보안 체계
BioStar Air는 슈프리마의 안전한 클라우드 기반 모바일 출입 통제 솔루션입니다. 슈프리마의 하드웨어, 소프트웨어 및 펌웨어 엔지니어링 팀은 '설계 시 보안' 원칙에 따라 작업합니다. 시스템 아키텍처의 모든 계층과 모든 통신 접점은 개인 정보 보호 및 데이터 무결성을 유지하도록 설계되었습니다.
주요 조치 사항:
-
BioStar Air 관리 포털 및 데이터베이스의 데이터 보호 및 암호화
-
BioStar Air API와 클라이언트 간의 데이터 전송 시 암호화 및 보호
-
스마트폰에 저장된 모바일 카드 데이터 암호화
-
스마트폰과 리더 간의 통신 보호(슈프리마 패스)
-
모바일 자격 증명 위조 방지(슈프리마 패스)
ISO 27001 인증
슈프리마는 ISO 27001 인증을 획득하여 데이터 보호 관리, 보안 통제 및 개인 정보 관리에 대한 글로벌 표준을 충족합니다. 2019년 8월에 처음 설립된 ISO 27001 준수는 일반 데이터 보호 규정(GDPR) 및 캘리포니아 소비자 개인 정보 보호법(CCPA)과 같은 유사한 법률과도 일치합니다.
엔드투엔드(End-to-End) 보안을 위한 검증된 기술
보안 포털 액세스 및 데이터 보호
BioStar Air 관리 포털은 AES-256 이상의 암호화를 사용하는 AWS Amazon RDS 암호화 DB 인스턴스에서 실행됩니다. 모든 개인 데이터에는 추가 암호화가 적용됩니다.
BioStar Air API와의 암호화된 통신
BioStar Air REST API와의 모든 통신은 HTTPS를 통해 TLS 1.2를 사용하여 암호화되며 액세스 토큰(기본 1시간 만료)이 필요합니다. AWS API Gateway는 무차별 대입 공격을 방지하기 위해 API 요청을 제한합니다.
암호화 및 해시 처리된 모바일 카드 ID
모바일 카드 ID 번호는 AES-256을 사용하여 암호화되어 타사 서버에서 노출되는 것을 방지합니다. 카드 데이터는 진위 확인을 위해 디지털 서명됩니다.
모바일 기기에 저장된 모바일 카드의 안전한 저장
슈프리마 패스 모바일 자격 증명 및 관련 데이터는 AES-256으로 암호화됩니다. 암호화 키는 모바일 기기의 신뢰 실행 환경(TEE), 예를 들어 Secure Enclave(Apple) 또는 TrustZone(ARM)에 저장됩니다.
모바일 기기와 리더기 간의 보안 통신
Bluetooth Low Energy (BLE)를 통한 '재전송 공격'을 방지하기 위해 BioStar Air는 각 연결에 대해 일회성 암호화 키를 사용하고 전송 직후 연결을 종료하여 중간자 공격(MITM)을 방지합니다.
모바일 카드 위조 방지
각 슈프리마 패스 모바일 크리덴셜은 각 BioStar Air 사이트에 고유한 PKI 기반 디지털 서명으로 보호됩니다. 독점적인 검증 프로세스는 수정 또는 위조 시도를 감지합니다.
취약성 관리
슈프리마의 정보 보안 팀이 취약성 관리를 주도하며, 외부 보안 전문가들이 지원합니다.
-
지속적인 자동화된 위협 스캔
-
전체 시스템 검토가 포함된 연간 ISO 27001 갱신 감사
-
주요 릴리스 전 침투 테스트 및 위험 평가
-
비밀번호 위생, 사회 공학 저항성 및 절차 준수를 위한 점검
-
모든 취약점 및 수정 조치에 대한 포괄적인 문서화 및 보고
위험 평가 접근 방식
자산은 기밀성, 무결성 및 가용성 등급에 따라 분류됩니다. 위협이 식별되고 취약점이 평가되며 위험이 가능성과 영향에 따라 평가됩니다. 완화 조치는 위험 심각도에 따라 우선 순위가 지정됩니다.
멀티팩터 인증 (MFA)
멀티팩터 인증(MFA)은 단계적으로 구현되고 있습니다.
-
관리자 계정에 대한 Email 기반 2FA
-
BioStar Air App에 대한 Passcode 기반 2FA
-
90일 후 비활성 관리자 계정 자동 잠금
-
비밀번호 만료 설정 가능(30, 60, 90일)
주요 보안 정책
-
전송 중 데이터 암호화: TLS 1.2
-
저장 중 데이터 암호화: AES-256
-
DoS 보호: AWS API Gateway 요청 제한
-
서비스 가용성: 99.9% 가동 시간(SLA 기준)
-
API 보안: 토큰 기반 인증, HTTPS 전용, 엄격한 엔드포인트 검증
-
포털 액세스: 글로벌 관리를 위한 클라우드 기반 서비스이며, 개인 클라우드 옵션을 개발 중