대부분의 제어 기능은 TRANXACT에 내장되어 있거나 클라우드 제공업체의 기본 서비스에서 제공됩니다. 실제로 작동하지 않는 기능은 고객이 직접 활성화해야 하는 기능인데, 다른 누구도 대신 활성화해 주지 않기 때문입니다.
| 제어 | 고객 측 부품 |
|---|---|
| SSO와 MFA | 계정 및 MFA 정책은 고객의 IdP(PLAT_5.6.02)에 있습니다. TRANXACT는 페더레이션을 설정합니다. |
| SIEM | 로그 내보내기는 선택 사항입니다(TO_4.6.02). SIEM 운영 및 사용 사례는 고객의 책임입니다(TO_4.6.03). |
| 고객 관리 키 | 선택 사항(TO_4.5.10); 주요 수명 주기, 순환 및 비상 절차는 고객의 요구 사항입니다(TO_4.5.11). |
| 데이터 분류 | 고객은 개인 정보와 규제 대상 데이터를 분류하고 보존 기간 및 법적 보류 기간을 결정합니다. |
| 접근 권한 재인증 | 주기적이며 고객의 것입니다(PLAT_5.6.04). |
| 운영자 승압 | 고객이 이를 승인하면 프로덕션 데이터에 대한 공동 서명 액세스 권한이 부여됩니다(TO_4.5.05). |
열쇠
전송 시에는 TLS 1.2+ 암호화를 사용하고, 데이터베이스, 객체 스토리지 및 백업에는 AES-256 암호화를 적용합니다. 관리형 비밀 키 저장소를 사용하며, 클라우드 KMS 키는 TRANXACT에서 관리하고 운영자는 읽기 권한이 없으며, 볼트 키는 별도로 보관됩니다. 고객 관리 키, 고객 제공 인증서 및 ASK용 BYOK(Bring Your Own Key)도 옵션으로 제공됩니다.
고객이 관리하는 키를 사용하는 경우, 키를 취소하면 TRANXACT를 사용할 수 없게 됩니다. 시스템 가동 전에 키 순환 및 비상 절차를 협의하여 결정하십시오.
패치(제안된 기본값)
| CVSS | 목표 | 알아채다 |
|---|---|---|
| 심각도 9.0–10 | 검증된 해결책이 나오는 즉시 사용할 수 있는 비상 경로 | 가동 중지가 필요한 경우 즉시 |
| 최고 7.0~8.9 | 다음 점검 기간 | 릴리스 노트 |
| 중급 4.0–6.9 | 30일 이내 | 릴리스 노트 |
| 최저 기온 4.0 미만 | 다음 예정된 릴리스 | 릴리스 노트 |
개인정보 유출
TRANXACT는 데이터 처리자로서, 데이터 유출을 확인하고, 개인정보보호법(DPA)에 따라 지체 없이 고객에게 통지하며, 파악된 내용과 취해진 조치를 공유하고, 지속적으로 업데이트합니다. 고객은 데이터 관리자로서, 데이터 주체에 대한 위험을 평가하고, 필요한 경우 감독 기관과 데이터 주체에게 통지하며, 자체 등록부에 데이터 유출 사실을 기록합니다.
고객의 침투 테스트
기밀유지협약(NDA) 체결; 2주 전 요청(조정 관련 추가 서비스); 범위 합의; 마스킹 처리된 비프로덕션 환경 테스트 우선 진행 - 프로덕션 환경 테스트는 명시적인 승인 및 지정된 기간 필요; 결과 공유; 공동 해결. 범위 외 사항: 서비스 거부 공격 및 부하 공격, 클라우드 제공업체의 인프라, 다른 테넌트, 볼트 계정 및 공유 도구, TRANXACT 직원에 대한 소셜 엔지니어링 공격.
묻다
ASK는 TRANXACT 자체 API를 통해 사용자 세션과 연동되므로 모든 게시 규칙, 권한 및 감사 로그 항목은 사용자가 직접 클릭한 것처럼 적용됩니다. 고객별로 엔진 티어 및 처리 지역, BYOK 사용 여부, ASK 사용 가능 역할, 사용량 예산이 설정됩니다. 역할 정책 및 예산은 G1 패키지 또는 고객 자체 정책에 따르며, BYOK 방식의 AI 공급자 계약은 고객 계약입니다.
TRANXACT의 규정 준수 확인을 거친 후에만 현재 범위가 고객의 클라우드 및 지역을 포괄하는 인증서를 인용하십시오.
캘더우드의 데이터보호책임자(DPO)는 급여 데이터 유출 시 누가 규제 기관에 알리는지 묻습니다. 답은 캘더우드, 즉 데이터 관리자입니다. TRANXACT는 지체 없이 데이터 처리 계약(DPA)에 명시된 담당자를 통해 캘더우드에 이 사실을 알립니다.
한번 시도해 보세요 캘더우드는 침투 테스트의 일환으로 "아내 승인 기준(WAF)을 입증"하기 위해 생산 설비에 대한 부하 테스트를 실시하려고 합니다. 이에 대한 해결책은 무엇일까요?
서비스 거부 공격 및 부하 테스트는 고객 침투 테스트 범위에 포함되지 않습니다. 부하 테스트는 별개의 항목입니다. TRANXACT는 실제 운영 환경 출시 전 최대 부하 상태에서 비운영 환경에 부하 테스트를 실행하며(TO_4.12.02, Standard), 추가 부하 테스트는 별도 서비스로 제공됩니다(TO_4.12.03).