보안 및 증빙

거절할 권한이 있는 사람들을 위해 설계했습니다.

보안 및 준수 검토자에게 필요한 세부 사항을 제공하세요. 이 페이지는 각 통제와 그 작동 방식을 밝히고, 적용 범위 밖의 내용도 분명히 설명합니다. 마지막에는 신뢰하라고 요구하는 대신 검토자가 독립적으로 확인할 수 있는 자료를 제시합니다.

보안 설문 보내기 기록이 작동하는 방식

통제를 확인하고 그 경계를 이해하세요.민감한 문서를 공유하기 전에 누가 접근할 수 있는지, 어떤 이벤트가 기록되는지, 접근 권한은 어떻게 제거되는지 평가하세요. 아래 통제 설명을 증빙 예시와 함께 검토하세요. 열람 기록만으로 모든 문장을 읽었다고 입증할 수는 없습니다.

통제와 그 작동 방식.

통제별로 한 행씩 정리했습니다. 각 행을 열면 작동 방식을 볼 수 있습니다.

테넌트 격리 데이터베이스에서 적용

모든 테넌트 범위 테이블에 Postgres 행 수준 보안을 적용합니다. 격리는 애플리케이션 계층이 아니라 데이터베이스에서 강제합니다. 격리 테스트에는 거부되어야 하는 경우도 포함하며, 이를 주장만 하는 것이 아니라 실행하고 기록합니다.

인증 SMS 또는 이메일 코드 없음

보호되는 모든 경로에 AAL2를 적용합니다. 현재 두 번째 요소는 인증 앱이며, 모바일 서명에는 기기에 귀속된 패스키가 제공됩니다. 여러 관할권의 규제 당국이 점차 배제하는 SMS 및 이메일 일회용 코드는 사용하지 않습니다. 기기에 귀속된 패스키를 사용하는 경우에는 피싱 저항성도 있습니다.

통제되는 AI 문제를 표시할 뿐 결정하지 않습니다

모델은 불일치와 부정적 결과를 표시하고 신호가 발생한 이유를 함께 기록합니다. 모든 승인은 사람이 내립니다. 각 모델은 가장 엄격한 AI 거버넌스 체계의 요구에 맞춰 목록화하고 문서화하며 설명할 수 있도록 관리합니다.

개인정보 보호 서비스하는 모든 규제 체계를 고려한 하나의 설계

GDPR, 개정된 스위스 연방 개인정보보호법 및 고객에게 적용되는 지역별 개인정보보호 체계의 의무를 지원하도록 설계했습니다. 여기에는 스크리닝 기록에 이름이 있는 개인의 정정권도 포함됩니다. 문서 접근에는 서명되고 기록되는 URL을 사용하며 전송 중에는 TLS 1.2 이상을 적용합니다.

증빙 무료 표준 도구로 검증 가능

SHA-256 해시 체인에 Ed25519로 서명하고 독립적인 RFC 3161 기관에서 타임스탬프를 받습니다. SHA-256, Ed25519 및 RFC 3161은 공개된 형식이므로 검토자는 증빙 패키지 자체를 표준 도구로 오프라인에서 확인할 수 있습니다. 실패 시 중단하도록 설계했습니다. 타임스탬프가 필수인 경우 유효한 타임스탬프가 없으면 증빙 패키지를 생성하지 않습니다.

감사 이력 변조를 감지할 수 있지만 변조를 막는 것은 아닙니다

상태를 변경하는 모든 행위를 해시 체인으로 연결해 변경, 삽입 또는 순서 변경을 감지할 수 있습니다. 해시 체인은 변조를 감지하지만 예방하지는 않으며 그 이상으로 주장하지 않습니다. 문서 접근 기록은 7년간 보존합니다.

공개 내용 확인 승인한 정확한 문구에 연결

투자자가 필수 위험 고지 확인에 동의하면 체크 표시 이상을 기록합니다. 확인 문구에는 버전을 부여하고 동의한 정확한 문구의 SHA-256 다이제스트를 해시 체인 기록에 남깁니다. 나중에 동의 내용을 조용히 바꾸면 다이제스트가 일치하지 않습니다. 문구가 바뀌면 이전 버전을 수정하지 않고 새 버전을 만듭니다.

기록의 범위 기록에 포함되지 않는 것

문서, 서명 및 문서 접근은 암호학적 기록의 일부입니다. 당사자 간 메시지는 일반 애플리케이션 데이터로, 해시 처리하거나 체인으로 연결하거나 타임스탬프를 부여하지 않습니다. 이를 증빙으로 제시하지 않습니다.

인증 준비 현황 정확히 밝힙니다

SOC 2 Type 2 및 ISO 27001 준비 프로그램을 진행 중입니다. 현재 보유한 보고서는 없으며 이 내용을 보고서가 있다는 뜻으로 해석해서는 안 됩니다. 보고서가 발급되면 이 문구에 발급 날짜를 명시하겠습니다.

보안 설문 보내기 검증 주체를 명시합니다

증빙 기록의 경계

암호학적 기록에 포함되는 항목: 문서, 서명 및 문서 접근. 포함되지 않는 항목: 당사자 간 메시지. 이는 일반 애플리케이션 데이터로 해시 처리, 체인 연결 또는 타임스탬프가 적용되지 않으며 증빙으로 제시하지 않습니다.

위 카드에서 설명한 범위를 그림으로도 보여 줍니다. 기록이 어디서 끝나는지도 어디서 시작하는지만큼 중요하므로 제외 범위를 각주가 아니라 같은 비중으로 표시합니다.

관할권 적용 범위.

특정 본국 시장이나 우선 지역 없이 국제적으로 서비스를 확대하고 있습니다. 설계의 기준은 지역이 아니라 공개된 체계입니다. GDPR, 개정된 스위스 연방 개인정보보호법, eIDAS 고급전자서명 기준 및 고객에게 적용되는 지역별 개인정보보호 체계를 고려합니다. 지역별 신원 인프라는 로드맵에 있지만 아직 통합되지 않았습니다. 어떤 체계를 명시한다는 것은 공개된 요건을 고려해 설계했다는 뜻이며, Exedra Gate가 당국의 인가, 감독 또는 보증을 받는다는 뜻은 아닙니다.

이 통제의 근거가 되는 공개 문서.

각 항목에는 문서와 발행 기관을 적었습니다. 문서를 명시한다는 것은 위의 한계에 따라 공개된 요건을 고려해 설계했다는 뜻입니다. 각 항목 아래에서는 당사의 지위가 아니라 독자가 확인할 수 있는 가치를 설명합니다.

EU / 스위스 GDPR 및 개정된 스위스 연방 개인정보보호법 데이터베이스 자체에서 테넌트 격리를 적용하고, 보존 기간을 정하며, 기록 정정을 위한 문서화된 절차를 마련합니다. EU 규정 2016/679; 스위스 연방 개인정보보호법, SR 235.1
EU eIDAS 고급전자서명 기준(제26조) 서명이 서명자와 문서에 고유하게 연결되어 이후 어느 쪽이 바뀌어도 감지할 수 있습니다. 고급전자서명이지 적격전자서명은 아닙니다. EU 규정 제910/2014호, 제26조
IETF RFC 3161 타임스탬프 기록의 시각은 당사가 아닌 독립 기관에서 확인합니다. 문서가 언제 존재했는지에 관한 증거로 제출할 수 있습니다. 타임스탬프 프로토콜(TSP), RFC 3161
IRTF / NIST Ed25519 및 SHA-256 공개된 알고리즘이므로 당사를 신뢰하지 않는 사람도 일반 도구로 증빙 패키지를 검증할 수 있습니다. Edwards 곡선 디지털 서명 알고리즘(EdDSA), RFC 8032; 보안 해시 표준(SHS), FIPS 180-4
W3C WCAG 2.1 AA 공공부문 또는 기관 조달 검토에서 요구하는 방식에 맞춰 axe로 페이지별 감사를 진행했습니다. 웹 콘텐츠 접근성 지침 2.1, AA 수준

이 사이트의 출처 확인하기 →

용어를 한 문장씩 설명합니다.

사이트의 다른 곳에서는 이 기능을 쉬운 말로 설명합니다. 기술 검토자와 당사의 문서가 같은 용어를 사용할 수 있도록 여기에서 정확한 명칭을 밝힙니다.

증빙 패키지: 자금 조달 절차가 끝날 때 정리되는 기록입니다. 모든 문서, 신원 확인 및 서명을 순서대로 묶어 제3자가 오프라인에서 확인할 수 있게 합니다.
SHA-256 해시 체인: 각 항목에는 이전 항목의 지문이 포함됩니다. 항목을 변경, 삽입하거나 순서를 바꾸면 체인이 더 이상 일치하지 않습니다. 변조를 감지하지만 막지는 못합니다.
RFC 3161 타임스탬프: 독립 기관이 서명한 시간 확인 정보입니다. 당사 시계가 아닌 별도의 기관이 해당 기록이 늦어도 그 시점까지 존재했음을 확인합니다.
Ed25519 서명: 각 기록에 서명하는 암호학적 방식입니다. 누가 생성했는지 확인하고 그 이후 한 바이트도 바뀌지 않았는지 확인하는 데 사용합니다.
AAL2: 인증 보증 수준(NIST SP 800-63B)입니다. 로그인에는 비밀번호와 함께 두 번째 요소가 필요합니다. 현재 그 요소는 인증 앱이며 모바일 서명에는 기기에 귀속된 패스키를 사용합니다. 보안 수준을 높이지만 피싱을 막는다는 보장은 아닙니다.
실패 시 중단: 증빙에 필요한 요소, 예를 들어 독립적인 시간 확인을 사용할 수 없으면 입증할 수 없는 기록을 생성하지 않고 시스템이 중단합니다.

검토자가 독립적으로 확인하는 증빙.

증빙 패키지는 신뢰를 보여 주는 화면 캡처가 아닙니다. 서명, 타임스탬프 및 해시 체인이 있는 기록으로 검토자가 자기 컴퓨터에서 무료 표준 도구로 확인합니다. 타임스탬프는 독립 기관에서 발급되므로 검증을 통해 문서가 변경되지 않았고 표시된 시각까지 존재했음을 확인할 수 있습니다. 형식이 공개되어 있으므로 의견이 다른 상대방도 똑같은 명령을 실행해 같은 결과를 얻을 수 있습니다.

검증 도구의 이름은 exedragate-verify입니다. 이 독립 실행형 명령줄 검증 도구는 기술 페이지에 설명되어 있습니다. 표준 OpenSSL로 타임스탬프만 별도로 확인할 수 있으므로 검토자가 당사의 도구에만 의존할 필요는 없습니다.

AI는 문제를 표시하고 사람이 결정합니다. 기록은 두 역할보다 오래 남습니다.

Exedra Gate에서는 어떤 사람, 기업 또는 투자 제안도 자동 승인하지 않습니다. 플랫폼은 나중에 검토자, 감사인 또는 규제 당국이 재구성할 수 있도록 발생한 일을 기록합니다.

위험이 없는 시스템은 없습니다.

어떤 공급업체도 확실히 알 수 없고 검증하면 가치가 없는 주장인 만큼 이 시스템을 안전하다, 깨뜨릴 수 없다 또는 사고와 무관하다고 부르지 않겠습니다. 밝힐 수 있는 것은 무엇이 언제 일어났는지, 그리고 몇 년 뒤에도 검토자가 공개 표준과 무료 도구를 사용해 독립적으로 확인할 수 있다는 점입니다.

보안 설문에 직접 답합니다.

준수 및 보안 실사 질문에는 당사가 직접 답합니다. 늦게 질문받는 것보다 일찍 질문받기를 바랍니다. 이름과 회사만 알려 주면 담당자에게 전달됩니다.

준수 담당팀: compliance@exedragate.com · 보안: security@exedragate.com