보안 및 컴플라이언스
보안은 시스템을 어떻게 만들고 운영하느냐에 달린 속성입니다.
Protocore는 결제, AI, 블록체인 시스템을 위한 소프트웨어 계층을 만듭니다. 이 페이지에서는 데이터를 어떻게 다루는지, 소프트웨어를 어떻게 운영하는지, 규제 영역의 경계가 어디인지를 있는 그대로 설명합니다. 내세울 배지는 없습니다. 우리가 지키는 기준만 말씀드립니다.
데이터 및 개인정보
플로우에 필요한 데이터만 수집합니다.
저희가 구축하는 시스템은 데이터 최소화 원칙에 따라 설계됩니다. 각 플로우는 목적을 수행하는 데 필요한 항목만 수집하고, 필요한 기간 동안만 보관합니다. 호스팅은 EU 내에서 하며, 프로덕션은 프랑크푸르트의 AWS eu-central-1에서 운영됩니다. 또한 GDPR 관행에 부합하도록 구축합니다. 처리에는 적법한 근거를 두고, 열람 및 삭제 요청을 이행하며, 개인정보는 기본적으로 로그와 분석 데이터에서 제외합니다.
- 01기본값으로 적용되는 데이터 최소화
- 02EU 호스팅 — AWS eu-central-1(프랑크푸르트)
- 03GDPR에 부합하는 처리: 적법한 근거, 열람, 삭제
- 04개인정보를 로그와 분석 데이터에서 제외
운영 방식
최소 권한 접근, 그리고 사유가 필요한 특권 작업.
저희가 제공하는 소프트웨어는 첫 커밋부터 로그, 메트릭, 트레이스를 갖추고 있어, 프로덕션에서 일어나는 일을 추측이 아닌 관측으로 확인할 수 있습니다. 접근 권한은 최소 권한 원칙을 따릅니다. 사람이든 서비스든 모든 주체는 업무에 필요한 가장 좁은 권한만 받습니다. 민감한 운영자 작업은 실행 전에 사유를 요구하고, 누가 언제 무엇을 왜 했는지 감사 추적을 남깁니다. 운영 콘솔인 Protocore Center의 바탕이 되는 모델이며, 모든 시스템에 동일한 기준을 적용합니다.
- 01기본 계측 — 로그, 메트릭, 트레이스
- 02사람이든 서비스든 모든 주체에 최소 권한 적용
- 03사유 입력이 필요한 특권 작업
- 04누가 언제 무엇을 왜 했는지 남기는 감사 추적
책임의 분리
저희는 소프트웨어를 만듭니다. 규제 영역은 라이선스 보유자의 몫입니다.
결제 상품은 두 가지가 결합된 것입니다. 자금을 보유하거나 이동할 수 있는 규제상의 허가, 그리고 이를 지시하고 대사하고 보여 주는 소프트웨어입니다. Protocore는 소프트웨어를 만듭니다. 자금 보유, 계좌 발급, 자금 이동 같은 규제 대상 활동은 운영사 자체의 라이선스 또는 라이선스를 보유한 파트너(은행, EMI, 결제기관)의 영역입니다. 저희는 고객이 갖추신 규제 인프라에 맞춰 플로우를 구축합니다. Protocore는 그 허가를 대체할 수 없으며, 어떤 소프트웨어도 마찬가지입니다.
- 01Protocore는 라이선스가 아닌 소프트웨어를 만듭니다
- 02규제 대상 활동은 운영사 또는 라이선스 파트너가 담당
- 03카드 데이터가 고객사 서버를 거치지 않도록 처리
- 04결제 플로우에 내장된 강력한 고객 인증
운영 원칙
신뢰할 수 있는 시스템을 만드는 습관.
저희가 구축 단계에서 적용하는 구체적인 원칙입니다. 배지가 아닌 작동 방식으로 설명합니다.
카드 데이터는 서버 밖에서
카드 정보는 결제 레일에서 처리되고 토큰화되므로, 카드 번호 원문이 운영사 자체 인프라에 닿지 않습니다.
강력한 고객 인증
SCA는 결제 및 로그인 플로우에 처음부터 내장됩니다. 결제 레일이나 위험도에 따라 필요한 경우 2단계 인증을 적용하며, 사후에 덧붙이지 않습니다.
전송 구간 암호화
모든 트래픽은 종단 간 TLS로 전송됩니다. 시크릿과 자격 증명은 관리형 저장소와 인스턴스 역할에 보관하며, 소스 코드에는 두지 않습니다.
테넌트별 격리
하나의 시스템이 여러 운영사를 지원하는 경우, 각 테넌트의 데이터는 접근 제어로 분리되어 다른 테넌트가 열람할 수 없습니다.
책임 있는 취약점 공개
취약점을 발견하셨나요? 알려 주세요.
Protocore 시스템에서 보안 문제를 발견하셨다면 이메일로 알려 주세요. 함께 해결하겠습니다. 제보는 신속히 확인하고, 수정하는 동안 진행 상황을 공유하며, 해결 후에는 원하시는 경우 제보자로 명시해 드립니다. 공개 전에 조치할 수 있도록 합리적인 기간을 주시고, 테스트 중에는 본인 소유가 아닌 데이터에 접근하거나 변경하지 말아 주세요.
발견한 내용과 재현 방법을 security@protocore.io로 보내 주세요.
제보를 받았음을 알려 드리고 검토를 시작합니다. 보통 영업일 기준 2일 이내에 진행합니다.
문제를 조치하고, 해결될 때까지 진행 상황을 계속 공유합니다.
동의해 주시면 문제 해결 후 제보자로 명시해 드립니다.
자주 묻는 질문
가장 먼저 받는 보안 질문.
저희는 보안을 배지가 아닌 실천으로 설명합니다. Protocore는 소프트웨어 계층을 만들며, 카드 처리처럼 규제 체계가 적용되는 영역의 인증 범위는 결제 레일 또는 운영사의 라이선스 파트너에 있습니다. 저희는 카드 데이터가 고객사 서버에 닿지 않도록 구축합니다. 프로그램에 특정 인증이 필요하시다면 알려 주세요. 어디에서 무엇을 보유하는지 정리해 드리겠습니다.
EU 내에서 호스팅됩니다. 프로덕션은 AWS eu-central-1(프랑크푸르트)에서 운영됩니다. 데이터 최소화, 처리의 적법한 근거, 열람 및 삭제 요청 이행 등 GDPR 관행에 부합하도록 구축합니다.
라이선스 보유자입니다. Protocore는 자금 이동을 지시하고 대사하는 소프트웨어를 만들며, 자금 보유와 이동은 고객사의 라이선스 또는 라이선스를 보유한 파트너(은행, EMI, 결제기관)의 영역입니다. 어떤 소프트웨어도 그 허가를 대체할 수 없습니다.
모든 주체에 최소 권한을 적용하고, 특권 작업에는 사유를 요구하며 감사 추적을 남깁니다. 모든 것이 계측되어 있어 누가 무엇을 했는지는 재구성이 아닌 기록으로 확인됩니다.
security@protocore.io로 이메일을 보내 주세요. 신속히 접수를 확인하고, 수정하는 동안 진행 상황을 공유하며, 해결 후에는 원하시는 경우 제보자로 명시해 드립니다.
다루지 않은 보안 질문이 있으신가요?
확인이 필요한 내용을 알려 주세요. 아키텍처, 데이터 흐름, 각 영역의 책임 주체까지 구체적으로 답변드리겠습니다.