트러스트 센터

플랫폼을 어떻게 보호하는지, 데이터가 어디에 저장되는지, 어떤 인증을 보유했는지 — 보유하지 않은 것까지 포함해 말씀드릴 수 있는 모든 것입니다.

🛡️SOC 2

🏅ISO 27001

🇪🇺GDPR

💳PCI DSS

⭐CSA STAR

🏥HIPAA

🔐NIST

🇹🇷KVKK

우리가 따르고 있거나 적극적으로 취득을 추진 중인 프레임워크입니다. 현재 인증 상태는 아래 표를 참고하세요.

시스템 상태, 5분마다 확인status.cyber-sec-pro.com →

데이터 보관 위치와 개인정보

캐나다에서, 저희가 직접 운영하는 서버에 저장됩니다.

주 데이터 저장 위치

캐나다 🇨🇦

계정 데이터, 스캔 결과, 로그는 캐나다 토론토에 있는, 저희가 소유하고 직접 운영하는 서버에 저장됩니다. 암호화된 야간 백업은 저장 위치가 고정되지 않은 Cloudflare R2에도 복사되며, 키는 저희만 보유합니다. 아래의 각 하위 처리자는 해당 서비스에 필요한 정보만 받습니다.

저장 시 암호화

AES-256-GCM

비밀 값과 저장된 자격 증명은 AES-256-GCM으로 암호화됩니다. 암호화 키는 토큰 서명 키와 분리되어 서버 환경에만 존재하며, 데이터베이스나 백업, 저장소에 기록되지 않습니다.

전송 시 암호화

TLS 1.3

모든 API·웹 트래픽은 순방향 비밀성을 갖춘 TLS 1.3을 사용하며, 암호 스위트는 사용 가능한 가장 강력한 구성으로 제한합니다.

트래픽 캡처 없음

절대 없음

네트워크 트래픽을 캡처하거나 저장하지 않습니다. 스캔이 출력하는 내용(도구의 출력과 그로부터 추출한 발견 사항)은 열람과 보고서 작성을 위해 저장되며 90일 후 삭제됩니다.

저희가 보관하는 정보

패킷 캡처는 절대 하지 않습니다

스캔을 위해 입력한 자격 증명은 메모리에서 스캔 도구로 전달되며 저장되지 않습니다

스캔 출력은 고객의 조직만 볼 수 있으며 다른 고객은 볼 수 없습니다

스캔 결과는 90일 후, 감사 로그는 1년 후 자동 삭제됩니다

데이터 처리 원칙

1목적 제한 — 명시한 보안 스캔 목적으로만 데이터를 수집합니다

2데이터 최소화 — 꼭 필요한 최소한만 수집합니다

3투명성 — 어떤 데이터를 왜 저장하는지 항상 알 수 있습니다

4이용자 통제 — 언제든지 데이터를 내보내거나 삭제할 수 있습니다

전송 구간과 저장 구간 암호화

모든 연결에 순방향 비밀성을 갖춘 TLS 1.3을 사용합니다. 비밀 값과 저장된 자격 증명은 토큰 서명 키와 분리해 보관하는 키로 AES-256-GCM 암호화됩니다.

격리된 실행

스캔은 전용 스캔 컨테이너 안에서 서버 측으로 실행되며, 작업당 프로세스 하나를 사용합니다. 명령은 고객의 입력값이 들어가기 전에 토큰으로 분해되므로 셸이 개입하지 않고, 모든 조회는 소속 조직으로 한정됩니다.

SOC 2에 맞춘 통제

인프라는 SOC 2 신뢰 서비스 기준(보안, 가용성, 기밀성, 프라이버시)에 맞춰 설계되었습니다. Type II 감사는 아직 완료되지 않았으며, 아래 프레임워크 표에 각 항목의 상태를 그대로 적었습니다.

추가 전용 감사 로그

권한이 필요한 작업은 추가 전용 감사 로그에 기록되며, 소속 조직으로 한정되어 대시보드에서 조회할 수 있습니다. 로그는 1년간 보관합니다.

MFA, SSO, 역할

일회용 백업 코드를 지원하는 TOTP 기반 다중 인증. 엔터프라이즈에서는 SAML 2.0, OIDC, LDAP/Active Directory 싱글 사인온을 제공합니다. 역할 기반 접근 제어는 화면이 아니라 서버에서 강제됩니다.

우리가 관리하는 도구 체인

스캐너 이미지와 취약점 템플릿은 저희가 다시 빌드해 배포합니다. 고객이 직접 스캐너를 업데이트하거나 Kali 장비에 패치를 적용할 일은 없습니다.

데이터 최소화

원본 트래픽이 아니라 스캔 메타데이터와 탐지 결과를 저장합니다. 보관 기간은 설정할 수 있고, 데이터는 언제든 내보내거나 삭제할 수 있습니다. GDPR 제5조 제1항 (c).

플랫폼 모니터링

모든 엔드포인트에 비용 등급별 요청 제한을 적용하고, 계정 활동에 대한 통계적 이상 탐지를 수행하며, 장애가 난 서비스는 헬스 워치독이 사람을 기다리지 않고 재시작합니다.

security.txt (RFC 9116)

IETF RFC 9116을 완전히 준수하는 보안 연락처 파일입니다. 검색 엔진과 보안 연구자가 자동으로 찾을 수 있습니다.

# CyberSec Pro Security Policy

# RFC 9116 Compliant

Contact: mailto:security@cyber-sec-pro.com

Contact: https://cyber-sec-pro.com/trust-center#responsible-disclosure

Acknowledgments: https://cyber-sec-pro.com/trust-center#acknowledgments

Policy: https://cyber-sec-pro.com/trust-center#responsible-disclosure

Hiring: https://cyber-sec-pro.com/careers

Preferred-Languages: en, tr

Canonical: https://cyber-sec-pro.com/.well-known/security.txt

Expires: 2027-07-31T23:59:59.000Z

security.txt 바로 열기

취약점 공개 정책

1범위

범위 내:

cyber-sec-pro.com 및 하위 도메인
app.cyber-sec-pro.com — SaaS 플랫폼
api.cyber-sec-pro.com — REST API

범위 외:

사회공학 및 피싱
서비스 거부(DoS/DDoS)
물리적 보안
당사가 운영하지 않는 제3자 서비스

2신고 채널

보안 취약점은 아래로 알려주세요: security@cyber-sec-pro.com

신고 양식:

제목: [SECURITY] 짧은 설명
영향받는 자산: URL 또는 엔드포인트
취약점 유형: XSS, SQLi, IDOR 등
재현 절차: 1, 2, 3 …
영향: 데이터 유출, 권한 상승 등
CVSS 점수(선택)
개념 증명 또는 스크린샷

3응답 SLA

최초 회신: ≤ 24 hours
진행 상황 공유: ≤ 72 hours
수정 또는 예외 처리: ≤ 90 days

4세이프 하버

본 정책을 준수한 신고에 대해서는 법적 조치를 취하지 않습니다
신고자의 신원은 비공개로 유지합니다
수정 완료 후 명예의 전당에 등재합니다
서면 허가 없는 테스트는 금지합니다

컴플라이언스 프레임워크

4/10 준수

SOC 2 Type II진행 중

SOC 2 통제 항목 구현 완료(Type II 감사 예정)

GDPR✓ 준수

제6·17·25·28·32·35조 완전 준수

ISO 27001:2022진행 중

ISO 27001:2022에 맞춰 설계(인증 진행 중)

ISO 27701진행 중

프라이버시 정보 관리

NIST CSF 2.0✓ 준수

프레임워크 전면 준수

PCI DSS v4.0진행 중

PCI DSS v4.0에 맞춘 통제

HIPAA진행 중

HIPAA에 맞춘 통제 — PHI 암호화

KVKK✓ 준수

튀르키예 개인정보 보호법

CCPA/CPRA✓ 준수

캘리포니아 소비자 프라이버시법

CSA STAR진행 중

클라우드 보안 연합 — 프레임워크 준수

사고 대응 목표

사고가 탐지되거나 security@cyber-sec-pro.com으로 신고된 뒤 얼마나 빨리 대응하는지에 대한 목표입니다. CyberSec Pro는 한 사람이 운영하므로 시간은 매일 토론토 시간 07:00부터 23:00까지 계산하며, 밤사이 들어온 신고는 07:00부터 계산합니다. 데이터 유출 신고에 관한 법정 기한은 24시간 쉬지 않고 진행됩니다. 이는 목표이며 계약상 약속이 아닙니다. 절차는 NIST SP 800-61의 단계(탐지, 격리, 제거, 복구, 검토)를 따릅니다.

우선순위	대응	통지	해결
P0 — 치명	1시간 이내	4시간 이내	24시간 이내
P1 — 높음	4시간 이내	24시간 이내	72시간 이내
P2 — 보통	24시간 이내	72시간 이내	7일 이내
P3 — 낮음	3일 이내	7일 이내	30일 이내

하위 처리자

당사를 대신해 개인 데이터를 처리하는 제3자입니다(GDPR 제28조). 각 데이터 처리 계약(DPA)은 업체 자체 약관의 일부로 계정 생성 시 동의한 것이며, 별도로 서명한 사본은 보유하고 있지 않습니다. 예외는 Gmail로, 개인 계정이어서 Google이 DPA를 제공하지 않습니다.

업체	목적	소재지	DPA
Stripe, Inc.	결제 처리	미국(EU SCC + DPF)	✓ 유효
Cloudflare, Inc.	DDoS 방어, WAF, CDN, TLS 종료, 쿠키 없는 웹 분석, 수신 메일 전달	글로벌 엣지(EU SCC + DPF)	✓ 유효
Brevo (Sendinblue SAS)	트랜잭션 이메일(링크 클릭 추적 포함)	EU(EU SCC)	✓ 유효
Google (Gmail)	당사 받은편지함: 당사 주소로 보낸 메일	미국(EU SCC + DPF)	없음
Cloudflare R2	암호화된 데이터베이스 백업의 오프사이트 보관(각 30일 보존)	자동 배치, 관할권 미지정(암호화됨, 키는 당사만 보유)	✓ 유효
Google Analytics	사이트 이용 통계(집계)	미국(EU SCC + DPF)	✓ 유효

최종 업데이트: 2026년 11월. 이 목록의 변경 사항은 효력이 발생하는 날 이 페이지와 개인정보 처리방침에 게시합니다. 최근 변경: Mailjet이 당사 계정을 폐쇄하여 2026년 9월 29일 Brevo로 교체했습니다. 2026년 10월 30일, Brevo 항목에 Brevo가 링크 클릭을 추적한다는 사실(처음부터 그래 왔습니다)을 추가했습니다. 2026년 11월 4일부터 Gmail은 당사의 발신 메일을 중계하지 않으며 당사 받은편지함으로만 사용됩니다.

데이터 처리 계약(DPA)

모든 고객은 GDPR 제28조에 따른 데이터 처리 계약을 체결할 수 있습니다. 요청하시면 서명용으로 보내 드립니다. EU와 영국의 개인정보는 양측이 캐나다에 대해 내린 적정성 결정에 따라 캐나다에 있는 저희에게 이전되므로, 이 이전에는 표준계약조항이 필요하지 않습니다. 각 수탁사, 그 소재지와 받는 데이터는 개인정보 처리방침에 나와 있습니다.

DPA 적용 범위

처리의 목적과 방법
개인정보 및 정보주체의 유형
수탁 처리자 목록과 신규 승인 절차
기술적·관리적 보호조치
침해 통지 — 부당한 지체 없이, 72시간 이내
국제 이전과 각 이전이 근거로 하는 보호 조치

개인정보 영향평가

✓ 승인됨, 2026년 11월

2026년 11월, 스캔, 기기 식별, 주간 네트워크 점검을 포함한 서비스 전체에 대해 GDPR 제35조에 따른 데이터 보호 영향 평가를 실시했습니다. 이는 창립자가 승인한 자체 평가이며, 데이터 보호 책임자(임명되지 않았고 의무도 없음)나 감독 기관의 검토는 받지 않았습니다. 높음으로 평가된 잔여 위험은 없습니다. 매년, 그리고 처리하는 개인정보에 변경이 생기기 전에 평가를 검토합니다. 고객은 사본을 요청할 수 있습니다.

DPA 요청하기 개인정보 문의처