ProcureLabs에서 보안은 플랫폼의 기본 원칙입니다. 이 페이지에서는 귀하의 조달 데이터를 보호하기 위해 마련된 조치와 해당 조치가 적용되는 범위 및 적용되지 않는 범위를 설명합니다.
인증 및 규정 준수
SOC 2 Type II
보안, 가용성 및 기밀성 통제는 요청 시 제공되는 당사의 통제 매트릭스에서 SOC 2 Trust Services Criteria에 매핑되어 있습니다. SOC 2 Type II 준비 프로그램은 진행 중이며, 당사의 자체 감사는 아직 시작되지 않았고 완료된 Type II 보고서도 없습니다.
GDPR
개인정보 보호 통제는 요청 시 제공되는 당사의 통제 매트릭스에서 EU 일반 데이터 보호 규정의 조항별로 매핑되어 있습니다.
계획됨
데이터 암호화
전송 중 암호화
ProcureLabs로 전송되거나 ProcureLabs에서 전송되는 모든 데이터는 TLS 1.2 이상으로 암호화됩니다. 모든 연결에 HTTPS가 적용되며 HTTP Strict Transport Security (HSTS)가 사용됩니다.
저장 데이터 암호화
저장된 모든 데이터는 AES-256 암호화를 사용하여 암호화됩니다. 데이터베이스 백업은 당사의 데이터베이스 호스트(Supabase)가 관리하고 암호화합니다.
키 관리
플랫폼 암호화 키는 당사의 클라우드 제공업체가 관리합니다. Bring Your Own Key를 사용하면 데이터 키가 귀하의 KMS 키 하에서 생성되며, 키를 교체하면 등록된 모든 암호화 필드가 새로운 데이터 키로 다시 암호화됩니다.
인프라 보안
클라우드 인프라: SOC 2, ISO 27001 및 PCI DSS 인증을 보유한 AWS에서 호스팅됩니다. 이는 AWS의 인증이며 ProcureLabs의 인증이 아닙니다.
데이터 격리: 고객 데이터를 보유한 데이터베이스 테이블에는 행 수준 보안이 활성화되어 있으므로 로그인한 사용자의 쿼리는 해당 사용자의 조직에 속한 행만 반환합니다. 상향된 데이터베이스 액세스 권한으로 실행되는 백그라운드 작업 및 관리 경로는 행 수준 보안을 거치지 않으며, 애플리케이션 코드에서 테넌트 필터를 적용합니다.
가용성: 단일 AWS 리전(Singapore); 리전 간 장애 조치 없음
재해 복구: 시점 복구 기능이 있는 데이터베이스 백업(당사의 데이터베이스 호스트인 Supabase가 제공)
액세스 제어
인증
다중 인증(MFA). 관리자가 모든 사용자 또는 관리자에게만 MFA를 요구할 수 있습니다
SAML 2.0 및 OIDC를 통한 SSO 통합
회원가입 및 비밀번호 변경 양식의 비밀번호 규칙: 최소 8자이며 대문자와 소문자, 숫자 및 기호를 포함해야 합니다
자동 시간 제한을 적용한 세션 관리
인증
역할 기반 액세스 제어(RBAC)
기능 및 데이터 수준의 세분화된 권한
최소 권한 원칙 적용
ProcureLabs API를 통해 이루어진 변경 사항의 자동 감사 로깅(기능에서 기록하는 경우에만 읽기 작업을 기록)
직원 액세스
프로덕션 시스템 및 고객 데이터에 대한 액세스는 ProcureLabs의 창업자로 제한됩니다
고객 데이터에 대한 액세스 권한을 부여받은 모든 계약자는 먼저 기밀 유지 계약에 서명합니다
업무상 필요한 경우에만 액세스
플랫폼을 통해 이루어진 변경 사항은 감사 로그에 기록됩니다
보안 모니터링 및 대응
취약점 관리: 모든 병합 요청은 커밋된 비밀 정보(Gitleaks)와 수정 가능한 중요 종속성 취약점(Trivy)에 대해 스캔됩니다.
사고 대응: 사고는 ProcureLabs의 창업자가 플랫폼의 사고 대응 플레이북을 사용하여 처리하며, 영향을 받은 고객에게는 이메일로 통지합니다.
보안 문제는 아래의 보안 연락처로 신고할 수 있습니다.
AI 데이터 처리 보안
당사의 AI 기능은 보안 및 개인정보 보호를 고려하여 설계되었습니다:
OpenAI 처리 OpenAI는 채팅, 분석 및 도구 선택과 조달 증거에 대한 Decisions의 제한적 판단을 지원합니다. 고객의 유효한 허가와 합의된 지역 구성을 조건으로, Decisions는 허용된 목적을 위해 최소화하고 민감한 정보를 가린 맥락과 질문을 받습니다. OpenAI API 데이터는 명시적으로 참여를 선택한 경우에만 모델 훈련에 사용됩니다. Decisions는 암호화된 프롬프트 캐시 상태를 최대 24시간, 표준 오용 모니터링 로그를 최대 30일 동안 보관할 수 있으며, 적용되는 보안, 안전 또는 법적 예외가 적용됩니다.
Decisions 처리에 대한 허가 Decisions 처리에는 고객의 유효한 지시와 특정 목적, 계정, 처리자 및 미국 이전에 대한 허가가 필요합니다. AI를 끄거나 해당 권한을 철회하면 새로운 Decisions 요청이 차단됩니다. 중대한 결과를 수반하는 조치에는 필요한 보호 장치와 독립적인 검토가 계속 적용됩니다.
보관은 해당 데이터 범주, 고객 지시, 법적 보존 의무 및 제공업체 약관을 따릅니다. 채팅 기록, 파생 콘텐츠, 감사 기록 및 제공업체 로그에는 별도의 보관 조건이 있습니다. 삭제 요청은 데이터 처리 계약과 적용 법률에 따라 처리됩니다.
관리자는 선택적 AI 기능을 비활성화할 수 있습니다
관리자는 전체 조직에 대해 AI 기능을 끄거나, 각 사용자가 자신의 기능을 끌 수 있습니다
AI가 제안한 작업에 대한 의사결정 감사 로그
데이터 저장 지역
모든 고객 데이터는 단일 리전에 저장됩니다. AI 기능은 미국의 AI 제공업체를 통해 필요한 데이터를 처리합니다. 현재 추가 저장 리전은 제공되지 않습니다.
아시아 태평양
싱가포르(AWS ap-southeast-1)
거버넌스
당사는 정보보안 정책을 서면으로 유지하며, 정책 및 절차 색인을 포함해 최소 매년 검토합니다.
당사는 정직성, 기밀 유지 및 이해 상충을 다루는 행동 강령을 문서화하여 유지합니다.
ProcureLabs에는 세 명의 창업자가 있습니다. CEO 겸 이사인 David Hodge가 보안 및 데이터 보호에 대한 책임을 집니다. 공동창업자 검토 및 독립적인 복구 체계는 문서화되고 검증되는 중입니다.
당사는 리스크 등록부를 서면으로 유지하며, 최소 매년 그리고 중대한 변경 전에 검토합니다.
당사는 하위 처리자를 확인하고 검토하는 절차를 문서화하여 유지합니다. ProcureLabs를 실행하는 서버의 물리적 보안은 AWS와 Supabase가 제공하며, 당사는 자체 데이터센터를 운영하지 않습니다.
당사는 업무 연속성 계획을 서면으로 유지하며, 최소 매년 검토합니다.
당사는 백업에서 데이터베이스를 테스트 복원하는 절차를 문서화하여 유지합니다. 데이터베이스만 복원하는 연습을 완료했으며 임시 사본은 삭제했습니다. 전체 애플리케이션, 인증 및 객체 스토리지 복구와 독립적인 대체 운영자 액세스는 아직 검증되지 않았습니다.
변경 관리 및 처리 무결성
코드 변경 사항은 비밀 정보 스캔, 데이터베이스 마이그레이션 검사, 이 사이트의 보안 및 개인정보 보호 문구가 여전히 코드와 일치하는지 확인하는 검사 등을 포함한 필수 파이프라인 검사를 통과해야 메인 브랜치에 병합 요청을 통해 반영됩니다. 프로덕션 배포는 해당 브랜치에서만 수행됩니다. 필수 검사가 제거되거나 실패가 허용되면 자동화된 테스트가 실패합니다.
코드의 알려진 약점은 기준선과 당사의 컴플라이언스 증거 등록부에 기록됩니다. 오류를 조용히 폐기하는 오류 처리기나 지원 코드가 변경된 게시 문구처럼 새로운 약점을 추가하는 변경 사항은 수정되거나 기록될 때까지 차단됩니다.
당사 API의 대부분의 쓰기 엔드포인트는 선언된 스키마에 따라 각 요청 본문을 확인하며, 일치하지 않는 요청은 400 오류와 함께 거부합니다.
탐지 엔진의 각 실행은 모든 탐지기에 대해 실행 완료 여부와 반환된 결과 수를 기록하거나, 실행에 실패했음을 기록합니다. 실패는 절대로 “발견 사항 없음”으로 기록되지 않고 실패로 기록됩니다.