최종 업데이트: 2026/08/24
zdwrsa(이하 “회사”)는 정보보안을 최우선으로 합니다. 본 정보보안 정책은 회사가 고객, 직원, 파트너의 정보를 보호하기 위해 수행하는 기술적·관리적·조직적 조치를 설명합니다.
적용 대상: 당사 웹사이트 및 서비스를 이용하는 모든 고객, 내부 직원, 파트너, 제3자 서비스 제공자.
1. 정보보안 목표
- 고객 개인정보의 유출·변조·손실·불법 사용 방지
- 웹사이트, 결제 시스템, 백엔드 시스템의 안전한 운영
- 「개인정보 보호법」, 「정보통신망법」 및 ISO 27001 등 국제 표준 준수
- Google 광고 파트너 보안 요구 사항(데이터 암호화, 접근 통제, 사고 대응) 충족
2. 정보보안 조직
| 역할 | 책임 |
|---|---|
| 정보보안 책임자 | 정책 수립·시행·감독, 위험 평가, 보안 팀 리더십 |
| 개인정보 보호책임자(DPO) | 개인정보 보호 규정 준수, 사용자 권리 처리, 데이터 유출 신고 |
| 시스템 관리자 | 네트워크·서버·데이터베이스 보안 운영 및 모니터링 |
| 전 직원 | 정보보안 교육 수강, 안전 수칙 준수 의무 |
3. 데이터 분류 및 등급
| 등급 | 설명 | 예시 |
|---|---|---|
| 공개 데이터 | 누구나 열람 가능, 비밀 요구 없음 | 상품 소개, 공지사항, 공개 연락처 |
| 내부 데이터 | 내부용, 유출 시 경미한 영향 | 업무 프로세스 문서, 일반 운영 데이터 |
| 민감 데이터 | 엄격한 보호 필요, 유출 시 심각한 손실·법적 위험 | 고객 이름·전화·주소, 결제 정보, 비밀번호, 주문 기록 |
민감 데이터는 암호화 저장·전송 필수, 접근 시 승인 필요.
4. 기술적 보안 조치
4.1 네트워크 및 시스템 보안
- 방화벽 및 침입 탐지/차단 시스템(IDS/IPS) : 서버 앞단 배치, 악성 트래픽 차단
- 정기적 취약점 스캔 및 모의 침투 테스트 : 분기 1회 실시, 발견 시 즉시 패치
- DDoS 방어 : Cloudflare 등 클라우드 보호 서비스 사용
- 패치 관리 : OS, 애플리케이션, DB 모두 최신 보안 업데이트 유지
4.2 데이터 암호화
- 전송 암호화 : SSL/TLS(HTTPS) 적용, 클라이언트-서버 구간 암호화
- 저장 암호화 : 비밀번호 bcrypt 강력 해시, 결제 정보는 카드번호 대신 토큰 저장
- DB 암호화 : 전화번호·주소 등 민감 필드는 AES-256 암호화
4.3 접근 통제
- 최소 권한 원칙 : 직원은 업무에 필요한 최소한의 권한만 부여, 권한 목록 정기 검토
- 다중 인증(MFA) : 모든 관리자·개발자·제3자 서비스 계정에 MFA 적용
- 로그 감사 : 민감 데이터 접근 기록(누가, 언제, 무엇을) 보관, 최소 1년
4.4 결제 보안
- PCI DSS 기준을 준수하는 제3자 결제 게이트웨이(Kakao Pay, Samsung Pay 등) 사용
- 결제 페이지는 독립 보안 도메인으로 메인 사이트와 분리
5. 인적·조직적 관리
5.1 직원 정보보안 교육
- 신입 직원 필수 교육 및 시험
- 매년 전 직원 대상 보안 인식 교육(피싱 메일 시뮬레이션, 비밀번호 보안, 사회공학 방어 포함)
5.2 비밀 유지 서약
- 모든 직원·계약직·외주 인력은 고객 데이터 및 영업 비밀에 대한 비밀 유지 서약서 서명
5.3 퇴직 관리
- 퇴직 즉시 모든 시스템 접근 권한 철회, 물리적/논리적 접근 증서 회수
6. 제3자 보안 관리
- 모든 제3자 서비스 제공자(물류, 결제, 분석, 클라우드, 광고 플랫폼)는 보안 평가 통과 및 데이터 처리 계약(DPA) 체결
- 제3자의 보안 인증(ISO 27001, PCI DSS, SOC 2 등) 정기 확인 및 보안 사고 보고 요구
- Google Ads/Analytics와 협력 시 Consent Mode v2 등 데이터 보호 모드 활성화, 사용자 동의 시에만 개인화 데이터 전송
7. 보안 사고 대응 절차
| 단계 | 조치 |
|---|---|
| 발견 및 보고 | 직원·시스템이 이상 징후 발견 시 정보보안 책임자에게 즉시 보고 |
| 평가 및 등급 분류 | 보안팀이 심각도(하·중·상·긴급) 평가. 민감 데이터 유출 시 최고 등급 즉시 가동 |
| 차단 및 제거 | 영향을 받은 시스템 격리, 공격 원천 차단, 악성 코드 제거 |
| 복구 | 안전한 백업에서 시스템 복원, 재발 방지 조치 |
| 통지 | 개인정보 유출 발생 시 「개인정보 보호법」에 따라 24시간 내 개인정보보호위원회(PIPC) 신고, 피해자에게 통지 |
| 사후 개선 | 근본 원인 분석, 보안 정책 및 조치 업데이트 |
8. 고객의 권리와 안전 책임
- 고객 권리 : 개인정보보호방침에 따라 열람·정정·삭제·처리 제한 요청 가능
- 안전 사용 권장 사항
9. 정기 검토 및 업데이트
- 본 정보보안 정책은 매년 최소 1회 검토하며, 주요 사업 변경·법규 업데이트·보안 사고 발생 시 수정
- 정책 업데이트 시 웹사이트 공지 및 이메일 안내, 즉시 효력 발생
10. 연락처
정보보안 정책 관련 문의, 제안 또는 보안 취약점 신고는 아래로 연락해 주십시오.
- 이메일:
service@mail.zdwrsa.com
정부 감독 기관:
- 개인정보보호위원회(PIPC): 전화 1339 | 웹사이트 www.pipc.go.kr
- 한국인터넷진흥원(KISA) 사이버침해대응: 전화 118 | 웹사이트 www.kisa.or.kr
