셀렉트 보안 QnA 질문과 답변
어드민 백오피스 는 서비스 데이터와 회원의 개인정보를 취급하기 때문에 높은 보안이 중요합니다.
셀렉트를 이용하며 적정 보안을 유지하기 위해 조직 규모에 맞는 보안 모델을 권해드리고 있습니다. 몇가지 질문과 답변을 공유드립니다.
셀렉트가 고객사 데이터를 조회할수있는가?
- 고객사 화면을 접속하는 창구가 없음 (셀렉트 담당자도 어드민에 접속 불가능)
- 고객지원을 위한 고객사 로그는 조회할수있음. 데이터는 남지않음 (일부 SQL은 로그에 포함됨, 추후 정책 설정 가능하게 바꿀예정)
- 고객사 로그는 지정한 담당자만 볼수있음 (전임직원이 모든 고객사 로그를 볼수있는 구조로 가지않음)
셀렉트에 연결한 디비 접속정보가 제3자에게 탈취될수있는가?
- 디비 접속정보는 암호화하여 저장하고 셀렉트 프록시 서버에서 복호화하여 이용
- 셀렉트 클라우드 디비 접근과 키 스토리지 접근은 엄격하게 관리 중 (디비 권한 오픈안하고 빠른 어드민 제공중)
- 암호화 체계 계속 발전하는 중 (AWS KMS 또는 Vault by HashiCorp 도입예정)
- 셀렉트와 별도로 IP, Tunneling, VPC peering, Querypie등 데이터베이스 자체 보안을 권장함 (접속정보가 노출되었더라도 정보 유출은 없도록)
외부에서 고객사 디비에 침입하여 정보를 가져갈수있는가?
- 자체 디비 보안정책이 있다면 접속정보 노출이 정보 유출로 이어지지 않음
- 셀렉트 임직원은 Zero-trust 기준에 맞추어서 기기/네트워크(VPN) 보안을 충족
- 셀렉트 서버와 데이터베이스 접근 또한 IdP(onelogin, okta)/MFA/위치기반등 여러 보안 레이어를 확보
- 셀렉트 자체 취약점은 synk등 내부 통제 기간을 가짐
추가
- API 연동의 경우 비교적 보안 리스크가 덜 합니다.
- 디비 테이블/컬럼 제한과 마스킹 기능이 로드맵에 있습니다.
