보안 백서

TuxCare, Inc.의 보안

턱시도 케어

백서

2026년 3월 1일부터 효력이 발생합니다.

콘텐츠

소개

조직 보안

고객 데이터 보호

아키텍처 개요

결론

소개

기업은 최대의 보안과 규정 준수를 유지하기 위해 취약점을 신속히 패치하고, 운영 중인 리눅스 시스템을 최신 수정 사항으로 업데이트하며, 지원 및 유지보수를 위한 신뢰할 수 있는 기술 파트너를 확보해야 합니다.
TuxCare는 기업용 리눅스 시스템에 대한 지원, 유지보수 및 보안을 제공함으로써 조직을 지원합니다.

TuxCare 라이브 패칭 서비스를 통해 리눅스 커널, 라이브러리, 데이터베이스, 가상화 환경 및 IoT 기기에 다운타임 없이 자동화된 보안 패치가 적용됩니다.
TuxCare 무제한 라이프사이클 지원 서비스를 활용하면 조직은 지원 종료 배포판 운영 시 발생하는 일반적인 위험으로부터 보호를 유지하면서 자체 속도에 맞춰 최신 Linux 버전으로 마이그레이션할 수 있습니다.
턱스케어의 리눅스 지원 서비스는 벤더 독립적 기술 파트너십의 장점을 갖춘 기업용 리눅스 지원의 모든 범위를 제공합니다: 합리적인 가격과 유연한 서비스로 현재 버전 리눅스 시스템을 지속적으로 업데이트하고 안전하게 유지합니다.

1,500개 이상의 기업, 의료 기관, 정부 기관 및 대학이 약 100만 대의 시스템을 TuxCare에 맡기고 있습니다.

본 문서에서는 당사의 고수준 시스템 아키텍처와 보안 접근 방식을 설명하고자 합니다.

조직 보안

보안 정책 및 교육

턱스케어의 직원 보안 관행은 턱스케어 내부 시스템에 접근 권한이 있는 정규직, 비정규직 및 계약직 직원에게 적용됩니다. 내부 시스템 접근 권한을 부여받기 전에 모든 직원은 신원 조회를 통과하고, 정보 보안 인식 교육 이수 및 서명을 완료하며, 비밀 유지 계약서를 체결해야 합니다. 모든 직원은 매년 개인정보 보호 및 보안 교육을 이수해야 합니다. 해당 교육은 허용되는 데이터 사용, 피싱 및 사회공학적 공격, 회사 소유 기기 및 개인 기기 사용, 악성코드 방지를 위한 모범 사례, 물리적 보안 관련 요구사항, 사고 보고 등 광범위한 개인정보 보호 및 보안 주제를 다룹니다. 턱스케어에서의 근무가 종료되면, IT 부서는 표준화된 절차를 통해 전 직원의 턱스케어 시스템 접근 권한을 즉시 제거하며, 여기에는 모든 계정 비활성화가 포함됩니다.

턱스케어의 보안 프로그램 및 팀

턱스케어는 보안 전문가 팀(사내 직원으로 구성)을 운영하며, 이 팀이 턱스케어의 보안 프로그램을 감독하고 운영합니다. 이 팀은 다양한 이니셔티브와 모범 사례를 통해 보안 프로그램의 세 가지 핵심 요소를 지원합니다:

제품 보안

○ 개발자에게 안전한 애플리케이션 개발 관행 및 기타 모범 보안 관행에 대한 교육을 실시한다

○ 잠재적 보안 취약점 탐지를 위한 설계 및 코드 검토 제공

인프라 및 운영 보안

○ 방화벽, 웹사이트 인증서 및 기타 보안 인프라 구성 요소 관리

○ 보안 관련 로그를 수집하고 로그 분석 도구를 유지 관리한다

○ Tuxcare의 운영 서비스에 대한 안전한 배포, 모니터링 및 패치 적용을 위한 플랫폼 제공

○ 엔드포인트 장치 보호 도구 및 서비스 관리

○ 외부 침투 테스트 조정

○ 지속적인 취약점 평가 수행

○ 보안 사고 대응

준법 및 리스크 관리

○ 감사 업무를 조정하고 보안 인증을 유지 관리한다

○ 턱스케어의 정보 보안 관리 시스템을 개발하고 유지 관리한다

○ 고객 문의에 답변하기

○ 공급업체 보안 상태 검토 및 적격성 평가

○ BCP/DRP 활동 조정

○ 개인정보 보호 프로그램 관리

침투 테스트

Tuxcare 애플리케이션에 대한 자체 침투 테스트를 수행하고자 하는 고객은 해당 요청을 제출할 수 있으며, 담당 Tuxcare 계정 관리자에게 문의해야 합니다. 외부 네트워크 침투 테스트는 분기별로 제3자 업체를 통해 수행됩니다. 제3자 보안 평가 결과는 보안 팀에서 검토하여 심각도별로 분류하고 해결될 때까지 추적 관리합니다.

취약성 평가

Tuxcare 보안 팀은 Tuxcare 서비스에 대해 다음과 같이 취약점 평가를 수행합니다:

프로덕션 배포 전 서비스는 소프트웨어 구성 분석(SCA) 서비스를 통해 검증됩니다.
인프라스트럭처는 Nessus와 같은 보안 도구를 사용하여 지속적으로 스캔됩니다.
공개 웹 서비스는 웹 애플리케이션 스캐너에 의해 지속적으로 검사됩니다.
출시 후 취약점 평가는 다양한 취약점 관리 솔루션에 의해 수행됩니다.

패치 관리

턱스케어는 서비스 인프라에 정기적으로 보안 패치를 적용합니다. IT 팀은 턱스케어에서 사용하는 자산 유형에 대한 중요 업데이트 알림 전용 정기 피드 및 채널을 구독합니다. 중요 패치는 턱스케어의 패치 관리 정책에 따라 합리적으로 가능한 한 신속하게 적용됩니다.

보안 모니터링

턱스케어는 자체 인프라, 서비스 및 애플리케이션 내에서 악의적, 의심스러운 또는 기타 불법적인 행위를 탐지하기 위한 일련의 도구와 프로세스를 사용합니다. 회사는 턱스케어 환경 내 서비스 핵심 서버에 대한 관리 접근, 특권 계정 사용 및 시스템 호출을 기록하고 보관합니다. 이러한 로그 분석은 가능한 경우 자동화되어 잠재적 문제를 탐지하고 담당자에게 경보를 발령합니다. 감사 로그 접근 권한은 업무 수행을 위해 해당 접근이 필요한 제한된 인원으로만 제한됩니다.

사고 관리

Tuxcare는 고객 및 내부 사용자에 대한 가동 중단 시간, 서비스 저하 및 보안 위험을 최소화하는 사고 관리 절차를 실행합니다. 보안 사건은 확인된 채널을 통해 식별되어 Tuxcare 보안 팀에 전달됩니다. 이후 보안팀은 해당 사건의 유형을 정의하고 심각도를 평가한 후, 업계 모범 사례에 기반한 승인된 서비스 수준 계약(SLA)에 따라 대응합니다. 개인정보 보호에 영향을 미칠 수 있는 보안 사건은 Tuxcare의 규정 준수팀에 의해 추가 분석 및 대응이 이루어집니다.

안전한 소프트웨어 개발

턱스케어의 엔지니어링 팀은 역할 및 접근 정책, 계정 관리, 인증서 관리, 암호화 및 키 관리, 시크릿 관리, 보안 로그 수집 및 모니터링, 방화벽, 네트워크 접근 목록을 위해 업계 선도적인 관리형 서비스를 활용합니다. 모든 코드는 버전 관리 시스템에서 체크인됩니다. 코드 변경 사항은 동료 검토와 자동 통합 테스트를 거칩니다. 턱스케어 애플리케이션, 라이브러리 및 기타 개발 산출물은 알려진 취약점에 대해 자동으로 스캔되며, 수정 사항은 즉시 적용됩니다. 모든 개발 팀은 보안 팀 및 인프라 팀과 정기적인 보안 점검 일정을 갖습니다. 인프라 팀은 엔지니어가 제품 개발에 집중할 수 있도록 최적의 인프라 툴킷을 제공하는 역할을 담당합니다. Tuxcare의 서비스는 Open Web Application Security Project(OWASP)에서 열거한 취약점을 포함한 알려진 보안 취약점에 대비하여 설계, 개발, 배포 및 테스트됩니다. 안전한 개발 및 테스트를 위한 지침이 유지 관리되며 모든 엔지니어에게 전달됩니다.

재해 복구

턱스케어는 클라우드 호스팅 제공업체가 배포한 서비스를 활용하여 전 세계에 위치한 다중 가용성 영역(미국 시카고 및 마이애미, 유럽 연합 지역 내 독일 및 폴란드)에 걸쳐 운영을 분산합니다. 턱스케어는 컴퓨팅 용량, 애플리케이션, 인프라 또는 데이터의 예기치 못한 장애로 인한 중단 후 복구를 위한 지침으로 재해 복구 계획(DRP)을 보유하고 있습니다. DRP는 턱스케어의 전담 팀이 유지 관리하며 매년 검토 및 테스트를 실시합니다.

제3자 공급업체

Tuxcare는 서버 호스팅, 이메일 통신, 고객 지원 서비스, 분석 등 특정 서비스 및 기능을 위해 여러 제3자 공급업체에 의존합니다. 타사 공급업체를 활용하기 전에 Tuxcare는 실사 프로그램을 수행하고 해당 공급업체의 보안 상태를 평가합니다. Tuxcare는 개인정보가 법적 보관 근거가 소멸된 후 타사 시스템에서 삭제되었는지 확인합니다. 선정된 타사 공급업체들은 공급업체 위험 관리 서비스에 의한 지속적인 모니터링을 받습니다.

비즈니스 모델

턱스케어는 사용자의 개인 데이터를 판매하거나 대여하지 않으며, 광고 제공을 목적으로 제3자와 개인 데이터를 공유하지 않습니다. 턱스케어는 소비자와 기업에 유료 제품을 제공함으로써만 수익을 창출합니다.

고객 데이터 보호

직원 접근 권한 부여

Tuxcare의 모든 내부 시스템 접근에는 직원들이 필수 다중 인증이 적용된 싱글 사인온(SSO) 시스템을 통해 인증해야 합니다. Tuxcare는 최소 권한 원칙을 준수합니다. 내부 시스템 접근 요청은 문서화되어 해당 관리자 및 서비스 소유자에 의해 검토 및 승인됩니다. Tuxcare 경영진은 고객 데이터를 보유하거나 처리하는 시스템에 대한 직원 접근 권한을 체계적으로 검토하며, 특정 업무 수행에 더 이상 접근 권한이 필요하지 않을 경우 해당 권한을 취소합니다.

엔드포인트 보호

모든 Tuxcare 워크스테이션은 안전한 구성, 암호 규칙 및 암호화를 강제하는 엔드포인트 관리 소프트웨어를 실행해야 합니다. 또한 유휴 시 자동 잠금 기능을 지원하며, 기기가 손상되거나 분실된 경우 원격으로 제어할 수 있도록 합니다. 직원 워크스테이션은 업계 선도 업체인 BitDefender의 모니터링 에이전트를 실행하여 잠재적 악성코드 및 의심스러운 행동을 탐지합니다. Tuxcare 보안 팀은 기기 로그를 수집하고 워크스테이션 경보를 모니터링합니다.

법적 준수

턱스케어는 개인정보의 수집, 이용 및 보유에 있어 유럽연합 일반 개인정보 보호 규정(GDPR)을 준수합니다. 자세한 내용은 당사 웹사이트에서 확인 가능한 턱스케어 개인정보 처리방침을 참조하십시오. 턱스케어는 데이터 개인정보 보호 및 보안 분야에 풍부한 전문성을 갖춘 전담 컴플라이언스 책임자를 두고 있습니다. 해당 전문가는 턱스케어 제품 제공 및 프로세스가 적용 가능한 법적·규제적 요건을 준수하는지 검토합니다.

고객 데이터 개인정보 보호

Tuxcare는 개인정보 보호정책에 명시된 바와 같이 사용자 데이터의 프라이버시를 존중합니다. Tuxcare는 GDPR 원칙을 준수하며, 합법적 근거 없이 개인 데이터를 수집하지 않으며, 수집 및 처리되는 데이터의 양을 제한하고, Tuxcare 개인정보 보호정책에 명시된 서비스(예: 서비스 제공 및 개선)에 더 이상 필요하지 않은 데이터는 삭제합니다. 사용자는 당사 서비스에서 사용되는 자신의 개인 데이터 목록을 요청할 수 있습니다. Tuxcare 사용자는 계정에 로그인하여 설정 페이지에 접근한 후 계정을 삭제함으로써 언제든지 Tuxcare 시스템에서 자신의 개인 데이터를 제거할 수 있습니다. 기업 고객은 계정 담당자에게 삭제 요청을 할 수 있습니다. Tuxcare는 직원들이 Tuxcare 시스템에 저장되거나 처리되는 고객 데이터에 접근하지 못하도록 방지하는 일련의 정책과 기술적 통제 수단을 갖추고 있습니다. 프로덕션 시스템 접근 권한은 해당 시스템 개발 및 안정성·가동 시간 보장을 담당하는 전담 엔지니어로 제한됩니다. 사용자 데이터를 처리하는 프로덕션 시스템은 다른 모든 Tuxcare 시스템과 격리된 별도 인프라에 배포됩니다. Tuxcare는 적절한 경우 개인 키를 사용하고 특정 직원에 대한 네트워크 접근을 제한합니다.

처리 및 저장된 데이터

사용자가 Tuxcare에 저장한 정보는 Tuxcare에 의해 보관되어 사용자가 원할 때 다시 접근할 수 있습니다. 정보는 사용자가 Tuxcare를 통해 삭제할 때까지 저장됩니다. Tuxcare 서비스는 제공되는 서비스 수행에 필요한 정보 유형에만 접근합니다.

데이터 보존 및 폐기

사용자 삭제 시 고객 데이터는 즉시 운영 서비스에서 삭제됩니다. Tuxcare는 서버에서 사용자 정보가 제거된 후 60일 이내에 백업에서 해당 정보를 삭제합니다. Tuxcare의 호스팅 서비스 제공업체는 디스크가 재사용되기 전에 데이터가 책임감 있게 제거되도록 보장할 책임이 있습니다.

계정 삭제

고객은 언제든지 Tuxcare 구독을 해지할 수 있습니다. 개인정보 처리방침에 따라 고객이 계정을 삭제할 경우 사용자의 개인 데이터는 내부 및 외부 서비스에서 삭제됩니다. Tuxcare는 합법적인 사업 목적(세금 및 감사 목적 포함)과 법적 의무 준수를 위해 합리적으로 필요한 기간 동안 사용자의 개인 데이터를 보유할 수 있습니다.

아키텍처 개요

이 섹션에서는 Tuxcare 인프라가 클라우드에서 사용자 데이터를 안전하게 전송, 저장 및 처리하는 방법을 설명합니다.

핵심 인프라

모든 Tuxcare 서버 측 인프라스트럭처는 업계 최고 수준의 보안 데이터 센터인 플로리다주 탬파 소재 Hivelocity와 유럽연합 지역 독일 소재 Hetzner에 호스팅됩니다. 연구 개발 인프라스트럭처는 유럽연합 폴란드 소재 Atman 데이터 센터에 위치합니다. 사용자 데이터를 처리하는 모든 구성 요소는 당사 보안 클라우드 플랫폼 내 Tuxcare의 사설 네트워크에서 운영됩니다.

데이터 암호화 및 격리

데이터는 전송 중 및 저장 시 암호화됩니다: