보안 아키텍처

귀하의 데이터에 일어나는 일, 처음부터 끝까지:

• 멀티테넌트 격리: 모든 DB 쿼리는 ORM 계층에서 organization_id로 범위가 지정됨; 통합 테스트는 테넌트 간 쿼리가 어떤 행도 반환하지 않음을 검증함. 애플리케이션 코드에 raw SQL 접근은 없음.

• 감사 로깅: 모든 관리 변경(근로자, 일정, 근태 항목, 청구 변경의 생성·수정·삭제)을 행위자, 대상, 변경 전후 값, IP 주소, 타임스탬프와 함께 기록. 보존 기간은 플랜에 따라 달라짐: 7일(Free) / 1년(Starter+) / 3년(Pro+).

• 백업: 매일 RDS 자동 스냅샷, 30일 보존; 보존 윈도우 내 어떤 초까지든 시점 복구. 분기마다 재해 복구 런북에 따라 복원 테스트.

• 삭제권 흐름: GDPR / CCPA 삭제 요청은 /admin/identity/users 를 통해 흐름 — 컨트롤러(귀 조직)가 노동법 컴플라이언스에 필요로 하는 집계 근태 기록을 보존하면서 근로자 PII(이름, 이메일, 전화, 생체 템플릿)를 익명화. 전체 메커니즘은 개인정보 처리방침 §4 참조.

• 생체 데이터(출퇴근용 얼굴 인식): 근로자가 첫 사용 시 명시적으로 동의한 경우에만 수집(GDPR 제9조 (2) (a)호). 얼굴 템플릿은 일방향 해시로 저장 — 원본 이미지는 절대 보관하지 않음. 조직 관리자는 「근태 규칙」에서 얼굴 인식을 전역적으로 비활성화할 수 있으며, 동의는 근로자 프로필에서 언제든 철회할 수 있음.

보안을 하나의 기능으로 운영하는 방식:

• 엔지니어링 관행: 모든 코드 변경은 최소 한 명의 승인 리뷰어가 있는 풀 리퀘스트 리뷰를 거침. 보안 관련 변경(인증, 암호화, IAM)은 보안 지정 리뷰어가 추가로 필요.

• 의존성 관리: Python은 버전 잠금된 Poetry 사용; JavaScript는 Bun 락파일 사용. 취약한 의존성은 GitHub Dependabot으로 표면화하여 우선순위에 따라 처리.

• 접근 통제: 운영 접근은 기본적으로 읽기 전용; 쓰기 접근에는 문서화된 변경 티켓 필요. 엔지니어 오프보딩은 퇴사 후 24시간 이내에 모든 접근을 회수.

• 사고 대응: 내부 런북은 식별 → 봉쇄 → 근절 → 복구 → 사후 검토를 다룸. Severity-1 사고는 24시간 고객 통지 약속을 트리거(개인정보 처리방침 §6).

• 벤더 보안 검토: 추가되는 모든 수탁자(현재 5개, /trust/sub-processors 에 게시)는 문서화된 검토를 거침 — DPA 체결, 보안 설문 검토, 데이터 범위 최소화.

사후적 주장 대신 공개·날짜 명시 로드맵에 약속합니다. 실시간 진행 상황:

• SOC 2 Type II — 2027년 1분기 목표. 아직 인증 미획득. Vanta + A-LIGN 선정(2026-05-24 결정 기록). /trust/soc2 의 8개 마일스톤 공개 일정; 2027년 3분기 보고서 발행.

• GDPR 준비 아키텍처 — Wave 1-4 프라이버시 감사 완료(데이터 최소화, 삭제권, 동의 게이트, 제9조 생체 처리). 규제 기관에 의해 공식 인증되지 않음(GDPR에는 공식 인증 기관이 없음); /trust/dpa 에서 요청 시 DPA 제공.

• ISO 27001 — 아직 시작하지 않음. EU 엔터프라이즈 잠재 고객의 수요에 따라 SOC 2 이후 2027년 또는 2028년에 진행할 수 있음.

• 산업별(HIPAA / PCI-DSS / FedRAMP) — 오늘 범위에 없음. svdy는 SMB 인력 관리를 대상으로 하며; 의료 PHI / 카드 소지자 데이터 / 연방 정부 워크로드는 명시적으로 추가될 때까지 사용 사례 외부.