카카오 플랫폼 서비스는 회사 또는 개인에 의해 응용프로그램을 개발하고, 카카오의 서비스와 접목하여 전세계적으로 수행 또는 서비스하기 위해 사용되는 응용프로그램 플랫폼 서비스입니다. 저희의 플랫폼 서비스는 카카오가 인프라 관리, 확장 및 보안에 촛점을 맞춤으로서, 회사 또는 개인이 응용프로그램 개발과 비즈니스 로직에 좀 더 집중을 할 수 있도록 도와줍니다. 카카오는 최고의 보안 관행을 적용하고 있으며 플랫폼의 보안을 관리해주어, 고객들은 그들의 비즈니스에 보다 집중할 수 있습니다. 저희의 플랫폼 서비스는 기본적으로 물리적계층에서 응용프로그램 계층까지의 모든 계층에 보안 컨트롤을 적용함으로서 모든 위협으로부터 고객을 보호합니다. 카카오 플랫폼 서비스팀 및 보안팀은 고객의 별도 대응이나 서비스의 중지없이, 고객의 응용프로그램을 보호하기 위해 빠르게 보안 사항을 업데이트 할 수 있습니다.
신뢰는 카카오의 핵심 원칙입니다. 저희가 매일매일의 기준에 의해 결정을 내리는 것은 고객의 개인정보 보호 및 신뢰에 대한 약속의 노력입니다. 신뢰는 모든 직원 및 직원 개개인의 책임이며 저희가 매우 신중하게 다루는 사항 중의 한 부분입니다.
카카오의 물리적 인프라는 대부분 대한민국 내의 데이타 센터에서 호스팅되고 관리됩니다. 해당 데이타센터는 업계 표준을 준수하기 위해 위험을 관리하고 반복 평가를 거칩니다. 해당 데이타 센터의 운영은 ISO 27001에 대해 인증되었습니다.
카카오는 ISO27001 및 ISMS(Information Security Management System)을 준수합니다.
카카오 플랫폼 서비스에 대한 third-pardy 응용프로그램의 보안 테스트는 별도의 계약 또는 협의를 통해 독립적이고 신뢰할 수 있는 보안 컨설팅 회사 또는 카카오 보안팀에 의해 수행됩니다.
카카오는 ISO 27001인증을 받은 데이타센터를 활용합니다. 해당 데이타센터는 디자인, 설계 및 대용량 데이타 센터 운영에 있어서 수년간의 경험을 쌓아 왔습니다. 또한 카카오는 수년간 다양한 대용량 서비스 및 안정적인 물리적 운영을 경험하였고 이 경험은 카카오의 모든 인프라에 그대로 적용됩니다. 물리적 접근은 전문 보안 담당자를 통해 비디오 감시, 침입탐지 시스템의 상태, 기타 전자/전기 수단을 활용하여 주변 및 건물 진입의 부분에서부터 엄격히 통제됩니다. 모든 방문자와 계약자는 신분증을 제시해야하며 담당 직원에 의해 출입허가를 받고 지속적으로 감시됩니다.
해당 데이타센터는 이러한 권한 및 자격을 위해 오직 합법적인 사업의 필요성이 있는 직원에게만 데이타센터의 접근과 정보를 제공합니다. 해당 직원이 이러한 권한에 대한 사업적 필요성을 더이상 필요로 하지 않을때는, 그들이 해당 직원이라할지라도 해당 접근은 즉시 만료됩니다. 해당 직원에 의한 데이타센터의 모든 물리적 및 전자/전기적 접근은 주기적으로 로깅되며 감시됩니다.
자동 화재 감지 및 진압 장치는 위험을 최소화하기 위해 설치되어 있습니다. 화재 감지 시스템은 모든 데이타센터의 환경, 기계 및 전자/전기 인프라 공간, 냉각실 및 발전기 장비실에 있는 화재감지 센서를 사용합니다. 또한 해당 지역은 습식 파이프, 스프링클러 시스템 등에 의해 보호됩니다.
데이타센터의 전기 전원 시스템은 매일 24시간, 주 7일간 운영에 영향을 주지 않고 완벽하게 이중화 및 유지 관리될 수 있도록 설계되어 있습니다. 무정전 전원 공급 장치 (UPS) 장치는 어떤 전기적 문제가 발생할 시, 해당 설비의 중요하고 기본적인 동작을 보장하기 위해 백업 전원을 제공합니다. 데이타센터는 전체 설비에 대한 백업 전원을 제공하는 생성기를 사용합니다.
온도 조절은 서버의 과열을 방지하고 서비스 중단의 가능성을 줄여 다른 하드웨어에 대한 일정한 작동 온도를 유지하기 위해 필요합니다. 데이타센터는 최적의 수준으로 대기 상태를 유지하도록 조정됩니다. 모니터링 시스템 및 데이타센터 담당자는 온도와 습도가 적정 수준에 있는지 확인합니다.
데이타센터 직원은 전자/전기적, 기계적 수명 지원 시스템 및 장비를 모니터링하여 문제 발생시 즉시 확인 가능합니다. 예방을 위한 유지보수는 장비의 지속적인 운용성을 유지하기 위해 수행됩니다.
방화벽은 외부 네트워크 및 내부 시스템간의 시스템 접근제한을 위해 사용됩니다. 기본적으로 모든 접근은 거부되며 사업적 필요성에 기반한 오직 명시적으로 허용된 포트, 프로토콜만이 허용됩니다. 각 시스템은 시스템의 기능을 기반으로하여 방화벽 보안 그룹으로 할당됩니다. 보안 그룹은 위험을 방지하기 위해 오직 시스템의 특별한 기능에서 요구되는 해당 포트 및 프로토콜만의 접근을 허용합니다.
침입탐지 시스템은 외부 네트워크 및 내부 시스템간의 비정상적, 공격성 패킷에 대해 실시간으로 분석하고 감지하는데 사용됩니다.
TCP Syn 공격, 컨넥션 연결 제한을 포함한 DDoS 공격에 대해 대응을 합니다. 저희는 신속하게 해당 이벤트에 대응하고 필요한 경우 고급 DDoS 공격 방지를 위해 공급업체와 긴밀하게 협력합니다.
스푸핑이나 패킷 스니핑은 저희의 인프라 환경에서는 모두 금지되어 있으며, 관련 이벤트 발생시 즉시 보고되어 차단됩니다. 또한 관리되는 방화벽 및 침입탐지 시스템은 네트워크 및 가상 호스트 사이에서 IP, MAC 및 ARP 스푸핑을 방지합니다. 패킷 스니핑은 자신의 주소가 아닌 다른 네트워크 인터페이스로 트래픽이 전달되지 못하도록하는 하이퍼바이저(Hypervisor)를 포함한 인프라에서도 방지되며, 카카오는 위험을 보다 더 예방하기 위해 모든 레벨에서 암호화된 컨넥션을 사용합니다.
포트 스캐닝은 저희의 인프라 프로바이더에 의해 모두 금지되며 모든 보고된 해당 인스턴스는 조사됩니다. 포트 스캐닝이 감지되면 해당 공격은 멈춰지게 되고 접근에 제한이 걸리게 됩니다.
카카오 플랫폼 서비스를 사용하는 응용프로그램의 사용자(End User)의 범위는 논리적으로 해당 응용프로그램 내의 범위로만 국한됩니다. 따라서 데이타는 그 응용프로그램 안에서만 유효하며 응용프로그램별로 분리되어 저장되므로, 다른 응용프로그램으로부터 격리되어 응용프로그램 사이에 인증되지 않은 접근의 위험을 방지합니다.
시스템 구성 및 일괄성은 표준 및 최신의 안정된 버젼으로 지속적으로 관리됩니다. 보안 업데이트가 필요한 경우 우선순위 높게 대응되며 안정 테스트를 거친 후에 반영됩니다. 이 과정에서 일반적으로 기존에 존재하던 시스템의 경우 폐기되고 최신 업데이트된 시스템으로 대체되기도 합니다.
운영체제 시스템의 접근은 해당 시스템과 관련된 카카오 직원으로 제한되고 사용자이름과 키 인증을 필요로 합니다. 모든 운영체제 시스템은 커버로스(Kerberos) 인증을 통해 접근하며 로그인시 발생할 수 있는 여러 해킹 공격을 방어하고 해당 접근에 대한 이력 추적을 합니다. 또한 외부 네트워크에서의 직접적인 접근을 허용하지 않습니다.
저희의 취약성 관리 프로세스는 고객과의 상호 작용이나 고객의 어떤 서비스에 영향을 주지 않고 위험을 재조정할 수 있도록 설계되었습니다. 카카오는 내부 및 외부 평가(Assessment), 시스템 패치 모니터링 및 제3자의 메일링 리스트나 서비스를 통해 취약성을 통보 받게 됩니다. 각 취약성은 카카오의 현 구성 환경에 제대로 적용될 수 있는지 검토되며, 위험 수준을 기반으로 우선순위로 나열하여, 그 문제를 해결하기 위한 전담 보안팀과 적절한 팀에 할당됩니다.
모든 응용프로그램과 관련된 데이타는 일단위로 백업되며 이중화 구성으로 백업됩니다. 데이타베이스 장애시, 실시간으로 백업된 시스템으로 서비스 가능하며 데이타 유실시에는 마지막 스냅샷을 통해 복구를 할 수도 있습니다.
장애 발생시, 저희의 플랫폼 서비스는 이중화된 구성을 통해 기본적으로 고객의 응용프로그램 및 데이타베이스를 자동으로 동적 복구합니다.
카카오 플랫폼 서비스는 안정성 및 확장성을 고려하여 설계되었고, 시스템 복구 과정 중 기능의 동작이 중단으로 이어질 수 있는 일반적인 문제를 최소화하도록 설계되었습니다. 카카오 플랫폼 서비스는 싱글 포인트 장애를 방지하기 위해 기본적으로 이중화되어 구성되며, 장애가 발생한 요소를 대체 가능하도록 유지되고, 복원을 위해 다중의 데이타센터를 사용합니다. 카카오는 근본 원인, 고객의 영향도를 파악하기 위해 플랫폼 이슈를 정밀히 검토하며, 플랫폼과 프로세스를 지속적으로 개선합니다.
카카오는 어떤 데이타가 수집되고 해당 데이타가 어떻게 사용되는지에 대해 명확히 규정한 공표된 개인정보 처리방침을 가지고 있습니다. 카카오는 고객의 개인정보 보호 및 투명성을 위해 최선을 다하고 있습니다.
저희는 고객의 개인정보를 보호하고 플랫폼 안에 저장된 데이타를 보호하기 위해 몇몇 단계별 조치를 취하고 있습니다. 카카오 플랫폼 서비스에 내재된 방어의 일부로 인증, 접근 제어, 데이타 전송 암호화, 고객의 응용프로그램을 위한 HTTPS 지원 및 저장된 데이타의 암호화 등이 포함됩니다. 보다 자세한 내용은 개인정보 처리방침을 참고하세요.
카카오 직원은 일반적인 운영의 부분으로 고객 데이타 또는 응용프로그램을 접근하거나 이와 상호 작용을 하지 않습니다. 지원의 목적으로 고객으로부터 요청이 있을 경우 또는 법에 의해 요구되는 경우처럼 카카오가 고객데이타 또는 응용프로그램에 대해 상호 작용을 하도록 요청되는 몇몇의 경우는 존재할 수도 있습니다.
보안 취약성 보고는 pf.security@kakaocorp.com을 통해 가능합니다. 긴급하지 않은 문의인 경우는 DevTalk의 사용을 권장합니다.
응용프로그램으로 전송되는 또는 응용프로그램에서 전송하는 모든 민감한 데이타의 보호를 위해서는 HTTPS를 사용해야 합니다.
파일 형식 및 데이타베이스 내에 저장되는 모든 민감한 데이타는 암호화를 해야 합니다.
인가되지 않은 계정의 접근을 보호하기 위해서는 계정 및 인증서 키에 대해 강력한 암호를 사용해야 하고, 노출을 방지하지 위해 인증서 키는 안전하게 저장되어야 하며, 키가 유실되거나 노출된다면 해당 키를 교체해야 합니다. 또한 개발자 계정을 공유하기보다는 카카오 플랫폼 서비스에서 제공하는 응용프로그램에 대한 팀 설정의 초대 기능을 사용해야 합니다.
카카오 플랫폼 서비스 상에서 귀하의 응용프로그램을 개발하는 과정에서, 귀하는 아마존 S3, 이메일 서비스 제공자 또는 다른 어떤 추가 기능을 제공하는 제3자의 서비스를 같이 선택하여 사용할 수도 있습니다. 귀하가 카카오와 함께 할 때와 마찬가지로 이러한 제공자를 통한 데이타의 공유 및 해당 보안 사례 등을 항상 염두해 두어야 합니다.