저희 자체 보안 포스처

데이터 처리

저희는 포스처와 흐름을 평가하는 데 필요한 최소한의 메타데이터만 읽습니다. 콘텐츠 검사가 필요한 경우(Flow Guard), 콘텐츠는 분류를 위해 일시적으로 처리되며 판정 결과와 그 증거 발췌를 넘어서 보관되지 않습니다.

발견 항목, 판정 및 그 증거는 저장 시 암호화되어 보관됩니다. 워크스페이스 데이터는 언제든지 내보내거나 삭제할 수 있으며 — 삭제는 지원 티켓이 아니라 제품 기능입니다.

OAuth 전용 범위

커넥터는 활성화한 엔진을 지원하는 가장 좁은 범위를 사용하여 OAuth 또는 공급업체 API로 인증합니다. 요청하는 모든 범위와 그 이유를 커넥터별로 문서에 명시합니다.

엔드포인트 에이전트, 네트워크 어플라이언스, 브라우저 확장 프로그램이 없습니다. OAuth 권한 부여를 취소하면 당사의 접근이 즉시 차단됩니다 — 귀하의 킬 스위치는 이미 통제하고 있는 ID 공급자입니다.

플랫폼 보안

8200.dev는 Google Workspace OAuth를 통해 로그인하므로 탈취될 비밀번호가 없습니다. 조직은 엔터프라이즈 싱글 사인온(Okta, Azure AD, Google 또는 OneLogin을 사용하는 SAML)을 추가하고, 조직 전체에 다중 인증(TOTP 인증 앱 및 일회용 백업 코드)을 적용하며, 신뢰할 수 있는 IP 범위(IPv4 및 IPv6)로 액세스를 제한할 수 있습니다.

제품 내부의 액세스는 기본적으로 최소 권한 원칙을 따릅니다. 기능별 권한 단위로 구성된 세분화된 맞춤형 RBAC, 세션 정책(최대 지속 시간, 유휴 시간 초과 및 강제 로그아웃), 그리고 CSV, JSON 또는 CEF로 SIEM에 스트리밍하거나 내보낼 수 있는 완전하고 추가 전용인 조직별 감사 로그를 제공합니다.

모든 릴리스는 2,000개가 넘는 자동화된 테스트 모음, 13개 로케일 전반의 i18n 일관성 게이트, 그리고 프로덕션 빌드 게이트를 거쳐 배포됩니다. 이는 저희가 보호하는 시스템에 기대하는 것과 동일한 수준의 엔지니어링 엄격성입니다.

현재는 탐지 방식, 쓰기 액세스를 부여하면 예방 방식으로

당사는 에이전트가 없으며 읽기 범위의 OAuth를 통해 연결되므로, 오늘날 위험한 권한, 데이터 흐름 또는 정책 위반 에이전트 동작을 탐지하고 설명할 수 있습니다 — 그러나 아직 원천에서 차단할 수는 없습니다. 제품이 "무엇이 차단될지"를 표시하는 모든 곳에는 SIMULATION이라고 명확히 표시됩니다. 당사는 보유하지 않은 실시간 시행을 결코 주장하지 않습니다.

실시간 예방 시행에는 커넥터에 대한 상향된 쓰기 범위와 커넥터별 명시적 옵트인이 필요합니다. 이를 부여하면 "차단됨"이라는 판정 도달 방식은 변하지 않은 채 "차단할 것"이 "차단됨"으로 바뀝니다 — 변하는 것은 시행되는 위치뿐입니다. 정확한 범위와 동의 단계는 활성화 전에 문서화됩니다.

공격 기능 없음

8200.dev에는 어떠한 종류의 익스플로잇, 측면 이동 또는 공격 도구도 포함되어 있지 않습니다. 플랫폼은 구성을 관찰하고, 데이터 흐름을 평가하며, 귀하가 승인한 공급업체 API를 통해 정책을 시행합니다 — 그 외에는 아무것도 하지 않습니다.

감사 로깅

플랫폼이 수행하는 모든 작업 — 모든 스캔, 발견, 차단 및 구성 변경 — 은 추가 전용 감사 로그에 기록됩니다. Business 및 Enterprise 등급은 이를 내보낼 수 있습니다.

귀하의 워크스페이스에 대한 당사 자체 관리자 작업도 동일한 추적 기록에 로깅되며 귀하에게 표시됩니다. 당사는 귀하의 데이터에 대한 은밀한 백도어가 없으며, 귀하가 이를 검증할 수 있도록 했습니다.

취약점 신고

무언가를 발견하셨습니까? [email protected]로 연락 주십시오. 저희는 48시간 이내에 보고를 확인하는 것을 목표로 하며, 선의의 연구자에게 함구령을 내리지 않습니다.

저희는 90일 기간의 협조적 공개를 따릅니다. 귀하가 보고하는 순간부터 수정 작업을 진행하고, 진행 상황을 계속 알려드리며, 수정 사항이 배포되거나 최대 90일이 될 때까지(둘 중 먼저 도래하는 시점까지) 공개적 발표를 보류해 주시기를 요청합니다.