HCLSoftware TOM(Technical and Organization Measures) – 보안

아래에 제공되는 TOM(Technical and Organization Measures)는 모든 HCLSoftware 제품에 적용됩니다. HCLSoftware 보안에서 구현하고 유지하는 조치의 증거는 고객 요청 시 최신 준수 인증서, 감사 보고서 또는 독립 기관 자료 형태로 제시될 수 있습니다.

보안 정책

HCLSoftware는 강력한 ISMS(Information Security Management System)를 유지 관리합니다. 보안 정책은 보안 규정 준수를 유지하기 위해 HCLSoftware가 필요하다고 판단하여 매년 검토하고 수정됩니다.

기술적 및 조직적 조치의 효과성을 평가하고 검토하기 위해 6개월마다 공식적인 경영 검토가 실시됩니다. 여기에는 정보 보안 관리 시스템의 거버넌스, 위험, 규정 준수와 관련된 추적 메트릭이 포함됩니다.

HCLSoftware 직원은 매년 보안 및 개인정보 보호 교육을 이수합니다. HCLSoftware는 HCLSoftware에 대한 모든 정보 보안 관련 프로세스 및 활동을 감독하는 식별된 정보 보안 조직 구조를 가지고 있습니다.

• HCL은 개인 데이터에 대한 액세스를 다루는 데이터 개인정보 처리방침 및 프로세스를 정의하고 문서화했습니다.
• 필수 정보 보안 인식 교육이 제공됩니다.
• HCL은 이벤트 로그에서 악의적/비정상적인 동작을 지속적으로 검토합니다.
• 보고된 모든 확인된 인시던트는 근본 원인과 영향을 분석합니다. 조치방안은 프로세스 소유자가 시작합니다. 주요 사건과 그 원인 및 영향은 HCL 경영진에게 보고됩니다.
• HCLSoftware 데이터 센터 및 지원 조직은 ISO 27001 인증을 받았습니다.

내부 IT 및 IT 보안 거버넌스 및 관리

공식 내부 감사 프로그램이 운영되어 당사의 ISMS 관리의 적합성 및 거버넌스를 측정합니다. 내부 감사 프로그램의 지표는 경영 검토에서 발표됩니다.

프로세스 및 제품의 인증/보증

외부 및 독립 감사는 인증/보증 측면에서 비즈니스 요구 사항을 충족하도록 구성 및 관리됩니다. 여기에는 당사의 ISMS에서 지원하는 프로세스 및 제품에 대한 전체 정식 검사가 포함됩니다.

자세한 내용은 인증 요청을 참조하십시오.

위험 관리

HCLSoftware는 보안, 개인정보 보호, 기타 계약 요구 사항과 관련된 위험을 식별하기 위해 ISO 27005를 기반으로 위험 관리 프레임워크를 정의, 문서화, 구현했습니다. 모든 위험은 비즈니스에 미치는 영향을 판단하기 위해 평가를 거친 다음, 올바른 처리 방법을 결정하기 위한 평가를 거칩니다.

HCLSoftware는 위험을 평가하고 해결하며 식별된 위험을 완화하기 위한 조치 계획을 작성합니다. HCLSoftware의 모든 영역에는 위험 요인을 파악하고 관리하는 데 도움이 되는 위험 초점이 있습니다. 모든 위험은 최소한 1년에 한 번, 필요에 따라 검토됩니다.

인시던트 관리

HCLSoftware는 인시던트 대응 정책을 유지하며, 침해가 알려지거나 고객 데이터에 영향을 미칠 것으로 합리적으로 의심되는 경우 관련 당국, 고객 및 데이터 주체에게 적절한 신속한 침해 알림을 포함하여 문서화된 인시던트 대응 계획을 따릅니다.

HCLSoftware 인시던트 대응 프로그램은 NIST 800-61 r2를 따릅니다(아래 다이어그램 참조)

HCLSoftware는 다음과 같은 사고에 대해 별도의 흐름을 유지합니다.

• 사이버 보안 사고
• 데이터 인시던트(개인 데이터가 영향을 받는 경우 개인정보 보호 팀 포함)

HCL은 보안 인시던트를 상시 모니터하며, 이벤트가 감지되면 적절한 인시던트 관리 대응 팀에 이를 보고합니다. 인시던트 프로세스에는 필요에 따라 격리/제거/보관이 포함되며, 높은 우선순위 또는 중요 인시던트에 대해서는 근본 원인 분석이 수행됩니다. 사후 인시던트 활동에는 필요에 따라 프로세스/도구를 개선하기 위한 검토도 포함됩니다.

물리적 및 환경 보안

HCLSoftware는 시설 및 데이터 센터의 물리적 보안을 유지하고 있으며, 여기에는 환경 위협과 전력 중단에 대한 예방 조치가 포함됩니다.

• 데이터 센터에 대한 액세스는 직무 역할에 의해 관리되고 제한되며 승인을 받아야 합니다.
• 데이터 센터에 대한 접근은 필요에 따라 제공되며 주기적으로 검토됩니다.
• 사무실에 대한 물리적 액세스는 액세스 제어 메커니즘에 의해 제어됩니다.
• 방문객 입구는 모니터링 및 기록됩니다.
• 모든 중요한 지역은 CCTV로 감시되고 있으며 녹화물은 최소 30일 보관됩니다.

데이터 프라이버시

HCLSoftware는 회사 및 당사가 보유하고 있는 개인정보에 적용되는 모든 개인정보 보호 규정을 준수하도록 설계된 개인정보 보호 프로그램을 구현하고 유지 관리합니다. 또한 법적 의무 및 고객 계약에 따라 고객의 개인 데이터를 처리하도록 프로세스를 활용합니다. 개인정보 보호 프로그램에는 다음이 포함됩니다.

1. 데이터 보호 영향 평가
2. 정책 및 절차
3. 개인정보 보호 직원 인식 교육
4. 고객 계약
5. 데이터 전송 영향 평가
6. 벤더/제3자 개인정보 평가
7. 개인정보 보호를 고려한 제품 설계
8. 데이터 주체 요청에 대한 응답
9. 사고 대응
10. 글로벌 개인정보 규정 준수 문서화

제한된 데이터 보존 보장

• 지원 팀은 지원 및 관련 서비스를 고객에게 제공하기 위해 필요한 개인 데이터만 수집합니다. 고객 데이터는 필요 이상 보관하지 않으며 내부 정책 및 관련 법률에 따라 개인 데이터의 보안 및 삭제를 보장하기 위해 필요한 모든 조치를 취합니다.
• CuDaR(Customer Data Repository)에 저장된 진단 데이터는 케이스 종료 후 활성 저장소에서 삭제되며 백업에서 영구적으로 삭제되는 데 최대 60일이 소요됩니다. 티켓 관리 시스템에 저장된 사례 데이터는 케이스 종료 후 최대 5년 동안 보관됩니다.

고객 데이터에 대한 액세스 및 삭제

지원 팀에는 내부 정책 및 적용가능한 법률에 따라 데이터 주체의 요청을 처리할 수 있는 기능이 있습니다. 고객은 고객 지원 포털에서 자신의 데이터에 액세스할 수 있으며 필요한 경우 데이터를 내보낼 수 있습니다. 또한 HCL 지원 팀은 고객 요청 시 고객 데이터 내보내기를 지원할 수 있습니다.

가명화/익명화

개인 데이터의 가명화 또는 익명화 조치는 비프로덕션 환경 지원에 필요한 범위 내에서 실행됩니다.

개인 데이터 암호화

• 개인 데이터가 전송될 때, 통신의 엔드 투 엔드 암호화를 안전하게 보장합니다. 모든 개인 데이터 전송은 HTTPS/SFTP를 통해 이루어지고 최소 TLS 1.2 프로토콜을 사용합니다. 백엔드 데이터베이스는 AES-256 암호화를 사용하여 저장 시 암호화됩니다.
• 전송 중 데이터 - TLS(Transport Layer Security) 암호화는 로그인 중 모든 인터넷 연결에 필요하며 모든 데이터는 전송 중에 암호화됩니다.
• 저장된 데이터 - 저장된 고객 데이터는 암호화되어 있습니다. 주요 관리는 업계 모범 사례를 준수합니다. 암호화는 AES 256 표준 활용

암호화 측정

• 암호화 키 관리 - 암호화 키 관리 절차가 문서화되고 자동화됩니다. 데이터 암호화 키를 암호화하도록 제품 또는 솔루션을 배포합니다(예: 소프트웨어 기반 솔루션, 하드웨어 보안 모듈(HSM)). 소프트웨어 기반 암호화, 키 관리 절차가 자동화됩니다. 데이터 암호화는 저장 및 전송 중에 구성됩니다.
• 암호화 사용 - 공용 인터넷을 통한 기밀 정보 전송은 항상 암호화된 채널을 사용합니다. 전송이 자동화될 경우 암호화 세부 정보가 문서화됩니다. 수동 암호화가 필요한 경우, 승인받은 전담 직원이 데이터 암호화/암호 해독을 담당합니다. 기밀 정보는 HTTPS, SSL, SFTP 등의 보안 프로토콜을 사용하여 네트워크를 통해 전송되는 동안 암호화됩니다. VPN 전송은 암호화된 채널을 통해 수행됩니다.

시스템 구성

기본 구성은 HCLSoftware가 정의한 시스템 구성에 따라 강화되며, 장치를 네트워크에 연결하기 전에 비밀번호가 포함됩니다.

처리 시스템 및 서비스의 기밀성, 무결성, 가용성, 복원성

• 지원 팀은 지원 시스템 및 고객 데이터의 기밀성, 무결성 및 접근성을 보호할 수 있는 적절한 통제 수단을 확보합니다.
• 지원 팀은 데이터에 대한 무단 액세스를 방지하기 위해 사용자 온보딩 및 오프보딩 프로세스를 구현하였습니다. 지원 팀에서는 문서화된 ISMS 사고 대응 정책을 따르고 데이터 개인정보 보호 및 보안 문제를 에스컬레이션하는 프로세스를 보유하고 있습니다.
• 역할 및 책임은 지원 조직 내에서 분할되어 무단 또는 의도하지 않은 데이터 수정 또는 오용에 대한 기회를 줄입니다. 모든 지원 담당자가 필요한 보안 및 개인정보 보호 교육을 매년 이수하도록 지원합니다.
• 지원 팀의 티켓 관리 데이터 센터 및 클라우드 기반 인프라는 단일 장애 지점을 방지하기 위해 중복 구성요소와 다중 네트워크 경로를 갖춘 고가용성 구조로 설계되었습니다. AHA(Advanced High Availability) 아키텍처는 가용성에 영향을 줄 수 있는 장애 발생 시 서비스를 복원하는 주요 수단입니다. 지원 팀의 티켓 관리 시스템에서는 7일마다 디스크로 직접 전체 백업이 수행되고 28일간 보관되며 24시간마다 차등 백업이 수행됩니다.

개인 데이터에 대한 가용성 및 액세스를 복원하는 기능

• 지원에는 물리적 또는 기술적 사고 발생 시 지원 가용성을 보장하는 무중단 업무 운영 계획이 있습니다. 지원 팀의 BCP는 비즈니스 중단 발생 시 사전 정의된 수준으로, 정해진 시간 내에 운영을 복구하도록 안내합니다. BCP는 매년 테스트됩니다.
• 기술적인 오작동이나 인적 오류가 발생한 경우 개인 데이터 손실을 방지하기 위해 데이터베이스 백업이 수행됩니다. CuDaR(고객 데이터 저장소)에서는 12시간마다 증분 백업이 수행되며, 주간 차등 백업과 월간 백업 덮어쓰기가 이루어집니다. 데이터 백업 복구는 최소 1년에 한 번 정기적으로 테스트됩니다.

비즈니스 연속성 및 재해 복구 계획

• 백업 절차는 모든 중요한 개발 시스템에 적용됩니다.
• 백업은 스토리지 수준에서 수행되며 업계 표준을 따릅니다. 각 데이터 센터에는 자체 백업 인프라가 있습니다. 데이터 보관 절차는 ISO 27001 표준을 준수합니다.
• 중단과 정전 시 영향을 받은 고객에게 통보됩니다. 통신에는 다음 정보가 포함됩니다.
  • 영향의 성격
  • 영향을 받는 위치/부서/프로세스
  • 영향의 정도
  • IT 헬프데스크의 위치 및 연락처 정보

기술적 및 조직적 조치의 효과성 테스트, 평가 및 검토

당사의 기술 및 조직 조치는 공식 감사 및 내부 테스트 프로그램을 통해 평가됩니다. 정보 보안 관리 시스템 및 기술적, 조직적 조치의 효과성을 평가하고 검토하기 위해 공식적인 고위 경영진 관리 검토가 6개월마다 실시됩니다. 여기에는 정보 보안 관리 시스템의 거버넌스, 위험, 규정 준수에 대한 메트릭과 조치가 포함됩니다.

사용자 액세스 관리

HCL은 시스템에 대한 사용자 액세스를 요청, 승인, 허가, 취소, 재검증하기 위한 적절한 관리 방법을 유지합니다. 업무상 필요한 직원만 데이터에 액세스할 수 있습니다. 액세스 요청은 개인 역할에 따라 승인되며 사용자 액세스는 정기적으로 검토됩니다.

논리적 액세스 절차는 요청, 승인, 액세스 프로비저닝, 디프로비저닝 프로세스를 정의합니다. 논리적 접근 절차는 애플리케이션과 데이터베이스의 사용자 직무 기능(역할/프로파일 기반 적절한 접근)에 따라 사용자 접근(로컬 또는 원격)을 제한하여 애플리케이션, 데이터베이스 및 시스템에 대한 업무 분리를 보장합니다. 해당 절차는 온보딩, 자원 재할당 또는 분리 등을 기준으로 검토, 관리, 문서화됩니다. 1년 내내 액세스가 적절한지 확인하기 위해 사용자 액세스 검토가 수행됩니다.

• 모든 HCLSoftware 시스템 관리자는 권한 있는 액세스 관리를 통해 시스템 액세스 시 다중 인증, Tacca, VPN, AD를 사용하여 인증됩니다.
• 또한, 권한 있는 액세스 관리 사용은 감사 및 포렌식 분석을 위해 기록됩니다.

사용자 식별 및 인증

모든 사용자는 고유한 이름 있는 액세스 제어(사용자 ID 및 암호)를 사용하여 계정에 액세스할 수 있습니다.

보관 중 데이터 보호

모든 사용자는 특정 데이터에 액세스할 수 있으며 모든 스토리지에 액세스할 수 없습니다.

자산 관리 및 제어 - 노트북, 데스크탑, 서버, 네트워킹 장비, 소프트웨어 자산

• 모든 자산은 자산 등록에서 공식적으로 신고, 검토 및 관리됩니다.
• 공급업체에서 권장하는 운영 체제 패치는 데스크탑, 노트북, 서버 및 네트워킹 장비에 정기적으로 테스트 및 적용됩니다.
• 기본 ID가 변경 및 비활성화됩니다. 초기 설치 후 암호가 변경됩니다. 제조업체의 기본 암호는 사용되지 않습니다.
• 서버에서 다른 컴퓨터로 파일/디렉토리를 공유해야 하는 경우, 액세스가 필요한 사용자만 공유에 액세스할 수 있도록 설정하고 최소 권한 원칙을 준수해야 합니다.
• 모든 서버 및 네트워킹 장비의 시스템 시계는 서버/장비의 위치에 있는 시간대의 시간으로 동기화되고 설정됩니다. 허가된 직원만 시스템 클럭 시간을 변경하거나 재설정할 수 있습니다.
• 관리 계정은 강력한 암호로 설정되며 식별된 사람에게만 제공됩니다. 관리자 액세스는 정기적으로 검토됩니다.
• 필요한 곳에 엔드포인트 탐지 및 대응(NexGen Antivirus & Malware) 소프트웨어가 설치됩니다.
• 백업이 수행되고 확인된 시스템에 대해 요청에 따라 복원 검사가 수행됩니다.
• 회사 소유 및 관리되는 노트북만 시설 내부에서 허용됩니다.
• 모든 HCL 직원은 기업의 IT 시스템에 액세스하기 위해 고유한 '사용자 ID' 및 비밀번호를 필요로 합니다.
• 모든 사용자 ID에는 암호가 있으며 사용자는 HCL 암호 정책에 따라 암호를 설정하고 변경해야 합니다.
• 사용자 ID는 정의된 프로세스에 따라 적절한 권한을 부여하여 생성됩니다.
• 공유 서비스 계정은 특별 권한 액세스 관리 플랫폼을 통해 관리됩니다.

무선 컨트롤

• 무선 제어 적용 방법:
  • 무선 AP는 무선 관리를 위해 인증된 액세스 권한이 있는 네트워크 팀 점프 서버에서만 액세스할 수 있습니다.
• 무선 제어 적용 방법:
  • PNP-CORP SSID 인증 – RADIUS/AD 서버를 통해 무선 인증이 허용되므로 HCLSW 유효 사용자만 SSID를 연결할 수 있습니다
  • HCL-소프트웨어 게스트 인증 – 내부 캡티브 포털 인증을 통해 무선 인증이 허용됩니다. 서버 요청에 따라 사용자 이름과 비밀번호를 생성할 예정입니다(Wireless Guest 티켓은 두 태스크를 생성하며, 하나는 자격 증명 생성, 다른 하나는 자격 증명 비활성화입니다. 두 번째 태스크는 WiFi 요청 종료일 이후에 할당됩니다).
  • HCL-TECH-SSID 인증 – 무선 인증은 사전 공유 키를 사용하며 HCL Tech 사용자와 공유됩니다. 암호는 3주마다 변경됩니다.
• 공급업체 기본 설정을 대체하는 방법:
  • HCLSW 표준 템플리트가 사용됩니다.

이메일 보안

• 모든 이메일은 게이트웨이 수준에서 바이러스나 악성 코드에 대한 검사를 받습니다.
• 이메일 시스템은 위조, 스팸 및 릴레이를 방지하도록 구성되어 이를 보호합니다.

클라우드 보안

클라우드 자산과 서비스는 CIS(Center for Internet Security) 벤치마크를 통해 강화됩니다.

• 클라우드 보안 체계 관리 표준 및 구성은 365일 24시간 연중무휴 탐지, 분석, 대응 팀을 통해 실시간으로 모니터링됩니다.
• 해당되는 경우 클라우드 워크로드 보호 및 엔드포인트 감지 및 응답(NexGen Antivirus & Malware) 소프트웨어가 설치됩니다.
• HCLSoftware는 클라우드 벤더 WAF(Web Applications Firewalls)을 활용하여 DDoS 및 기타 외부 공격 벡터로부터 보호합니다.

보안 운영

HCLSoftware는 항시 운영되는 DART(Detection, Analytics and Response) 팀을 유지하며, 팀은 정의된 표준에서 벗어난 활동, 악의적 또는 비정상적 활동, 위협 모델링에 대한 모니터링 및 대응 서비스를 제공합니다.

• 정의된 CSIRT 응답 팀
• 사이버 보안 법의학 서비스

기타 보안 통제

• 방화벽은 승인된 계층 7 애플리케이션 트래픽만 허용하는 방식으로 구성됩니다.
• HCL의 모든 보안 통신은 현재 암호화 표준을 따릅니다.
• EDR 및 DLP는 모든 최종 사용자 시스템에 설치됩니다.

하위 처리업체 사용

• HCL는 서비스 제공과 관련하여 특정 제3자를 사용합니다. 여기에는 클라우드 호스팅 및 지원 및 관련 서비스 프로비저닝을 위해 사용되는 제3자가 포함됩니다. 고객 개인 데이터에 액세스할 수 있는 하위 처리업체는 보안 센터 사이트에 나와 있습니다. https://www.hcltechsw.com/resources/data-processing-and-transfers , 또한 고객은 하위 처리업체 목록 업데이트를 수신하도록 구독할 수 있습니다.
• HCLSoftware는 데이터 보호 및 데이터 전송을 위한 적절한 보호 수단을 확보하기 위해 고객 개인 데이터에 액세스할 수 있는 모든 하위 처리업체와 적절한 경우 데이터 처리 계약을 체결했습니다.