보안 설계 원칙 (Security by Design)

보안 설계 원칙이란 보안을 나중에 덧붙이는 것이 아니라 아키텍처, 개발, 운영의 처음부터 반영하는 것입니다. 우리는 투명성을 통한 신뢰, 대응보다 예방, 지속적인 개선이라는 세 가지 원칙을 따릅니다.

이 페이지에서는 우리 코드나 호스팅 업체의 문서로 확인할 수 있는 조치만 설명합니다. 갖추지 않은 것은 갖추지 않았다고 밝힙니다.

CoachBall은 Amazon Web Services(AWS) 인프라 기반의 관리형 호스팅 플랫폼 Laravel Cloud에서 운영되며, 그 앞단에 Cloudflare 네트워크가 있습니다.

엣지 네트워크: 모든 요청은 먼저 가장 가까운 Cloudflare 거점에 도착하며, DDoS 완화와 웹 애플리케이션 방화벽(WAF)을 거친 뒤 애플리케이션으로 전달됩니다. CSS, JavaScript, 이미지 같은 정적 파일은 엣지에 캐시되며, 이 캐시는 배포할 때마다 비워집니다.

컴퓨트 네트워크: 애플리케이션은 사설 네트워크에서 실행되며 인터넷에서 직접 접근할 수 없고 엣지 네트워크를 통해서만 접근할 수 있습니다.

• DDoS 방어: 대량 트래픽 공격과 증폭 공격은 애플리케이션에 도달하기 전에 엣지에서 흡수됩니다.
• 웹 애플리케이션 방화벽: Cloudflare의 OWASP Core Ruleset이 인젝션 같은 일반적인 공격을 애플리케이션에 도달하기 전에 걸러냅니다.
• 암호화된 연결: 모든 트래픽은 HTTPS(TLS)를 사용하며, 인증서는 자동으로 갱신됩니다.
• 보안 헤더: 페이지가 콘텐츠를 불러올 수 있는 외부 도메인을 제한하고 다른 사이트가 CoachBall을 삽입하지 못하게 하는 Content Security Policy와 함께 X-Content-Type-Options: nosniff 및 엄격한 Referrer-Policy를 보냅니다.

• 비밀번호는 단방향 해시(bcrypt)로만 저장됩니다. 우리를 포함해 누구도 읽을 수 없습니다.
• 로그인 시도는 횟수가 제한되어 비밀번호를 끝없이 추측할 수 없습니다.
• 쿠키는 암호화되며, 모든 양식은 사이트 간 요청 위조(CSRF)로부터 보호됩니다.
• 역할별 접근: 볼 수 있는 내용과 할 수 있는 작업은 팀이나 클럽에서의 역할(예: 코치, 선수, 보호자)에 따라 정해집니다.

CoachBall과의 모든 연결은 암호화되며, 업로드한 사진과 파일은 저장소 업체가 암호화(AES-256)하여 보관합니다. 비밀번호는 단방향 해시로 저장되고, YouTube 같은 연동 서비스의 액세스 토큰은 데이터베이스에 암호화되어 저장됩니다.

모든 데이터가 애플리케이션 수준에서 암호화된다고 주장하지는 않습니다. 팀 정보를 판매하는 일은 절대 없으며, 계정과 데이터는 언제든지 삭제할 수 있습니다.

CoachBall은 ISO/IEC 27001 인증을 받지 않았으며 SOC 2 보고서도 없습니다. 접근 관리, 암호화, 사고 대응 등에서 이 표준들의 원칙을 지침으로 삼고 있습니다.

호스팅 업체인 Laravel Cloud는 ISO/IEC 27001 인증을 받았고 Security, Confidentiality, Availability에 대한 SOC 2 Type 2 증명을 보유하고 있습니다. 이는 CoachBall이 운영되는 플랫폼에 관한 것이며 CoachBall 자체에 관한 것은 아닙니다.

데이터 처리 계약 등 규정 준수에 관한 구체적인 질문은 문의해 주세요.

보안은 지속적인 과정입니다. 오류와 애플리케이션 로그를 모니터링하고, 의존성을 정기적으로 업데이트하며, 코드의 보안 문제를 점검합니다. 문제를 발견하면 수정하고 필요하면 이 페이지를 업데이트합니다.

우리의 접근 방식에 대해 궁금한 점이 있거나 기술적 또는 법적 세부 정보가 더 필요하시면 문의해 주세요.