셀렉트 보안 QnA 질문과 답변

어드민 백오피스는 서비스 데이터와 회원의 개인정보를 취급하기 때문에 높은 보안이 중요합니다.

셀렉트를 이용하며 적정 보안을 유지하기 위해 조직 규모에 맞는 보안 모델을 권해드리고 있습니다. 몇가지 질문과 답변을 공유드립니다.


셀렉트가 고객사 데이터를 조회할수있는가?

  • 고객사 화면을 접속하는 창구가 없음 (셀렉트 담당자도 어드민에 접속 불가능)
  • 고객지원을 위한 고객사 로그는 조회할수있음. 데이터는 남지않음 (일부 SQL은 로그에 포함됨, 추후 정책 설정 가능하게 바꿀예정)
  • 고객사 로그는 지정한 담당자만 볼수있음 (전임직원이 모든 고객사 로그를 볼수있는 구조로 가지않음)

셀렉트에 연결한 디비 접속정보가 제3자에게 탈취될수있는가?

  • 디비 접속정보는 암호화하여 저장하고 셀렉트 프록시 서버에서 복호화하여 이용
  • 셀렉트 클라우드 디비 접근과 키 스토리지 접근은 엄격하게 관리 중 (디비 권한 오픈안하고 빠른 어드민 제공중)
  • 암호화 체계 계속 발전하는 중 (AWS KMS 또는 Vault by HashiCorp 도입예정)
  • 셀렉트와 별도로 IP, Tunneling, VPC peering, Querypie등 데이터베이스 자체 보안을 권장함  (접속정보가 노출되었더라도 정보 유출은 없도록)

외부에서 고객사 디비에 침입하여 정보를 가져갈수있는가?

  • 자체 디비 보안정책이 있다면 접속정보 노출이 정보 유출로 이어지지 않음
  • 셀렉트 임직원은 Zero-trust 기준에 맞추어서 기기/네트워크(VPN) 보안을 충족
  • 셀렉트 서버와 데이터베이스 접근 또한 IdP(onelogin, okta)/MFA/위치기반등 여러 보안 레이어를 확보
  • 셀렉트 자체 취약점은 synk등 내부 통제 기간을 가짐

추가

  • API 연동의 경우 비교적 보안 리스크가 덜 합니다.
  • 디비 테이블/컬럼 제한과 마스킹 기능이 로드맵에 있습니다.