호스팅
HONESTAS는 두 가지 환경 중 한 곳에서 동일한 소프트웨어로 구동됩니다.
- 당사 EU 클라우드. 아일랜드 소재 데이터센터를 이용합니다. 귀사의 데이터는 유럽연합(EU) 내에서 저장 및 처리되며, 데이터 유형별로 당사 EU 클라우드와 귀사 자체 데이터센터 중 보관 장소를 선택할 수 있습니다.
- 귀사 자체 데이터센터. 귀사의 네트워크 통제 하에 자체 하드웨어에 HONESTAS를 설치합니다. 업데이트는 서명된 패키지 형태로 제공되며, 귀사가 승인해야만 실행됩니다.
두 환경 모두에서 봉인된 기록은 외부 타임스탬프가 찍혀 설치 환경 외부의 기록 저장소에 기록되므로, 특정 설치 환경이 침해되더라도 과거 이력을 조작할 수 없습니다.
암호화 및 키 관리
- 데이터는 전송 중일 때와 저장 시 모두 기업별로 분리된 키를 사용하여 암호화됩니다.
- 자체 키 저장소에서 암호화 키를 직접 보유할 수 있습니다. 키를 회수하면 해당 키로 보호되는 데이터는 더 이상 읽을 수 없습니다.
- 기록을 봉인하는 키는 데이터를 보호하는 키와 분리되어 보관되며, 의사결정에 서명하는 담당자에게는 절대 제공되지 않습니다.
- AI 호출은 귀사의 자체 계약에 따라 귀사의 모델 제공업체 계정 및 키로 실행됩니다. 각 호출 시 사용된 키, 모델 및 버전이 함께 기록됩니다.
- 카드 번호는 HONESTAS로 전달되지 않습니다. 고객은 결제 대행사의 자체 입력란에 직접 정보를 입력합니다.
격리 및 분리
HONESTAS의 모든 요청은 소속 기업, 데이터 소유자, 요청 부서라는 세 가지 정보를 명시해야 합니다. 세 가지를 모두 명시하지 못한 요청은 다음 코드와 함께 거부되며, SCOPE_REFUSED, 해당 거부 내역 또한 기록됩니다.
- 기업 간 분리. 각 보험사, 브로커, MGA 또는 TPA는 고유한 공간과 자체 암호화 키를 가집니다. 공동 배정(Placing) 룸에서는 메시지가 전송되기 전 시장 간 정보 차단벽(Wall)을 매번 확인합니다.
- 소유자 간 분리. 다수의 고객사를 대리하는 TPA나 브로커는 각 고객사의 기록을 해당 고객사의 명의로 분리하여 보관합니다.
- 부서 간 분리. 보험사기특별조사팀(SIU)과 같은 부서는 동일 기업 내에서도 별도로 격리할 수 있습니다.
업로드된 모든 파일은 네트워크가 차단된 샌드박스에서 열리고, 내용을 읽은 뒤 즉시 폐기됩니다.
접근 통제
- 사용자는 SAML 또는 OIDC를 통해 귀사의 자체 ID 제공자(IdP)로 로그인하며, 계정은 SCIM을 통해 동기화됩니다. 의사결정 서명에는 사용자 개인 기기의 패스키(Passkey)가 사용됩니다.
- 역할에 따라 각 사용자가 열람하고 수행할 수 있는 작업이 결정됩니다. 인수 한도(Authority limit) 변경이나 신규 모델 버전 적용 등 리스크가 큰 변경 사항은 두 번째 담당자의 승인을 거쳐야 합니다.
- 비상시에는 관리자에게 단기간 전체 접근 권한을 부여할 수 있으나, 이 경우 두 번째 담당자가 참관해야 하며 모든 단계가 기록됩니다.
- Adverant 직원의 접근은 제한적이며, 사전 승인과 기록을 거칩니다.
로그 기록
모든 로그인, 열람, 변경, AI 호출 및 관리자 작업은 누가, 무엇을, 언제, 어디서 수행했는지 로그로 기록됩니다. 로그는 설치 환경 외부에 보관되어 수정할 수 없으며, 귀사가 설정한 기간 동안 보존됩니다. 이벤트 API를 통해 귀사의 자체 보안 도구로 로그를 전송할 수 있습니다.
보안 테스트
- 독립적인 외부 전문가들이 HONESTAS의 취약점을 테스트합니다. 발견된 사항은 심각도 순으로 수정합니다.
- 모든 빌드는 서명되며, 포함된 소프트웨어는 배포 전 알려진 취약점이 있는지 검사를 거칩니다.
- 의사결정을 거부하는 검증 로직, 기록 봉인, 기업 간 차단벽은 매 릴리스마다 테스트됩니다.
보안 사고 대응
귀사의 데이터에 영향을 미치는 사고가 발생할 경우, 지체 없이 지정된 보안 담당자에게 통지하고 계약서에 명시된 대응 계획을 따릅니다. 또한 DORA 및 GDPR에 따른 귀사의 자체 보고 의무를 이행하는 데 필요한 사실관계와 최초 알림 시점부터의 타임라인을 제공합니다.
취약점 제보
이메일: security@honestas.ai. 다음 내용을 포함해 주십시오:
- 발견한 취약점과 위치(URL 주소, 화면 또는 컴포넌트);
- 재현 단계(개념 증명(PoC) 코드 또는 스크린샷 포함);
- 예상되는 공격 시나리오 및 잠재적 영향;
- 연락처 및 기여자 명시(Credit) 희망 여부.
가능하면 영어로 작성해 주십시오. 짧은 제보 여러 건보다 명확한 보고서 한 건이 더 유용합니다. 테스트 중 발견한 개인정보는 직접 포함하지 마시고 상황만 설명해 주십시오. 당사는 가장 심각한 문제부터 우선 수정하며, 수정이 완료되면 이를 알리고 세부 내용의 공개 시점을 귀하와 협의합니다.
적용 범위
- HONESTAS 콘솔을 포함한 honestas.ai 및 그 하위 도메인;
- 로그인, 기록 저장소, 기록 검증기를 포함하여 당사 EU 클라우드에서 운영되는 HONESTAS 환경;
- iOS 및 Android용 HONESTAS 앱, 스토어프론트 SDK 및 공개 API.
대상 제외: 당사 임직원을 대상으로 한 공격(피싱, 사회공학적 기법), 물리적 공격, 서비스 거부 공격(DoS), 이미 침해된 기기를 전제로 하는 취약점, 실제 영향이 입증되지 않은 자동화 스캐너 보고서. 고객사의 자체 데이터센터에 설치된 환경은 해당 고객사의 소유이므로, 관련 문제는 당사뿐만 아니라 해당 고객사에도 함께 제보해 주십시오.
보안 연구자 준수 사항
- 본인 소유의 계정 및 데이터, 또는 테스트 목적으로 부여받은 계정 및 데이터만 사용하십시오.
- 문제를 입증하는 데 필요한 최소한의 작업만 수행하십시오. 타 기업의 데이터에 도달하는 즉시 작업을 중단하고 당사에 알려주십시오.
- 데이터를 변경하거나 삭제하지 마시고, 서비스 품질을 저하시키거나 필요한 기간 이상으로 접근 권한을 유지하지 마십시오.
- 공개 일자가 합의될 때까지 세부 내용을 비공개로 유지하십시오.
면책 보장(Safe harbour)
신의성실의 원칙에 따라 본 규칙을 준수하신다면, 당사는 귀하의 연구를 승인된 것으로 간주합니다. 당사는 이에 대해 법적 조치를 취하거나 관계 당국에 신고하지 않으며, 제3자가 문제를 제기하더라도 당사의 허가 하에 이루어진 활동임을 명확히 밝힐 것입니다. 단, 본 규칙으로 승인할 수 없는 위법 행위는 보호 대상에서 제외됩니다.
정보 공개
당사는 패치가 필요한 모든 고객에게 배포된 이후에 세부 내용을 공개하는 것을 원칙으로 합니다. 공개 시점은 귀하와 협의하여 결정하며, 고객을 보호하는 데 필요한 기간 이상으로 침묵을 요구하지 않습니다. 이견이 있을 경우 그 사유를 명확히 설명해 드리겠습니다.
고객사의 경우, 계약서에 명시된 보안 담당자나 HONESTAS 내부 고객지원을 통해 의심되는 사고를 신고해 주시면 사전 합의된 사고 대응 계획에 따라 조치하겠습니다. 데이터 보관 위치 및 당사가 매핑하는 규제 요건에 대한 자세한 내용은 다음을 참조하십시오: 신뢰 센터.
최종 업데이트: 2026년 10월 23일