보안 및 규정 준수
(주)제이엘케이(이하 '당사')는 의료기관이 맡긴 데이터를 안전하게 보호하는 것을 최우선 가치로 삼고 있습니다. 당사는 「개인정보 보호법」 등 국내 법령을 준수하며, ISO/IEC 27001 정보보호경영시스템과 SOC 2 기준에 따른 보안 관리 체계를 운영하고 있습니다.
인증 및 외부 감사 현황
2026년 9월 기준
| 구분 | 내용 |
|---|---|
| ISO/IEC 27001:2022 | 정보보호경영시스템 인증(인증번호 26-F-0395, 유효기간 2029년 3월 2일까지). 인증 범위: 빅데이터 정보처리 및 인공지능 기술서비스 제공에 대한 정보보호시스템 |
| SOC 2 Type 1 | 보안·가용성·기밀성 기준, 기준일 2026년 1월 13일, 대상 FASTRO 서비스, 감사인 Sensiba. 미국 HIPAA 준수 검증 포함 |
| SOC 3 | 보안·가용성·기밀성 기준, 대상 기간 2026년 1월 1일~3월 31일, 대상 FASTRO 서비스, 감사인 Sensiba |
ISO/IEC 27001 인증의 유효성은 인증기관(GIC) 웹사이트 www.gicert.org에서 확인하실 수 있습니다.
핵심 원칙 (SOC 2 신뢰 서비스 기준)
당사는 SOC 2 신뢰 서비스 기준 중 다음 세 가지를 기준으로 외부 감사를 받고 있습니다.
- 보안(Security): 무단 접근과 데이터 유출을 막기 위한 기술적·관리적 보호조치
- 가용성(Availability): 서비스를 안정적으로 제공하기 위한 모니터링·백업·복구 체계
- 기밀성(Confidentiality): 인가된 인원만 민감 정보에 접근하도록 하는 접근 통제
개인정보 보호
- 법적 지위: 당사는 의료기관으로부터 개인정보 처리 업무를 위탁받아 처리하는 수탁자로서, 「개인정보 보호법」과 「개인정보의 안전성 확보조치 기준」에 따른 관리적·기술적·물리적 보호조치를 적용합니다.
- 데이터 저장 위치: 국내 고객의 환자 데이터는 AWS 서울 리전에 저장하며, 백업도 서울 리전 안에만 보관합니다. 푸시 알림 등 일부 부가 기능은 국외 사업자의 서비스를 이용하며, 그 내용은 개인정보 처리방침에 공개합니다.
- 해외 기준: 미국 HIPAA 요구사항은 미국 서비스에 적용하며, 국내 서비스에서는 보호조치를 설계할 때 참고 기준으로 삼습니다.
- 개인정보 처리방침: 자세한 내용은 개인정보 처리방침을 참고해 주시기 바랍니다.
인프라 보안
당사의 국내 서비스는 Amazon Web Services(AWS) 서울 리전에서 운영됩니다.
네트워크 분리와 접근 통제
- 서비스 구성 요소는 AWS VPC 안에서 운영하며, 외부에서 접근하는 구간과 내부 구간을 분리합니다.
- 보안 그룹은 최소 권한 원칙에 따라 서비스에 필요한 트래픽만 허용합니다.
외부 공격 대응
- 외부 트래픽은 AWS CloudFront를 거쳐 전달되며, 웹 방화벽(AWS WAF)과 AWS의 기본 DDoS 방어(AWS Shield Standard)를 적용합니다.
가용성과 백업
- 서비스 상태를 상시 모니터링하고, 장애가 발생하면 정해진 절차에 따라 복구합니다.
- 데이터베이스는 매일 자동 백업하며, 최근 7일 안의 원하는 시점으로 복원할 수 있습니다.
데이터 보안
암호화
| 구분 | 방식 |
|---|---|
| 전송 중 | 인터넷 구간의 모든 통신은 TLS 1.2 이상으로 암호화합니다. |
| 저장 중 | 데이터베이스(Amazon RDS)와 파일 저장소(Amazon S3)의 데이터는 AES-256으로 암호화하여 저장하며, 암호화 키는 AWS의 키 관리 기능으로 데이터와 분리하여 관리합니다. |
접근 통제
- 역할 기반 접근 통제(RBAC)로 업무에 필요한 최소 권한만 부여합니다.
- 클라우드 관리 콘솔에 로그인하는 모든 사용자에게 다중 요소 인증(MFA)을 적용합니다.
- 프로그램 접근에는 장기 액세스 키 대신 인증서 기반 임시 자격증명을 사용하도록 전환하고 있습니다.
- 운영 환경의 관리 작업은 AWS CloudTrail로 기록하고, 애플리케이션 접근 기록은 중앙 로그 시스템에 수집합니다.
개발 보안
- 코드 변경은 검토와 승인을 거쳐 반영하며, 정적 분석 등 보안 점검을 개발 과정에 적용합니다.
- 애플리케이션과 인프라의 취약점 점검을 정기적으로 수행합니다.
정책 및 교육
당사는 ISO/IEC 27001에 따라 정보보호 정책과 지침을 수립하고 매년 검토·개정합니다. 또한 모든 임직원을 대상으로 매년 정보보호 교육을 실시합니다.
주요 정책은 다음과 같습니다.
- 자산 관리
- 데이터 보호 및 보존
- 정보보호
- 침해사고 대응
- 위험 평가
- 시스템 접근 통제
- 협력업체 관리
- 취약점 관리
취약점 신고
당사는 보안 연구자의 책임 있는 신고를 환영합니다. 당사가 운영하는 웹사이트와 서비스(예: www.jlkgroup.com, fastro-kr.medihub.ai, medihub.ai, ai-scan.ai)에서 발견한 취약점은 아래 방법으로 알려 주시기 바랍니다.
- 신고 방법: 취약점 신고 양식(구글 폼)
- 포함할 내용: 취약점 설명과 재현 절차 또는 개념 증명(PoC)
- 처리 절차: 접수 → 검증 → 정보보호최고책임자(CISO) 검토 → 위험도 평가 → 조치