보안체계
팝빌 API는 통신과 데이터 및 서비스 운영 전반에 기술적·물리적·관리적 보안을 적용하여 안전한 API 이용 환경을 제공합니다.
기술적보안
팝빌 API는 데이터 전송부터 저장·처리 전 과정에 걸쳐 기술적 보호조치를 적용하여 운영됩니다. 모든 API 통신은 암호화된 채널을 통해 이루어지며, 민감 데이터는 필드·메시지·저장 영역 단위까지 세분화하여 보호합니다.
인증 정보 및 접근 경로에 대한 통제를 통해 무단 접근과 정보 유출을 기술적으로 차단합니다.
- TLS 통신 전 구간 암호화
- mTLS 통신 암호화 지원
-
애플리케이션 레벨 암호화
→ Field Level Encryption / Message Level Encryption 지원 -
DB 종단 암호화(At-Rest Encryption)
→ 적용 알고리즘 : AES-256 -
공동인증서 암호화 관리
→ 필요 시점에 한시적 사용 후 자동 파기
→ 적용 알고리즘 : AES-256-GCM - KMS 기반 암호화 키 생성 및 관리
- IP 접근 제어(IP Whitelisting)
- 웹 취약점 정기 점검(KISA 기준)
애플리케이션 암호화(Application-level Encryption)
팝빌 API는 통신 구간에 TLS 암호화를 의무적으로 적용하며, 애플리케이션 내부 처리 과정에서도 데이터 노출을 방지하기 위해 애플리케이션 레벨 암호화를 지원합니다. 이를 통해 전송 구간을 넘어 애플리케이션 처리 전반에서 데이터가 보호됩니다.
애플리케이션 레벨 암호화는 보호 대상과 적용 범위에 따라 필드 레벨 암호화와 메시지 레벨 암호화로 구분됩니다.
-
API 데이터에서 주민등록번호, 인증정보, 금융정보 등 특정 민감 필드에 대해 선별적으로 암호화를 적용하는 방식입니다.
- 민감 데이터만 분리하여 보호
- 데이터 처리 효율성과 보안 수준을 동시에 고려
- 애플리케이션 처리 과정에서도 필드 단위로 보호
-
API 메시지 전체를 암호화하여 보호하는 방식으로 보안 범위를 확장해야 하는 환경에서 효과적인 암호화 방식입니다.
- 데이터 구조와 무관하게 메시지 단위로 보호
- 중간 처리 과정이나 로그 노출에 대한 위험 최소화
- 외부 연계 및 내부 전달 구간에서 추가적인 보안 계층 제공
물리적보안
팝빌 API는 전 서비스가 AWS 클라우드 인프라 상에서 운영되며, 보안이 통제된 데이터센터 환경과 AWS의 물리적 보안 체계를 기반으로 안정성을 확보하고 있습니다.
물리적 접근 통제, 전원·네트워크 이중화, 재해 대응 인프라는 AWS 책임 하에 관리되며, 팝빌은 이를 기반으로 망 분리 및 전용선 연결 등 추가적인 물리적 통제를 적용합니다.
- 전 서비스 AWS 클라우드 인프라 운영
-
AWS 보안서비스 활용
- WAF (Web Application Firewall)
- GuardDuty
- Inspector
- Security Hub
- CloudTrail
- AWS Config - 전용선 연결 지원
- 업무 시스템 물리적 망 분리
팝빌에 적용된 보안 서비스
AWS WAF, GuardDuty, Inspector, Security Hub, CloudTrail, AWS Config를 활용하여 위협을 사전 차단·탐지하고, 보안 이벤트 및 구성 변경을 중앙에서 지속적으로 관리하고 있습니다.
웹 및 API 요청을 검사하여 악성 트래픽과
웹 공격을 차단합니다.
계정, 네트워크, API 활동을 분석해
이상 행위와 보안 위협을 탐지합니다.
시스템 구성과 소프트웨어 취약점을 점검하여 보안 위험을 식별합니다.
보안 경고와 점검 결과를 중앙에서
통합 관리합니다.
AWS 리소스 및 API 호출 이력을 기록해
감사와 추적을 지원합니다.
리소스 설정 변경 이력을 추적하고
보안 정책 준수 여부를 점검합니다.
관리적보안
팝빌은 보안을 기술 요소에 국한하지 않고, 정책·절차·조직 차원의 관리적 보안 체계로 운영합니다.
정보보안 정책과 내부 통제 기준을 수립·운영하고, 접근 권한 관리, 사고 대응 절차, 정기 점검 및 교육을 통해 보안 통제가 지속적으로 유지·개선되도록 관리하고 있습니다.
- 정보보안 정책 및 내부 통제 기준 수립·운영
- 계정 및 접근 권한 관리 정책 운영
- 보안 사고 대응 및 보고 절차 운영
- 데이터 보관·이용·삭제 기준 관리
- 로그 접근 및 보관 정책 운영
- 정기적 내부 보안 점검 및 개선 활동 수행
- 외부 인프라 및 위탁 영역에 대한 책임 분리 관리
- 개인정보책임자(CPO) 및 정보보안책임자(CISO) 지정·운영
- ISO/IEC 27001 인증 유지
- 정기적 정보보안 교육 시행 (연 2회)
ISO/IEC 27001:2022 인증
팝빌은 ISO(국제표준화기구)와 IEC(국제전기기술위원회)가 제정한 정보보호 국제 표준인 ISO/IEC 27001 인증을 취득하였으며, 정보보호 정책, 물리적 보안, 접근 통제 등 총 14개 영역 114개 통제 항목에 대한 엄격한 심사를 기반으로 정보보안 관리체계를 운영하고 있습니다.
프로그램 공급사와 고객의 데이터 보호를 위해 접근 통제, 보안 운영, 사고 대응 절차를 지속적으로 관리하고 있습니다.
- 인증범위 팝빌에서 제공하는 모든 서비스
- 유효기간 2025-10-07 ~ 2028-10-06
- 인증번호 IS 777885
