.
문서
자주 묻는 질문
링크로 받은 자료를 사내 다른 분께 전달해도 되나요?
링크는 받으신 분에게만 보낸 것입니다. 수신인 이외의 제3자에게 전달하는 것은 허용되지 않습니다. 사내 공유가 필요하시면 알려 주십시오. 해당하는 분께 따로 보내 드립니다.
링크는 로그인 없이 열립니다. 고객사마다 인증 환경이 다르고, 개인 Microsoft 계정으로 인증하게 하는 것이 오히려 위험하다고 판단했기 때문입니다. 그래서 링크를 가진 사람은 누구나 열 수 있으니, 메일을 회신하거나 전달할 때 이전 메일에 인용된 링크가 함께 나가지 않도록 유의해 주십시오.
링크를 잘못 전달했습니다.
바로 알려 주십시오. 해당 링크를 해제하고 새 링크로 다시 보내 드립니다.
링크가 만료되면 내려받은 파일도 열리지 않나요?
아닙니다. 이미 내려받은 사본은 받으신 쪽의 관리 아래 놓이며, 링크가 만료되어도 회수되지 않습니다. 링크 만료는 필요 없어진 접근 경로가 남지 않게 하기 위한 것입니다.
누가 링크를 열었는지 알 수 있나요?
열린 일시와 접속 IP는 당사 기록에 남습니다. 다만 로그인 없이 여는 링크이므로 열어 본 사람이 누구인지는 기록되지 않습니다. 수신 측 메일 보안 장비가 링크를 미리 열어 검사하는 경우에도 기록이 남습니다.
계약이 끝나면 자료는 어떻게 되나요?
계약에서 정한 대로 반환하거나 파기합니다. 정함이 없으면 용역 종료 후 3개월 동안 보관하다가 삭제하고, 삭제한 자료는 최대 93일 뒤 자동으로 영구 삭제됩니다. 처음부터 끝까지 약 6개월입니다. 요청하시면 삭제일과 영구 삭제일을 적은 확인서를 드립니다.
계약이 체결되지 않았거나 취소·해지된 경우에는 법령상 보존 의무가 있는 자료를 제외하고 보관 기간 없이 지체 없이 영구 삭제합니다. 메일은 삭제 후 최대 14일이 지나야 복구할 수 없게 됩니다.
자료에 사고가 생기면 알려 주나요?
유출·훼손·부적절한 접근이 확인되거나 합리적으로 의심되면 즉시 사실 확인에 착수합니다. 계약이나 비밀유지계약에 통지 의무가 있으면 그 조건에 따라 통지하고, 그 밖의 경우에는 통지 여부를 판단합니다. 통지할 때는 확인된 사실과 아직 확인되지 않은 사항을 구분해서 알려 드립니다. 통지하지 않기로 한 경우에도 그 판단과 근거를 기록으로 남기며, 요청하시면 공유합니다.
인증이 없는데 무엇으로 확인할 수 있나요?
기록으로 확인해 드립니다. 고객사 자료에 관한 수신·접근·전달·파기 이력을 추려서 제공할 수 있습니다. 다른 고객사의 정보와 당사 보안 구성 정보는 가리고 드립니다(기준 제9조).
문의
보안 질문, 기록 제공 요청, 반환·파기 요청, 취약점 신고는 compliance@woodit.io로 보내 주십시오.