정보보호 운영 개요

주식회사 우딧 (WoodIT)

문서 ID: WDI-PUB-001
버전: v1.0
최종 갱신: 2026-10-15

본 문서는 당사가 고객사의 기술자료를 취급하는 방식을 소개합니다.
고객사의 의무는 계약에서 정하며, 본 문서가 고객사에 요청하는 것은 §4의 링크 취급뿐입니다.

1. 운영 원칙

철도 안전 용역은 그 성격상 고객사의 핵심 지적 재산을 다룹니다. 설계 문서, 소스코드, 고장 이력, 그리고 그 안에 담긴 판단의 근거까지 수탁자의 환경을 거쳐 갑니다.

비례성. 보호 수준은 자료의 민감도에 비례하여 정합니다.

합리적으로 실행 가능한 범위(ALARP). 남는 위험은 감추지 않고 이 문서에 기재합니다.

2. 신원과 접근

업무에 사용하는 모든 계정은 단일 신원 체계(Microsoft Entra ID) 아래에 있습니다. 당사 구성원은 개인 메일 계정이나 개인 도메인으로 업무 자료를 취급하지 않습니다.

• 업무용 사용자 계정의 서비스 접근에 다단계 인증을 요구합니다. 비상 접근 등 예외 계정은 별도 절차로 관리합니다.
• 조건부 액세스 정책으로 접근 조건을 통제하며, 정책 구성은 실측하여 문서와 일치시킵니다.
• 당사 구성원의 Windows·macOS·Android에서의 Microsoft 365 업무 접근에는 다단계 인증과 회사 관리에 등록된 준수 단말을 요구합니다.
• iOS는 지정된 업무 계정에 암호 없는 다단계 인증과 앱 보호를 함께 요구합니다.
• 관리자 권한 보유자를 최소화하며, 비상 접근 계정은 별도의 인증·감시 절차로 관리합니다.
• 계정 사용은 기록되며, 비상 접근 계정이 사용되면 즉시 알림이 발생합니다.

담당자 개인의 계정이나 단말에 자료가 묶이지 않습니다. 담당자가 바뀌어도 고객사 자료에 대한 접근 경로는 회사의 통제 아래 유지됩니다.

3. 자료의 분류와 보호

수탁한 자료는 민감도 레이블로 분류합니다.

• 레이블이 붙은 문서는 등급에 따라 암호화되며, 레이블은 문서에 부착되어 파일이 이동해도 따라갑니다.
• 레이블을 붙일 수 없는 형식(HWP, 압축 파일, 이미지 등)은 암호화되지 않으며, 저장 위치의 접근 권한으로 보호합니다.
• 보호 등급을 낮추려면 사유를 입력해야 하며, 그 기록이 남습니다.
• 고객사 자료는 프로젝트별로 저장 위치를 분리하여 관리합니다.

3.1 자료의 보관 위치

자료는 Microsoft 365에 보관합니다. 파일 저장소의 데이터 위치는 대한민국입니다.

Microsoft는 미국 사업자이므로, 당사 자료는 미국 법률(CLOUD Act, FISA Section 702 등)에 따른 정부의 제출 요구 대상이 될 수 있습니다. 이 요구는 데이터의 저장 위치가 아니라 사업자에 대해 이루어집니다. 당사는 이 위험을 계약 시 고지하며, 사업자도 열 수 없는 암호화(Double Key Encryption 등)가 필요한 경우 고객사와 별도로 협의합니다.

4. 자료의 주고받음

받을 때

지정된 회사 채널로 수신합니다. 고객사의 명시적 요청이 없는 한, 개인 계정·개인 도메인·출처가 확인되지 않는 경로로는 업무 자료를 받지 않습니다.

고객사의 요청으로 다른 경로를 사용하는 경우, 요청 주체와 사유를 기록하여 관리합니다.

수신 후 파일 목록과 수신 일시를 확인하여 회신합니다. 계약상 요구되는 경우 무결성 해시를 함께 기록하고 회신하여, 무엇을 언제 전달받았는지를 양측 기록으로 확정합니다.

보낼 때

첨부 대신 링크로 전달하는 것을 원칙으로 합니다.

링크는 로그인 없이 열리는 링크입니다. 고객사마다 인증 환경이 다르고, 수신자의 개인 Microsoft 계정으로 인증하게 하는 것은 회사 통제 밖의 계정에 자료를 묶는 일이어서 더 위험하다고 판단했습니다. 대신 다음과 같이 운영합니다.

• 링크는 수신인에게만 전달한 것입니다. 수신인 이외의 제3자에게 전달하는 것은 허용되지 않습니다. 사내 공유가 필요하면 당사로 요청해 주십시오. 해당 인원에게 별도로 보내드립니다.
• 링크를 가진 사람은 누구나 열 수 있습니다. 메일을 회신하거나 전달할 때 이전 메일에 인용된 링크가 함께 나가지 않도록 유의해 주십시오.
• 새로 발급하는 익명 공유 링크의 회사 운영 기준은 보기 전용·기본 7일·최대 14일입니다. 자료 전달 전 실제 권한과 만료일을 확인합니다. 만료되거나 해제된 링크는 더 이상 열리지 않습니다.
• 이미 내려받은 사본은 수신자 측 관리 아래 놓이며, 링크 만료로 회수되지 않습니다.
• 링크 접근은 일시와 접속 IP로 당사 기록에 남습니다. 다만 로그인 없는 접근이므로 열어 본 사람이 누구인지는 기록되지 않습니다.
• 수신자 측 메일 보안 장비가 링크를 미리 열어 검사할 수 있으며, 이 접근도 당사 기록에 남습니다.
• 문서에는 문서 ID와 개정 번호가 부여되어, 어느 판본이 어느 시점의 제출본인지 확정됩니다.

5. 기록

당사가 남기는 기록과, 요청 시 제공할 수 있는 범위는 다음과 같습니다.

제공 가능 — 특정 자료의 수신·보관·접근·전달 이력, 적용된 분류 등급의 변경 이력, 보유 및 파기 기록.

제공 불가 — 당사 임직원의 전체 활동 기록, 다른 고객사와 관련된 일체의 정보, 당사 보안 구성 정보, 감사 로그 원본 전체.

• 이력은 해당 자료에 관한 항목만 추려서 제공하며, 다른 고객사의 정보와 보안 구성 정보는 가리고 제공합니다.
• 기록은 Microsoft 365 감사 기록의 보존 기간 안에서 제공할 수 있습니다.

6. 보유와 파기

수탁 자료의 보유 기간과 반환·파기 방법은 계약에서 정합니다. 요청하시면 파기 확인을 서면으로 드립니다.

기본 — 약 6개월

계약에 따로 정함이 없으면 다음과 같이 파기합니다.

용역 종료부터 영구 삭제까지 약 6개월입니다.

짧은 기간을 정한 계약

계약에서 이보다 짧은 보유 기간을 정한 경우(예: 종료 후 1개월), 기간이 끝나면 휴지통의 보관 기간을 두지 않고 영구 삭제합니다. 파일은 그 즉시, 메일은 삭제 후 최대 14일이 지나면 복구할 수 없게 됩니다.

고객사가 기간 중에 파기를 요청하시는 경우도 같습니다.

계약이 체결되지 않거나 취소·해지된 경우에도, 법령상 보존 의무가 있는 자료를 제외하고 그때까지 받은 자료는 보관 기간을 두지 않고 지체 없이 영구 삭제합니다.

파기 확인서

• 기본 절차: 삭제일과 영구 삭제 예정일을 적습니다.
• 보관 기간 없이 영구 삭제한 경우: 영구 삭제 일시를 적습니다. 메일은 복구할 수 없게 되는 날을 함께 적습니다.
• 영구 삭제 후에도 Microsoft의 서비스 백업에는 짧은 기간 남을 수 있습니다. 이 백업은 당사가 열람하거나 지울 수 없으며, 확인서에 이 사실을 함께 적습니다.

7. 사고 발생 시

자료의 유출·훼손·부적절한 접근이 확인되거나 합리적으로 의심되는 경우, 당사는 즉시 사실 확인에 착수합니다. 계약이나 비밀유지계약에 통지 의무가 정해져 있으면 그 조건에 따라 통지하며, 그 밖의 경우에는 고객사에 통지할지를 판단합니다. 통지하는 경우 확인된 사실, 영향 범위, 조치 내용, 그리고 아직 확인되지 않은 사항을 함께 기재합니다.

통지하지 않기로 판단한 경우에도, 그 판단과 근거를 내부 기록으로 남깁니다. 요청하시면 해당 기록을 공유합니다.

8. 고객사 측면의 이점

당사가 이 체계를 운영함으로써 고객사가 얻는 것은 다음과 같습니다.

상위 발주처·원청에 대한 답변. 고객사 역시 자사의 고객이나 원청에 대해 자료 관리 책임을 집니다. 협력사가 자료를 어떻게 취급했는지 물을 때, 채널·수령 기록·접근 이력·파기 확인으로 답할 수 있습니다. 협력사 관리 의무의 이행을 당사가 기록으로 뒷받침합니다.

제출본의 확정. 평가기관 제출이나 발주처 인도 시 "어느 판본이 제출본인가"에 문서 ID와 개정 번호로 답할 수 있습니다.

담당자 변경에 대한 내성. 자료가 개인 계정에 묶여 있지 않으므로, 양측 담당자가 바뀌어도 접근 경로와 이력이 유지됩니다.

사후 부담의 감소. 보유 기간과 파기 기록이 남아 있어, 이후 "그 자료를 아직 보유하고 있는가"에 대한 답이 명확합니다.

9. 거래 제한 대상

당사는 미국 상무부 산업안보국(BIS)의 거래 제한 목록(Entity List 등)과 미국 재무부 해외자산통제국(OFAC)의 제재 목록(SDN 등)에 오른 개인·기관과 거래하지 않습니다. 이는 법령이 요구하는 범위보다 넓게 정한 당사의 거래 기준입니다.

• 계약 전에 거래 상대방을 미국 재무부 해외자산통제국(OFAC)과 상무부 산업안보국(BIS)의 제재 목록으로 조회하고, 그 결과를 기록합니다. 일치 가능성이 있으면 원본 목록과 대조하여 동일인 여부를 확인합니다.
• 확인할 수 있는 범위에서 상대방의 직간접 소유자와 사업의 최종 사용자도 함께 조회합니다. 목록에 직접 오르지 않은 기관도 소유관계에 따라 제한을 받을 수 있습니다. 예컨대 OFAC는 제재 대상이 단독 또는 합산하여 지분 50% 이상을 소유한 기관에도 같은 제한을 적용하며, BIS의 소유 관련 규칙은 시행 시점과 범위에 따라 달라집니다.
• 계약 후 상대방이 목록에 오르거나 제재 대상에 해당하는 것으로 확인되면 업무와 자료 접근을 중단합니다. 보유 자료는 관련 법령, 제재 규정, 법적 보존 의무를 확인한 뒤 반환·삭제하거나, 필요한 기간 동안 격리하여 보존합니다.

부록. 실무 안내

링크가 열리지 않는 경우 — 사내 보안 정책상 외부 링크가 차단되었을 수 있습니다. 당사로 알려주시면 다른 방법으로 재송부해 드립니다.

링크를 잘못 전달한 경우 — 당사로 바로 알려주십시오. 해당 링크를 해제하고 새 링크로 다시 보내드립니다.

보호된 문서가 열리지 않는 경우 — 계정 정보를 요구하는 화면이 나타나면 당사로 알려주십시오. 권한을 조정하거나 보호를 해제하여 재송부해 드립니다.

링크 기간이 만료된 경우 — 재요청해 주시면 다시 열어드립니다.

자료를 보내주실 때 — 당사 담당자의 회사 주소로 보내주시면 됩니다. 수신 확인 회신을 드립니다.

본 문서의 내용에 대한 문의나 보다 상세한 자료가 필요하신 경우, 아래 주소로 연락 주시기 바랍니다.

주식회사 우딧 · compliance@woodit.io