귀사의 데이터 보호 및 보안은 당사에 믿고 맡기세요.

보안을 염두에 둔 설계

Cohesity는 기본적으로 안전한 설계, 안전한 실패, 그리고 암호화 알고리즘의 안전한 구현을 포함하되 이에 국한되지 않는 핵심 보안 원칙들을 철저히 준수합니다. 새로운 기능을 개발할 때도 Cohesity는 제품의 목표하는 보안 수준, 규정준수, 그리고 인증을 확실히 하기 위해 현재 가장 모범적인 보안 관행에 맞춰 제품을 설계하고 있습니다.

보안 개발

Cohesity의 개발 팀은 개발 수명 주기의 설계 및 기획 단계부터 전담 제품 보안 팀과 긴밀히 협력하고 있습니다. Cohesity의 제품 보안 팀은 안전한 설계 패턴을 채택하도록 권고하고, 위협 모델링을 수행하며, 적용 가능한 보안 표준을 정립하고, 보안 요구 사항을 설정합니다.

보안 보증

Cohesity의 플랫폼과 인프라는 보안 강화를 위해 정기적으로 보안 테스트 및 강화 과정을 거칩니다. 운영 체제(OS)와 구성 요소들은 인터넷 보안 센터(CIS)의 기준과 미 국방부 보안 기술 구현 지침(STIG)의 구성 표준을 포함한 보안 강화 요구 사항을 충족하도록 구체적으로 구성됩니다.

보안 표준 및 프로그램

Cohesity는 취약점 관리, 보안 제품 개발 수명 주기 관리, 그리고 사고 대응에 관한 업계 표준 프레임워크를 따릅니다.

보안 교육

Cohesity는 개발자, 아키텍트, 개발 관리자, 릴리스 관리자, QA 엔지니어, 제품 관리자들이 제품 개발 수명 주기 전반에 걸쳐 보안 관행을 적용하도록 이들에게 보안 교육 및 자료를 제공하고 있습니다. Cohesity는 제품 개발 시 보안 모범 사례를 다루는 보안 코딩 교육을 분기마다 실시하고 있으며, 이는 모든 엔지니어가 의무적으로 이수해야 합니다.

책임 있는 공개 표준

Cohesity는 제품 수명 주기 전반에 걸쳐 취약점을 발견하고, 조사하며, 해결하기 위해 위험 기반 접근 방식을 활용하는 업계 모범 사례를 따릅니다. Cohesity의 전담 제품 보안 팀은 모든 잠재적 보안 취약점 보고에 대해 즉시 조사하고 대응하며, Cohesity의 제품 사고 대응 계획을 통해 제품 내 취약점을 분석하고, 완화하며, 해결하는 과정을 지원하고 있습니다. 이 계획에는 제3자 연구원, 고객 또는 파트너가 문제를 보고했을 경우의 책임감 있는 공개 절차도 포함되어 있습니다.

문제 보고

고객, 파트너 및 제3자 연구원은 Cohesity 제품 및 서비스의 취약점에 대해 Cohesity 보안 팀에 연락하여 보고할 수 있습니다.

Helios 관리

고객은 자체 관리하는 제품 및 서비스에 대해 중앙 집중식 관리 및 분석 기능을 제공하는 클라우드 기반 Helios 플랫폼(Helios 관리 서비스)을 관리할 수도 있습니다.

Helios 관리 서비스의 사용 여부는 배포된 Cohesity 제품 또는 서비스에 따라 고객에게 필수적일 수도 있고, 선택사항일 수도 있습니다.

보안 아키텍처 및 테넌트 격리

Helios 데이터 관리 환경은 관리 서비스와 데이터 서비스가 논리적으로 서로 분리되어 있습니다.

Cohesity가 관리하는 Helios 서비스는 기본적으로 멀티테넌트(Multitenant) 방식으로, 각 테넌트는 독립적인 고유 조직으로 구현됩니다. 이 조직들은 논리적으로 분리되어 있어, 데이터, 정책, 관리자 등 해당 조직의 리소스는 해당 조직 내로만 접근이 제한됩니다

전용 테넌트 데이터 저장소를 사용하므로 고객 데이터는 다른 고객의 데이터로부터 완전히 격리되도록 보장됩니다.

클라우드 인프라

Cohesity는 Helios 관리 서비스와 Cohesity가 관리하는 데이터 관리 서비스를 포함한 클라우드 인프라에 대한 무단 접근이나 침해를 방지하기 위해 제로 트러스트 원칙에 기반한 접근 제어 기능을 적용하여 논리적 보안을 확보하고 있습니다.

고객 인증 및 접근 제어

Helios 관리 서비스는 고객이 강력한 보안 표준 및 자체 보안 정책에 따라 사용자 계정과 할당된 접근 권한을 관리할 수 있는 폭넓은 제어 기능을 제공합니다. 각 테넌트 조직에서는 관리자(Admin)가 해당 조직 내 다른 사용자들을 관리합니다. 이 관리자(Admin)는 역할 기반 접근 제어(RBAC)를 통해 사용자를 추가하고 관리할 수 있습니다. 최소 권한 원칙과 책임 분리 원칙은 표준 및 맞춤형으로 정의된 역할에 대한 세분화된 제어를 통해 달성할 수 있습니다. 테넌트 관리자(Admin)는 Helios 관리 서비스를 기존 ID 공급자(Identity Provider)와 통합할 수도 있습니다. 이를 통해 각 조직은 비밀번호 정책, 다단계 인증(MFA) 등을 포함한 자체적인 인증 제어를 적용할 수 있습니다.

직원 인증 및 접근 제어

Cohesity는 Helios 관리 서비스에 대한 내부 접근에 매우 엄격한 접근 제어를 유지하고 있습니다. 접근은 시스템 관리 및 유지보수 직무와 관련하여 엄격한 '알아야 할 필요성' 원칙에 기반하여 허용됩니다. Cohesity는 최소 권한 원칙과 책임 분리 원칙을 준수하고, 내부 접근 및 인가 통제 정책을 적용합니다. 사용자는 특정 역할로 로그인하기 전에 반드시 정해진 자격 기준을 충족해야 하며, 모든 경우 사전에 문서화된 경영진의 승인을 받아야 합니다. 모든 Cohesity 사용자는 고유한 사용자 ID와 다단계 인증(MFA)을 필수로 사용해야 합니다.

데이터 격리

Helios 관리 서비스의 경우, 각 테넌트의 데이터와 메타데이터는 다른 테넌트의 것과 논리적으로 분리되고 격리됩니다. Cohesity가 관장하는 데이터 관리 서비스에서는 각 테넌트에게 고유한 저장소 공간을 할당하여, 한 테넌트의 콘텐츠가 다른 테넌트와 공유되거나 접근할 수 없도록 보장하고 있습니다.

데이터 레질리언스 및 가용성

Helios 관리 서비스는 예정되었거나 긴급한 유지보수 기간을 제외하고 99.9%(쓰리 나인)의 가용성을 유지합니다. Helios 데이터 관리 서비스는 Amazon Web Services (AWS) S3 서비스를 기반으로 하며, 고객이 정한 지역 내에서 최소 3개 이상의 가용 영역(Availability Zones)으로 나뉘어 운영되며, 이 가용 영역들은 같은 AWS 지역 내에서 수 마일씩 떨어져 있습니다. AWS S3 서비스는 데이터 내구성 99.999999999%(일레븐 나인)를 보장합니다. 재해가 발생하는 경우, Helios 관리 서비스는 S3에 저장된 데이터만을 사용하여 데이터 관리 서비스 시스템에 보관된 데이터를 재구성(복구)할 수 있습니다

데이터 암호화

Helios 관리 서비스의 메타데이터와 데이터 관리 서비스 자체의 모든 고객 데이터는 강력한 업계 표준 암호화 알고리즘과 프로토콜을 사용하여 저장 시 및 전송 중에 암호화됩니다.

인프라 공격 방어

Cohesity는 분산 서비스 거부(DDoS) 공격, 침입 및 악성 코드 공격에 대응하기 위한 여러 가지 수단을 마련해 두고 있습니다. 이러한 안전 장치들은 당사가 Helios 환경을 관리하기 위해 구현한 모니터링 인프라에 내장되어 있습니다 Cohesity는 방화벽을 사용하여 연결 상태를 지속적으로 모니터링하고 이상 징후를 감지합니다. 이상 징후가 감지되면 Cohesity는 Helios 제어 평면(control plane) 환경으로의 연결을 차단하고 상황을 평가합니다. Helios 제어 평면 환경 내의 서버, 컨테이너 및 인프라에 대해서는 취약점을 감시하여 정기적으로 해결 조치를 취하게 됩니다.

데이터 센터 보안

Cohesity의 Helios 관리 서비스와 데이터 관리 서비스는 Amazon Web Services(AWS)에서 호스팅됩니다. AWS 데이터 센터 보안 제어에 대한 더 자세한 정보가 필요하다면, https://aws.amazon.com/compliance/data-center/controls/를 방문하시기 바랍니다.

비즈니스 연속성 및 재해 복구

Cohesity는 사업 운영과 재해 복구 대응을 아우르는 사업 연속성 계획을 유지하고 있습니다. 당사는 사업에 미칠 수 있는 위험들을 정기적으로 평가하고, 이를 허용 가능한 수준으로 관리하기 위한 적절한 처리 계획을 적용합니다. 이 계획에는 핵심 사업 프로세스를 식별하고, 사업 중단을 야기할 수 있는 위협들을 문서화하며, Cohesity가 고객에게 약속한 의무를 이행할 수 있도록 연결성 및 지원 시스템 복구 방안을 마련하는 내용이 포함됩니다.

취약점 관리

Cohesity는 벤더사에서 확인했거나, 연구원들이 보고했거나, 또는 취약점 스캔이나 침투 테스트 혹은 Cohesity 직원의 식별을 통해 내부적으로 발견된 취약점들을 지속적으로 모니터링하기 위해 위협 및 취약점 관리 프로그램을 운영하고 있습니다. 이러한 위협에는 심각도 수준에 따라 순위가 매겨지며, 필요에 따라 해결을 위한 조치가 할당됩니다

모니터링 및 알림

Helios는 서비스의 보안과 가용성 모두에 대해 지속적인 모니터링을 구현하고 있습니다.

모니터링은 모든 서비스에 공통된 기능으로, 주요 성능 지표(KPI)와 측정 항목들이 처음부터 내장되어 있습니다. 대시보드와 측정 항목들은 모니터링 및 대응 팀에 의해 추적하게 되며, 경고(Alert)는 개발 과정에서 설계에 반영됩니다. 경고는 클라우드 운영 팀과 개발 팀이 함께 검토하여, 운영 환경에 배포하는 동안 임계값이 설정되어 있고 잘 모니터링되는지 확인하도록 하고 있습니다.

정보 보안 조직

Cohesity 정보 보안 팀은 Cohesity의 CISO(정보보안최고책임자)가 이끌고 Cohesity 보안 위원회의 감독을 받는 전담 전문가 팀입니다. 이 팀은 Cohesity의 시스템, 프로세스, 데이터, 직원 그리고 고객이 맡긴 자산의 보안, 안전 및 규정 준수를 보장하는 임무를 맡고 있습니다.

정보 보안 정책

Cohesity의 정보 보안 정책들은 조직, 직원 및 정보 자산을 포괄하여 다룹니다. 해당 정책들은 업계 표준에 부합하며, 여기에는 보안 조직, 자산의 허용 가능한 사용, 접근 제어, 정보 분류 및 처리와 같은 영역들이 포함됩니다. 이 정책들은 Cohesity 정보 보안 팀에서 정기적으로 검토하고 필요에 따라 업데이트합니다.

보안 인식 교육

Cohesity 정보 보안 팀은 정보 보안 교육 요구 사항을 정립하고 모든 직원이 교육을 이수하며 자신의 책임을 이해하도록 할 책임이 있습니다. 정보 보안 교육은 신입 직원의 온보딩 과정에 포함되며, 매년 필수적으로 재교육을 받아야 합니다. 교육은 정기적인 발표, 소통 활동, 그리고 특정 주제에 대한 학습 세션으로 보강됩니다. 적절한 경우, 각 사업부 직원들은 자신들의 역할과 직무 책임에 맞는 전문화된 교육을 받게 되는데, 예를 들어 엔지니어링 팀원들은 보안 원칙과 안전한 개발 관행을 다루는 정기 교육을 받는 식으로 진행합니다.

사이버 위험 관리

Cohesity는 시스템 인프라, 네트워크, 엔드포인트, 데이터 및 지식재산을 포함한 IT 자산에 대한 위험을 식별하고, 우선순위를 정하며, 이를 관리하기 위해 사이버 위험 관리 프로그램을 활용합니다. 이 사이버 위험 관리 프로그램을 통해 Cohesity는 내부 및 외부 사이버 위험과 그 발생 가능성, 그리고 잠재적 영향을 식별합니다. Cohesity는 Cohesity의 위험 수용 수준에 따라 위험 담당자와 협력하여 위험을 완화하고 시정합니다.

벤더 위험 관리

Cohesity의 공급업체 위험 관리 프로그램은 신규 공급업체 온보딩 이전에 제3자 공급업체의 보안 태세를 검토하고 검증하며, 설정된 공급업체 등급에 따라 후속 평가를 수행합니다. Cohesity는 Cohesity의 보안 태세, 고객에 대한 약속, 그리고 해당 규제 요건에 부합하도록 위험 관리 프로그램을 통해 공급업체 보안 위험을 관리하고 모니터링합니다.

위협 인텔리전스 및 취약점 관리

Cohesity 정보 보안 부서는 Cohesity의 제품과 인프라에 대한 위협을 줄이기 위해 취약점을 식별하고, 이를 시정하기 위해 통제 책임자와 협력하는 취약점 관리 프로그램을 운영합니다. 또한, 해당되는 Cohesity 자산을 대상으로 침투 테스트를 수행하며, Cohesity의 보안 태세를 최적화하기 위한 시정 조치의 우선순위를 정합니다.

인시던트 대응

Cohesity 정보 보안 부서는 대응 작업을 위한 구조와 지침을 제공하는 절차가 포함된 사고 관리 정책을 유지합니다. 이 정책의 사고 대응 절차는 보안 이벤트와 취약점을 신속하게 탐지하고, 사고의 식별, 평가, 격리, 완화 및 복구를 포함하여 보안 사고에 대한 신속한 대응을 촉진하기 위해 Cohesity 임직원이 따라야 할 단계들을 규정하고 있습니다.

직원 보안

입사 시에는 신원 조회를 실시합니다. 또한 임직원은 회사의 행동 강령, 각종 정책 및 비밀유지협약서를 수령하고 이에 대한 확인 절차를 거칩니다.

물리적 보안

Cohesity의 각 사무실은 경비 인력 또는 로비 담당 인력을 이용하여 물리적으로 보호합니다. 출입 배지를 이용한 접근 제어는 중앙에서 관리 및 유지합니다. 보안 구역에 대한 접근에는 상위 권한이 필요합니다. 카메라 시스템이 설치되어 있습니다. 모든 사무실은 연중무휴 24시간 경비 및 출입 통제가 이루어지며, 카메라와 조명 시스템을 갖추고, 지정된 인원에 한해 배지를 착용하고 출입해야 합니다. Cohesity는 SOC 2 인증을 보유하고 있으며, 요청 시 제공할 수 있습니다.

개인정보처리방침

당사의 개인정보 보호 정책은 www.cohesity.com/agreements에서 확인할 수 있습니다.

처리 위치

Cohesity는 유럽경제지역(EEA) 외부에서 개인 데이터를 처리할 수도 있습니다. 이러한 처리의 예로는 고객이 Cohesity와 개인 데이터를 공유하기로 선택하는 경우 제공되는 연중무휴 24시간 지원 서비스가 있습니다. 이러한 데이터 이전을 허용하기 위해 사용되는 법적 메커니즘은 표준 계약 조항(Standard Contractual Clauses, SCC)이며, 자세한 내용은 www.cohesity.com/agreements에서 확인할 수 있는 Cohesity의 데이터 처리 부록에 명시되어 있습니다.

지원 위치

Cohesity는 현재 미국, 아일랜드, 인도, 캐나다, 일본에 지원 센터를 운영하고 있습니다.

국가 간 데이터 전송

국경 간 데이터 이전에 관한 내용은 www.cohesity.com/agreements에서 확인할 수 있는 데이터 처리 부록에 자세히 설명되어 있습니다.

국제 규정 준수

Cohesity는 개인 데이터를 처리함에 있어 모든 적용 가능한 데이터 보호 법규와 규정을 준수합니다. 여기에는 유럽연합(GDPR), 유럽경제지역 및 회원국, 스위스 및 영국의 법과 규정, 캘리포니아 소비자 개인정보 보호법(CCPA), 캐나다 개인정보 보호 및 전자문서법(PIPEDA) 등이 포함되며, 각 법령은 개인 데이터 처리와 관련하여 Cohesity에 해당되고 적용되는 범위 내에서 적용됩니다. 자세한 내용은 www.cohesity.com/agreements에서 확인할 수 있는 당사의 데이터 처리 부록에서 확인할 수 있습니다.

데이터 처리 계약

Cohesity의 데이터 처리 부록은 www.cohesity.com/agreements에서 확인 가능합니다. 이는 Helios SaaS를 이용하는 모든 고객에게 자동으로 적용되며, Cohesity의 Helios SaaS 서비스 이용 약관에 포함되어 있습니다(www.cohesity.com/agreements에서도 확인 가능). 고객이 데이터 처리 부록을 다른 활동에도 적용해야 한다고 판단되는 경우, Cohesity 법무 팀에 문의하시기 바랍니다.

SOC 2 Type II 보고서

Cohesity Helios SaaS 플랫폼에 대해서는 매년 Service Organization Controls 2(SOC 2) Type II 감사를 실시하여 신뢰 서비스 기준과 관련된 보안, 가용성, 기밀성 측면에서 정보 보안 시스템 통제를 평가합니다.

ISO27001

Cohesity 클라우드 서비스를 지원하는 정보 보안 관리 시스템(ISMS)은 ISO/IEC 27001:2022 인증을 획득하였습니다.

HIPAA

Cohesity의 제품과 서비스는 건강보험 이동성과 책임에 관한 법(HIPAA)의 가이드라인에 일치하는 보안 기준과 요구 사항을 준수합니다.

무역협정법 준수

Cohesity는 무역협정법(Trade Agreements Act, TAA)을 준수하며, 하드웨어는 캘리포니아주 산호세에서 출하됩니다. Cohesity 화이트 라벨 시스템은 무역협정법(TAA)을 준수하는 지정된 국가에서 제조 및 조립됩니다.

2019년 국방수권법

Cohesity는 2019년 국방수권법(NDAA) 섹션 889를 준수합니다.

미국 국방부 정보 네트워크 승인 제품 목록

Cohesity 플랫폼은 미국 국방부(DoD) 산하 기관인 국방정보시스템국(DISA)으로부터 DoDIN(국방 정보 네트워크) 승인 제품 목록(APL)에 포함될 수 있도록 인증을 받았습니다. DoDIN APL은 국방부 네트워크에 배치하기 위해 요구되는 엄격한 사이버보안 및 상호운용성 인증 요건을 충족한 제품들로 구성된 단일 통합 목록입니다.

FedRAMP

FedRAMP는 연방 정부 전반에서 보안이 확보된 클라우드 서비스의 도입을 촉진하기 위해 클라우드 기술과 연방 기관을 대상으로 보안 및 위험 평가에 대한 표준화된 접근 방식을 제공하는 범정부 프로그램입니다.

Cohesity는 FedRAMP Moderate 인증을 획득하였습니다.

GovRAMP

GovRAMP는 IaaS, PaaS, 및/또는 SaaS 솔루션을 제공하는 여러 서비스 제공업체와 제3자 평가 기관, 그리고 정부 관계자로 구성하여 등록된 501(c)(6) 비영리 회원 조직입니다. StateRAMP(dba GovRAMP)는 2020년에 설립되었으며, 주 및 지방 정부에 솔루션을 제공하는 서비스 제공업체에 요구되는 사이버보안 표준에 대해 표준화된 접근 방식이 필요하다는 명확한 요구에서 출범하였습니다.

Cohesity는 GovRAMP 인증을 획득하였습니다.

운영 허가

Cohesity는 미국 국방부(DoD) 기관 네트워크, 미국 에너지부(DoE) 네트워크, 그리고 미국 정보공동체 네트워크 등 고도의 비밀로 분류된 환경에서 자사 제품을 운영하기 위한 ATO를 유지하고 있습니다. Cohesity 제품은 국방부 I급 비밀 네트워크에 배치하기 위한 보안 기술 정보 지침(STIG)을 제공합니다.

공통 기준 EAL2+

Cohesity 플랫폼은 공통 평가 기준인 EAL2+ ALC_FLR.1 인증을 획득하였습니다. 정보기술 보안 평가를 위한 공통 기준(Common Criteria)은 컴퓨터 보안 인증을 위한 국제 표준ISO/IEC 15408)입니다.

자세한 내용은 여기에서 확인할 수 있습니다.

NIST FIPS 140-2 암호화 모듈 검증

Cohesity 제품에 사용되는 암호화 모듈은 미국 국립표준기술연구소(NIST)로부터 연방 정보 처리 표준(FIPS) 140-2 레벨 1 기준에 따른 검증을 받았습니다. FIPS 140-2는 암호화 모듈의 설계와 암호 알고리즘 구현이 안전하고 정확함을 보장하기 위한 미국 정부 표준입니다.

자세한 내용은 여기에서 확인할 수 있습니다.

IPv6

Cohesity 플랫폼은 USGv6 시험 프로그램의 일환으로 미국 뉴햄프셔대학교 상호운용성 연구소(UNH-IOL)로부터 USGv6 규격 준수 인증을 획득하였습니다.

자세한 내용은 https://www.iol.unh.edu/registry/usgv6-2008?name=cohesity에서 확인할 수 있습니다.

SEC 17a‐4(f), FINRA 규칙 4511(c), CFTC 규정 1.31(c)-(d)

Cohesity 플랫폼에는 한 번 쓰고 여러 번 읽기(Write Once, Read Many, WORM) 기능이 기본적으로 내장되어 있습니다. 이 WORM 구현 방식은 Cohasset Associates의 평가를 통해 미국 증권거래위원회(SEC) 규정 17a-4(f), 금융산업규제기관(FINRA) 규칙 4511(c), 및 상품선물거래위원회(CFTC) 규정 1.31(c)~(d)를 충족하는 것으로 검증되었습니다.

자세한 내용은 여기에서 확인할 수 있습니다.

데이터 보호 부록

Cohesity는 고객의 GDPR 또는 CCPA 규정 준수 요구를 지원하기 위해 데이터 처리 부속서(Data Processing Addendum, DPA)를 제공합니다.

하위 처리자 목록

Cohesity는 당사 서비스 제공을 위한 개인정보 처리와 관련하여 제3자를 (하위)처리자로 사용할 수 있습니다.

제품 및 서비스 문서

Cohesity 문서 포털은 MyCohesity를 통해 접근할 수 있습니다.

Helios SaaS 보안 브리프

 Helios SaaS 보안 브리프는 Cohesity 문서 포털에서 확인할 수 있습니다.

DataPlatform 보안 백서

 DataPlatform 보안 백서는 Cohesity 문서 포털에서 확인할 수 있습니다.

DataPlatform 보안 강화 가이드

또한 DataPlatform 보안 강화 지침도 Cohesity 문서 포털에서 확인할 수 있습니다.

Cohesity 랜섬웨어 보호 – 준비 및 복구

 Cohesity 랜섬웨어 보호 – 대비 및 복구 백서도 Cohesity 문서 포털에서 확인 가능합니다.

안전 가이드

Cohesity 하이퍼컨버지드 노드에 대한 안전 정보도 함께 제공됩니다.