보안 관리

• 액세스 모니터링: Notion은 모든 중요한 시스템에 대한 로그 트래킹을 활성화했습니다. 로그에는 실패/성공 로그, 애플리케이션 액세스, 관리자 변경 사항 및 시스템 변경 사항이 포함됩니다. 로그는 보안 정보 및 이벤트 관리(SIEM) 솔루션에 의해 수집되며, 로그 수집과 자동화된 로깅/경고 기능 등에 사용됩니다.

• 백업 활성화: Notion은 AWS에서 호스팅하며 여러 데이터베이스를 조합하여 고객 데이터를 저장합니다. 기본적으로 AWS는 중요한 데이터를 저장할 수 있는 내구성 있는 인프라를 제공하며, 99.9%의 오브젝트에 대해 내구성을 갖도록 설계되었습니다. 모든 고객 및 시스템 데이터의 자동 백업이 활성화되어 있으며, 데이터는 최소한 매일 백업됩니다. 백업은 라이브 프로덕션 데이터와 동일한 방식으로 암호화되어 모니터링, 경고가 실행됩니다.

• 데이터 삭제: Notion의 고객 데이터는 고객 소유입니다.각 고객은 본인이 생성, 사용, 저장, 처리 및 파기하는 정보에 대한 책임이 있습니다. Notion 고객은 데이터가 규제 또는 법적 보존 기간 요건의 적용을 받지 않는 경우 데이터 삭제를 요청하거나 직접 삭제할 수 있습니다. 자세한 내용은 개인정보 보호정책 및 개인정보 처리 위탁 계약을 참고하세요.

• 미사용 데이터 암호화: 고객 데이터는 AES-256을 사용하여 미사용 시 암호화됩니다. 고객 데이터는 Notion의 내부 네트워크, 클라우드 스토리지, 데이터베이스 테이블 및 백업 저장 시 암호화됩니다.

• 전송 중 암호화: 전송 중인 데이터는 TLS 1.2 이상을 사용하여 암호화됩니다.

• 물리적 보안: Notion은 AWS(Amazon Web Services)를 활용하여 애플리케이션을 호스팅하고 모든 데이터 센터의 물리적 보안 제어를 AWS에 위임합니다. AWS의 물리적 보안 제어에 대한 내용은 여기를 참고하세요.

• 책임있는 공개 : Notion은 버그 바운티 프로그램을 운영하고 있습니다. Notion의 책임있는 공개 정책을 참고하세요.

• 코드 분석: Notion 보안팀과 개발팀은 새 릴리스와 업데이트 시 위협 모델링과 보안 디자인 검토를 수행합니다. 중요한 기능 출시를 위한 코드가 완성된 후에는 코드 감사, 코드 검토를 수행하고 코드베이스에 대한 보안 스캔을 수행합니다.

• 소프트웨어 개발 수명 주기(SDLC): Notion은 정의된 SDLC를 사용하여 코드가 안전하게 작성되도록 보장합니다. 설계 단계에서는 새 릴리스와 업데이트에 대한 보안 위협 모델링 및 보안 설계 검토가 수행됩니다. 중요한 기능 출시를 위한 코드가 완성된 후에는 코드 감사를 수행하고, 공급업체와 협력하거나 내부 침투 테스트를 진행하며, 코드베이스에 대한 보안 스캔을 실시합니다. 출시 후에는 심각한 보안 문제가 있을 경우 이를 해결하기 위해 버그 바운티를 실시하고 취약성 관리 프로그램을 실행합니다.

• 자격 증명 관리: Notion은 키 생성, 액세스 제어, 보안 저장, 백업 및 키 순환을 자동으로 관리하는 타사 키 관리 서비스(KMS)를 사용합니다. 암호화 키는 최소 사용 권한에 맞게 특정 역할에 할당되며 키는 매년 자동으로 교체됩니다. 키 사용은 모니터링되고 기록됩니다.

• 취약성과 패치 관리: Notion은 모든 인프라 관련 호스트와 회사 제품에 대한 취약점 검사 및 패키지 모니터링을 지속적으로 수행합니다. 외부 및 내부 서비스는 정기적으로 패치를 적용하며, 발견되는 모든 문제는 Notion 환경 내에서 심각도에 따라 분류, 해결합니다.

• WAF(웹 애플리케이션 방화벽): 모든 퍼블릭 엔드포인트는 관리되는 웹 애플리케이션 방화벽을 활용하여 일반적인 취약점을 악용하려는 시도를 차단합니다.

• 데이터 사용 권한 수준: 내부(Notion 직원은 고객을 대신하여 이슈 해결과 콘텐츠 복구를 지원하는 목적으로만 고객 데이터에 액세스합니다.)

• 제3자 업체 협업: 있음 - 여기에서 데이터 처리 수탁업체 목록을 참고하세요.

• 호스팅: Notion은 주요 클라우드 서비스 제공업체 중 하나인 AWS(Amazon Web Services)에서 호스팅됩니다.

• 직원 교육: 모든 직원에 대해 직원 온보딩 과정과 그 이후 매년 보안 교육을 실시합니다. 또한 직원은 Notion의 행동강령 및 보안정책을 읽고 숙지해야 합니다. 개발자 교육 또한 최소 1년에 한 번 실시합니다.

• HR 보안: Notion은 현지 법률 및 규정에 따라 직원을 채용할 때 신원 조회를 실시합니다.

• 사건 대응: Notion은 준비, 식별, 격리, 조사, 근절, 복구, 후속 조치/사후 분석 단계가 포함된 사고 관리 계획을 갖추고 있으며, 이 계획은 최소 연 1회 검토 및 테스트됩니다.

• 내부 평가: Notion에서는 최소 1년에 한 번씩 내부 보안 감사를 실시합니다.

• 내부 SSO: 모든 Notion 직원이 Notion의 ID 공급업체에 로그인하려면 2단계 인증(MFA)이 필요합니다.

• 데이터 액세스: Notion은 내부적으로 액세스에 대해 최소 권한의 원칙을 적용합니다. 직무, 비즈니스 요구 사항, 알 필요가 있는지 여부를 기준으로 액세스 권한을 부여합니다. 또한, 중요한 시스템에 대한 액세스 권한이 계속 필요한지 여부를 확인하기 위해 정기적으로 액세스 권한을 검토합니다.

• 로그 수집: Notion은 로그 수집과 자동 로깅/경고 기능에 SIEM 솔루션을 사용합니다. 중요 시스템에서 로그가 수집되며, 필요한 곳에서 필요한 시점에 보안 이벤트 경고가 생성되도록 경고 규칙을 활용합니다.

• 비밀번호 보안: Notion은 MFA 옵션을 제공하는 모든 시스템에서 MFA를 사용할 것을 요구합니다. MFA를 사용할 수 없는 경우, Notion은 복잡성과 길이 등 엄격한 내부 비밀번호 관리 정책을 적용합니다.

• DDos 방지: Notion은 DDoS 방지를 위해 타사 애플리케이션을 사용합니다.

• 데이터 센터: Notion은 AWS에서 호스팅되며, AWS는 데이터 센터의 물리적 보안을 담당합니다. AWS의 보안 설명서는 여기를 참고하세요.

• 인프라 보안: Notion의 인프라는 완전히 이중화되어 있으며 안전한 환경에서 호스팅됩니다. Notion의 고객 데이터는 AWS에서 호스팅합니다. AWS는 최고 수준의 보안 시스템을 제공하기 위해 보고서 목록과 인증서, 타사 평가를 유지 관리합니다. AWS의 규정 준수에 관한 자세한 내용은 여기를 참고하세요.
  AWS 인프라는 Amazon에서 통제하는 전 세계 곳곳의 데이터 센터에 위치하고 있으며, 무단 액세스를 방지하기 위해 데이터 센터 자체가 다양한 물리적 제어 조치로 보호됩니다. AWS 데이터 센터와 AWS의 보안 제어 조치에 관한 자세한 내용은 여기에서 확인할 수 있습니다.

• 별도의 프로덕션 환경: 고객 데이터는 절대 비프로덕션 환경에 저장되지 않습니다. 고객 계정은 Notion의 프로덕션 환경에 논리적으로 분리되어 있습니다. 개발, 테스트, 프로덕션 환경이 각각 분리되어 있습니다.

• 디스크 암호화: 직원 노트북을 보호하기 위해 노트북에 디스크 암호화를 활성화합니다.

• 엔드포인트 감지와 대응: 모든 엔드포인트에는 감지 소프트웨어가 설치되어 있습니다. 또한 Notion은 고객 데이터와 솔루션의 보안을 위해 여러 가지 보안 제어 조치를 구현해 두었습니다. 이러한 제어 조치 덕분에 엔드포인트에서 어떤 일이 발생하고 있는지 언제나 파악할 수 있으므로 조작이나 위협, 또는 로깅이나 강제 제어 조치가 있을 경우 감지하여 빠르게 대응할 수 있습니다.

• 모바일 기기 관리: MDM 소프트웨어를 통해 IT와 보안팀의 멤버들이 직원 기기와 소프트웨어 구성을 원격으로 관리합니다.

• 위협 감지: Notion은 위협 감지를 전담하는 타사 엔드포인트 보호 소프트웨어를 사용합니다. 엔드포인트 소프트웨어는 엔드포인트에서의 침입, 맬웨어, 악의적 행위를 감지하고, 위협을 제거하고 완화하기 위해 신속한 대응을 지원합니다.

• 방화벽: Notion의 사내 네트워크는 네트워크 방화벽으로 보호되고 있습니다. WAN으로 액세스할 수 있는 네트워크 서비스는 사내 환경에서 호스팅되지 않습니다.

• IDS/IPS: Notion은 조직 보안을 위한 심층 방어 접근법의 일환으로 네트워크와 호스트 기반 IDS/IPS 유형 시스템을 모두 활용합니다. 여기에는 서명 기반 및 변칙 기반 감지를 함께 사용한 의심스러운 활동 모니터링이 포함됩니다.

• 보안 정보와 이벤트 관리(SIEM): Notion은 보안 정보와 이벤트 관리에 SIEM 솔루션을 사용합니다. 이벤트 알림은 실시간으로 보안 직원에게 전달됩니다.

• 무선 보안: Notion은 사내 무선 네트워크에 강력한 암호화를 사용합니다. 고객 데이터 또는 프로덕션 시스템에 영향을 주는 어떠한 무선 네트워크도 사용하지 않습니다.

• 도메인 관리: 도메인은 Notion 계정과 연결된 이메일 주소 도메인을 의미합니다. 워크스페이스 소유자는 도메인 인증을 통해 도메인 소유권을 입증하고 도메인 관리 설정을 사용할 수 있습니다.

• SAML SSO(통합로그인): Notion은 비즈니스와 엔터프라이즈 고객이 하나의 인증 시스템으로 앱을 사용할 수 있도록 SSO 기능을 제공합니다.

• SCIM 프로비저닝과 철회: Notion 워크스페이스는 SCIM API 표준을 사용합니다.

• 감사 로그: Notion은 워크스페이스 소유자에게 보안과 안전 관련 활동에 관한 상세 정보에 액세스할 수 있는 권한을 부여합니다. 여기에는 보안 위험 요소를 감지하고, 의심스러운 활동을 찾아내고, 액세스 문제를 해결하는 것 등이 포함될 수 있습니다.

• 2FA(MFA): Notion은 고객이 Notion 계정의 보안을 강화할 수 있도록 2단계 인증 기능을 제공합니다. 모든 요금제 유형에서 이 기능을 사용할 수 있으며 계정 설정에서 쉽게 설정할 수 있습니다.

• 권한 관리: 사용자가 콘텐츠를 보고 활용하는 방식을 소유자가 원하는 대로 설정할 수 있도록, Notion은 소유자에게 권한 수준을 관리할 수 있는 기능을 제공합니다.

• 팀스페이스 관리: 워크스페이스 소유자는 워크스페이스 내 모든 팀스페이스의 개요를 확인할 수 있으며 팀스페이스의 설정을 수정하고 추가 관리 툴에 액세스할 수 있습니다.

• SIEM & DLP API 통합: Notion은 선택한 DLP 또는 SIEM과 통합하여 이벤트를 탐지할 수 있습니다.

Notion은 다양한 규제 및 산업 표준에 따라 데이터를 보호하도록 설계된 고급 과정 보안 기능을 제공하기 위해 포괄적인 보안 및 개인정보 보호 프로그램을 운영합니다. Notion의 독립적인 감사 보고서(예: SOC 2 Type II 보고서, ISO 27001 인증서)를 확인하려면 Trust Center를 방문해 주세요.

• SOC 2 Type 2: SOC 2 Type 2는 Trust Services Criteria(TSC)와 관련하여 서비스 조직의 제어 조치를 평가하도록 미국공인회계사회(AICPA)의 공인을 받은 독립적인 제3자가 발행하는감사 보고서입니다. SOC 2 Type 2 보고서에서는 일정 기간 동안 이러한 제어 조치의 효과를 평가하며, 평가 대상 조직이 데이터 보호를 위해 적절한 제어 조치를 구현했음을 고객과 이해 관계자에게 확인해 주는 것을 목적으로 하고 있습니다.

• ISO: ISO는 국제 표준을 개발하는 국제 표준화 기구로, Notion은 4개의 ISO 표준(ISO 27001, ISO 27701, ISO 27017, ISO 27018)에 대한 인증을 획득했습니다. Notion이 인증을 획득한 ISO 표준은 정보보안 관리시스템(ISMS)과 개인정보 관리시스템(PIMS)의 수립, 실행, 지속적인 개선을 위한 필수 요건을 기술합니다.

• HIPAA: HIPAA(Health Insurance Portability and Accountability Act, 건강 보험 이전과 책임에 관한 법률)는 1996년 제정된 미국 연방법으로, 이 법이 적용되는 의료 서비스 제공자, 의료 보험사, 의료 정보 교환기관(healthcare clearinghouse)과 업무 관련자에게 보호 대상 건강 정보(PHI)의 보호와 기밀 처리를 요구하는 법률입니다. HIPAA의 적용을 받는 기업이 본 문서의 여기에 기술된 Notion의 엔터프라이즈급 보안 기능을 활용하고 Notion과 사업 제휴 계약서(Business Associate Agreement)를 체결한 경우에는 Notion 워크스페이스 내에서 보호 대상 건강 정보를 처리할 수 있습니다.

• BSI C5 (클라우드 컴퓨팅 컴플라이언스 컨트롤 카탈로그): BSI C5는 독일 연방 정보보안청(BSI)에서 개발한 보안 표준입니다. 이 표준은 클라우드 서비스 제공자를 위한 기본 보안 제어 조치를 기술합니다. C5에는 데이터 위치, 서비스 프로비저닝, 장소, 기존 인증, 정보 공개 의무 및 전체 서비스 설명과 관련된 추가 제어 요구 사항이 포함되어 있습니다.

• PCI DSS: PCI(Payment Card Industry) DSS(Data Security Standards)는 신용카드 데이터(카드 데이터)에 대한 제어를 강화하여 사기를 방지하기 위해 설계된 글로벌 정보 보안 표준입니다. Notion은 PCI-DSS Merchant Level 2 요구 사항을 준수하여 결제 처리 작업 시 결제 카드 데이터(카드 데이터)를 안전하게 처리합니다. 단, 당사의 PCI-DSS 준수 사항은 고객 데이터에는 적용되지 않으며, 데이터 처리 부속서에 명시된 바와 같이 고객은 Notion 워크스페이스 내에 결제 카드 정보(카드 데이터, PCI 데이터)를 입력하거나 저장할 수 없습니다.

• K-FSI: Notion은 한국 금융보안원(K-FSI)의 클라우드 서비스 제공자(CSP) 보안 및 안전성 평가를 성공적으로 완료하여 한국 금융 부문의 클라우드 서비스에 대한 주요 규제 요구 사항을 충족하겠다는 의지를 입증했습니다. 금융 기관은 SaaS 서비스 컨트롤을 범위로 하는 당사의 K-FSI CSP 감사 결과를 검토하여 공급업체 위험 평가 및 내부 규정 준수 요구 사항을 지원할 수 있습니다.