보안 성명

마지막 업데이트: 2024년 2월 15일

본 보안 성명은 달리 명시한 경우를 제외하고 SurveyMonkey Inc., SurveyMonkey Europe UC, SurveyMonkey Brasil Internet Eireli 및 그 제휴사(총칭하여 ‘SurveyMonkey’)가 제공하며 ‘SurveyMonkey’, ‘Wufoo’, ‘GetFeedback’으로 브랜드화된 모든 제품, 서비스, 웹사이트 및 앱에 적용됩니다. 본 성명에서는 그러한 제품, 서비스, 웹사이트 및 앱을 총칭하여 ‘서비스’라고 합니다. 본 보안 성명은 또한 SurveyMonkey 및 Wufoo 고객에 대한 사용자 계약의 일부를 구성합니다.

SurveyMonkey는 고객의 데이터 관리자로서의 역할을 할 수 있도록 고객의 당사에 대한 신뢰를 매우 소중하게 생각합니다. SurveyMonkey는 고객의 정보를 보호하고 보안을 유지하는 데 대한 책임을 매우 신중하게 받아들이며 아래 설명된 보안 관행의 완전한 투명성을 지키고자 노력합니다. 당사 개인정보 보호 공지 또한 고객의 데이터가 취급되는 방법을 더욱 상세하게 설명합니다.

SurveyMonkey의 정보 시스템 및 기술 인프라는 세계적 수준의 SOC 2 인증 데이터 센터에서 운영됩니다. 데이터 센터의 물리적 보안 통제는 고도의 보안 시설을 갖춘 데이터 처리 시설에서 접할 수 있는 주 7일 하루 24시간 모니터링, 카메라, 방문자 기록, 출입 통제 등을 포함합니다.

SurveyMonkey는 전 세계에서 가장 인정받는 정보 보안 프레임워크에 부합하는 거버넌스, 위험 관리 및 규정 준수 관행을 실행해 왔습니다. SurveyMonkey는 ISO 27001 인증을 받았습니다. 더 나아가, SurveyMonkey Enterprise는 HIPAA 준수 제품이며, SurveyMonkey, Wufoo 및 SurveyMonkey Apply 제품은 신용카드업계 데이터보안기준(Payment Card Industry’s Data Security Standards, PCI DSS 3.2) 인증을 받았습니다.

SurveyMonkey의 기술 자원에는 보안처리된 연결(예: VPN, SSH)을 통해서만 접근할 수 있으며 다단계 인증을 요구합니다. SurveyMonkey의 비밀번호 정책은 복잡성, 기간의 만료성 및 잠금 조건을 요구하며 재사용되는 것을 금지합니다. SurveyMonkey는 최소 특권 규칙을 기준으로 알아야 할 필요에 따라 접근 권한을 부여하고, 분기별로 권한 사항을 검토하며, 직원 퇴사 시 바로 접근 권한을 철회합니다.

SurveyMonkey는 정보 보안 정책을 유지하고 정기적으로 검토하며 최소한 매년 업데이트합니다. 직원들은 매년 정책에 대한 인지를 표명해야 하며 자신의 직무와 관련된 추가적인 교육을 받아야 합니다. 교육 내용은 SurveyMonkey에 적용되는 모든 기준과 규정을 준수할 수 있도록 고안됩니다.

SurveyMonkey는 고용 시 신원 조사를 수행합니다(적용되는 법규나 국가가 허용하거나 고안해 둔 정책의 범위 내에서). 추가로, SurveyMonkey는 정보 보안 정책을 인지해야 하는 모든 직원들에게 전달하며, 신입 직원들이 기밀 유지 계약서에 서명하도록 하고 지속적으로 개인정보 및 보안 교육을 제공합니다.

SurveyMonkey는 또한 애플리케이션, 클라우드, 네트워크 및 시스템 보안을 전담하는 신뢰 및 보안 조직을 보유하고 있습니다. 이 팀은 보안 규정 준수, 교육 및 인시던트 대응 업무도 담당합니다.

SurveyMonkey는 서버, 워크스테이션, 네트워크 장비, 애플리케이션 상의 보안 취약점을 주기적으로 검사, 파악 및 교정하는 것을 포함한 취약점 관리 프로그램을 유지합니다. 테스트 및 프로덕션 환경을 포함하는 모든 네트워크는 신뢰하는 제3자 협력업체를 통해 정기적으로 검사됩니다. 중요한 패치는 우선 순위 기반으로 서버에 적용되며 기타 패치는 필요성에 따라 적용됩니다.

또한, 정기적인 내부 및 외부 침입 테스트를 수행하며 이 테스트 결과의 심각성에 따라 시정 조치를 수행합니다.

SurveyMonkey는 AES 256 기반 암호화를 사용하여 데이터 센터에 보관 중인 모든 데이터를 암호화합니다. 또한, SurveyMonkey는 이동 중인 모든 데이터를 암호화하는데 (i) SurveyMonkey 데이터 센터 외부에 있는 주체와의 커뮤니케이션을 위해서는 공공 인증 기관을 통해 생성된 2048비트 RSA 키 길이 기반 인증서를 사용하며, (ii) 데이터 센터 내에 있는 모든 데이터에 대해서는 내부 인증 기관을 통해 생성된 RSA 256 인증서를 사용합니다.

SurveyMonkey의 개발 팀은 OWASP 주요 취약점 10가지에 중점을 두고 보안 코딩 기법과 최고 관행을 업무에 사용합니다. 개발자들은 고용 시 보안 웹 애플리케이션 개발 업무에 대해 공식적으로 훈련을 받으며 이후 연간 반복됩니다.

개발, 테스트 및 프로덕션 환경은 서로 분리되어 있습니다. 모든 변경 사항은 프로덕션 환경으로 배포 전 성능, 감사 및 포렌식 목적으로 동료 평가를 받고 기록됩니다.

SurveyMonkey는 정보와 자산에 대한 파악, 분류, 유치 및 처분을 포함하는 자산 관리 정책을 유지합니다. 회사에서 지급하는 장치에는 전체 하드 디스크 암호화 및 최신 안티바이러스 소프트웨어가 장착되어 있습니다. 회사에서 지급하는 장치를 통해서만 회사 및 프로덕션 네트워크에 접근할 수 있습니다.

SurveyMonkey는 초기 대응, 조사, 고객 통지(관련 법에서 요구하는 조건을 충족하여), 공적 커뮤니케이션 및 시정 방법에 대해 다루는 보안 인시던트 대응 프로세스를 유지합니다. 이러한 프로세스는 정기적으로 검토되며 연 2회 테스트됩니다.

언제나 최선을 다하고는 있지만, 어떤 인터넷 전송 방법이나 전자 저장 방법도 완벽하게 안전하지는 않습니다. 그러므로 절대적인 보안을 보장할 수 없습니다. 그러나, SurveyMonkey가 보안 침입을 인지하게 될 경우 영향을 받는 사용자들에게 알려 해당 사용자들이 적절한 보호 조치를 취할 수 있도록 합니다. SurveyMonkey의 침입 통지 절차는 SurveyMonkey에 적용되는 업계 규칙이나 기준은 물론 국가, 주법 및 연방법과 규정이 요구하는 SurveyMonkey 의무와 일치합니다. SurveyMonkey는 고객이 계정의 보안과 관련된 모든 사항에 대해 완전한 정보를 받고 고객이 규정상 요구되는 보고 의무를 충족하는 데 필요한 정보를 제공하고자 최선을 다합니다.

백업은 기밀성 및 무결성을 유지하기 위해 프로덕션 환경 내에서 암호화되어 저장됩니다. SurveyMonkey는 최소한의 다운타임과 데이터 손실을 보장하기 위해 백업 전략을 활용합니다. 비즈니스 연속성 계획(Business Continuity Plan, BCP)은 재해 발생 시 그 효력을 보장하기 위해 정기적으로 테스트되고 업데이트됩니다.

데이터를 안전하게 유지하는 데는 충분히 복잡한 비밀번호를 사용하고 비밀번호를 안전하게 유지하는 등 귀하 스스로가 계정의 보안을 유지하는 것 또한 필요합니다. 또한 사용하는 시스템에도 충분한 보안 체계를 갖추고 있어야 합니다. Momentive는 설문조사 응답을 안전하게 전송하기 위해 TLS를 제공하지만, 적절한 경우 설문조사가 이러한 기능을 사용하도록 구성하는 것은 귀하의 책임입니다. 설문조사를 안전하게 유지하는 데 대한 자세한 정보는 도움말 센터를 참조하십시오.

애플리케이션 및 인프라 시스템은 승인된 SurveyMonkey 직원이 문제 해결, 보안 평가 및 분석 수행을 할 수 있도록 중앙 관리되는 기록 저장소에 정보를 기록합니다. 기록은 규제 조건에 따라 보존됩니다. SurveyMonkey는 보안 사건으로 고객의 계정이 영향을 받는 경우 해당 고객에게 적절한 도움을 제공하여 기록에 접근할 수 있도록 합니다.