정보 보안 추가 조항

Digital.ai MSA 기간 동안 모든 SOW에 따라 배포되는 소프트웨어 제품에 적용되는 인증을 최소한으로 유지해야 합니다. 현재 인증에 대한 증빙 자료는 고객의 서면 요청 시 제공해야 합니다.

3.5 감사 및 평가.

Digital.ai 연례 규정 준수 감사(ISO/IEC 27001:2022 및 SOC 2 Type II 포함)의 일환으로 포괄적인 보안 평가를 실시합니다.  Digital.ai 또한 고위험 보안 영역에서 내부 운영 평가를 수행합니다. 평가 결과는 지속적인 개선 주기 및 시정 조치 프로그램에 반영됩니다.

4. 데이터 보호 및 암호화

4.1 암호화 표준.

Digital.ai 업계 표준 암호화 제어를 사용하여 저장 및 전송 중인 고객 데이터를 모두 암호화합니다. 암호화 방법은 다음 기준을 충족하거나 초과합니다.

• 전송 중인 모든 데이터에 대해 TLS 1.2(또는 그 이상)를 사용합니다.
• 모든 저장 데이터는 AES-256으로 암호화됩니다.

암호화 키는 규정에 따라 최소한 매년 교체됩니다. Digital.ai's 암호화 정책(POL-INFOSEC-14). 클라우드 호스팅 서비스의 경우 키 관리는 AWS 키 관리 서비스를 통해 수행됩니다.

4.2 데이터 처리 계약.

개인정보 처리는 다음과 같습니다. Digital.ai 다음의 적용을 받습니다. Digital.ai'의 데이터 보호 추가 계약(DPA)은 다음에서 확인할 수 있습니다.  https://digital.ai/data-protection-addendum/ 개인정보 처리와 관련하여 MSA와 DPA 사이에 충돌이 발생하는 경우, DPA가 우선합니다.

4.3 데이터 가용성 및 중복성.

Digital.aiAWS의 클라우드 제품은 지리적으로 분산된 여러 AWS 리전에 걸쳐 고가용성 데이터 센터를 활용하여 장애 발생 시 고객에게 미치는 영향을 최소화하도록 설계되었습니다. Digital.ai의 주요 데이터 호스팅 제공업체는 SOC 2 Type II 및 ISO/IEC 27001:2022 인증을 보유하고 있습니다.

4.4 데이터 백업.

Digital.ai AWS의 기본 기능을 활용하여 각 서비스 인스턴스의 일일 스냅샷을 수집합니다. 백업은 저장 시 암호화되며 지리적으로 다른 리전에 복제됩니다. 백업 무결성은 스테이징 환경에서 연간 복원 테스트를 통해 검증되며, 문제 발생 시 해결 조치가 이루어집니다. 리전 내 백업은 최소 8일 동안, 리전 외 복제본은 최소 3일 동안 보존됩니다.

4.5 데이터 상주.

Digital.ai 고객 데이터는 주로 아마존 웹 서비스(AWS) 인프라 내에서 처리 및 저장됩니다.  Digital.ai의 주요 생산 지역은 다음과 같습니다.

• 미국: AWS us-east-1(버지니아 북부) 및 us-west-2(오리건);
• 유럽 ​​연합: AWS eu-west-1(아일랜드) 및 eu-central-1(프랑크푸르트).

고객은 선호하는 기본 데이터 지역을 지정해야 합니다. Digital.ai계약 체결 시점 또는 그 이전에 사용 가능한 지역에서 고객 데이터가 처리 및 저장됩니다. 서면으로 달리 합의하지 않는 한, 고객 데이터는 지정된 지역 내에서 처리 및 저장되며, 중복성 및 재해 복구 목적으로만 일시적으로 지역 간 복제가 이루어질 수 있습니다.

유럽 ​​경제 지역(EEA) 거주자의 개인 정보에 해당하는 고객 데이터의 경우, EEA 이외 지역으로의 전송 또는 저장 시에는 표준 계약 조항(SCC)이 적용됩니다. Digital.ai해당 데이터 보호법에 따라 적용되는 개인정보 보호법(DPA) 또는 기타 승인된 전송 메커니즘을 통해 전송됩니다.

미국 및 EU 지역 외의 지역에 데이터 상주가 필요한 고객은 별도의 작업 명세서(SOW) 및 해당 라이선스 조건에 따라 온프레미스 배포를 요청할 수 있습니다.

5. 액세스 제어

5.1 최소 권한의 원칙.

고객 데이터 접근은 승인된 사용자만 가능합니다. Digital.ai 인력 배치는 문서화된 직무 책임과 최소 권한 원칙에 따라 이루어집니다. 모든 접근 권한 요청은 문서화된 승인을 받아야 합니다.

5.2 다중 요소 인증.

Digital.ai 기업 네트워크 리소스, 내부 애플리케이션, 클라우드 환경 및 고객 데이터를 처리하는 모든 시스템에 액세스하려면 다단계 인증(MFA/2FA)이 필요합니다.

5.3 접근 권한 부여 및 취소.

Digital.ai 모든 시스템 및 서비스에 대해 명확하게 정의된 접근 권한 부여 및 취소 프로세스를 유지하며, 개별 직무에 맞춰 역할 기반 접근 제어를 사용합니다. 접근 권한은 다음 절차에 따라 검토 및 취소됩니다. Digital.ai'의 접근 제어 정책(POL-INFOSEC-16): 권한 있는 계정 및 시스템 관리자 계정은 해고 또는 역할 변경 시 즉시 제거됩니다. 기타 모든 계정은 직원 퇴사 또는 역할 변경 후 24시간 이내에 비활성화됩니다.

5.4 무단 접근.

고객 데이터를 처리하는 시스템에 대한 무단 접근 시도는 보안 사고로 간주되어 다음과 같은 조치를 통해 관리됩니다. Digital.ai본 추가 문서의 9절에 설명된 바와 같은 사고 대응 프로세스.

6. 네트워크 및 인프라 보안

6.1 계층형 네트워크 아키텍처.

Digital.ai 클라우드 환경 전반에 걸쳐 계층형 네트워크 보안 접근 방식을 구현하고, 각 계층에 제어 기능을 적용합니다. 인프라는 영역, 환경 및 서비스로 구분됩니다. 프로덕션 환경과 비프로덕션 환경을 분리하여 수평적 연결을 제한합니다.

6.2 침입 탐지.

Digital.ai 잠재적인 침해를 감지하기 위해 사무실 네트워크와 운영 네트워크 모두에 침입 탐지 기능을 구현했습니다. 경고는 사고 대응 프로세스를 통해 분류 및 에스컬레이션됩니다.

6.3 엔드포인트 보안.

모든 장치가 연결됩니다 Digital.ai네트워크는 엔드포인트 관리 제어를 통해 시행되는 최소 보안 요구 사항을 충족해야 하며, 여기에는 다음이 포함됩니다.

• 전체 디스크 암호화;
• 기기 잠금 및 화면 잠금 정책;
• 악성코드 방지 소프트웨어; 및
• 승인되고 최신 버전의 운영 체제 및 패치가 설치되어 있습니다.

6.4 구성 관리.

Digital.ai 모든 운영 시스템에 대한 최신 기준 구성(baseline configuration)을 유지 관리합니다. 기준 구성은 최소한 연 1회 또는 업그레이드나 중요한 변경 사항이 발생할 때마다 검토 및 업데이트됩니다. 이전 구성은 롤백을 지원하기 위해 보존됩니다. 기준 구성에 대한 모든 변경 사항은 다음 절차를 따라야 합니다. Digital.ai의 표준 변경 관리 프로세스입니다.

6.5 로깅 및 모니터링.

Digital.ai 중앙 집중식 로깅 및 모니터링을 사용하여 운영 시스템의 로그를 집계하고, 모니터링 규칙을 적용하고, 의심스러운 활동을 표시합니다. 로그는 관련 규정에 따라 보존됩니다. Digital.ai내부 보존 정책에 따라 모니터링 알림은 분류, 조사 및 사고 대응 프로세스를 통해 상위 담당자에게 전달됩니다.

7. 변경 관리

7.1 동료 평가.

각각의 변경 사항은 Digital.ai배포 전에 코드베이스 또는 인프라(코드 변경 및 인프라 수정 사항 포함)는 잠재적인 문제를 식별하기 위해 한 명 이상의 자격을 갖춘 동료의 검토를 받습니다.

7.2 CI/CD 파이프라인.

보안 수정 및 취약점 해결 Digital.ai'의 클라우드 제품은 다음과 통합됩니다. Digital.ai철저한 테스트와 검증을 거친 지속적 통합 및 지속적 배포(CI/CD) 파이프라인입니다.

8. 취약점 관리

8.1 연속 스캔.

Digital.ai 자사 제품 및 인프라 전반에 걸쳐 취약점 탐지 도구를 지속적으로 운영합니다. 스캔에는 네트워크 스캔, 컨테이너 이미지 스캔, 오픈 소스 종속성 스캔 및 AWS 구성 모니터링이 포함됩니다.

8.2 내부 보안 검토.

Digital.ai 정기적인 내부 보안 검토 프로그램을 운영하며, 여기에는 내부 감사, 평가 및 보안 테스트가 포함됩니다. 고객에게 배포하기 전에 취약점을 식별하고 해결하기 위해 수동 및 도구 지원 방식의 코드 검토를 실시합니다.

8.3 침투 테스트.

Digital.ai 매년 독립적인 제3자에게 침투 테스트를 의뢰합니다. 모든 결과는 검토, 우선순위 지정 및 시정 조치 완료까지 추적 관리됩니다. 서면 요청 시, Digital.ai 고객에게 연간 침투 테스트가 완료되었고 중대한 문제점이 시정되었음을 확인하는 요약 침투 테스트 보고서 또는 확인서를 제공해야 합니다.

8.4 취약점 해결.

Digital.ai취약점 관리 프로그램은 취약점 식별을 내부 티켓팅 및 에스컬레이션 시스템과 통합합니다. 식별된 취약점은 심각도 및 잠재적 영향에 따라 우선순위가 지정된 위험 기반 해결 일정에 따라 해결됩니다. Digital.ai정보보안 기술 취약점 관리 정책(POL-INFOSEC-11)에 따라, 심각도별 최대 해결 기간은 다음과 같습니다. 심각 – 7일(달력일 기준), 높음 – 30일(달력일 기준), 보통 – 90일(달력일 기준), 낮음 – 180일(달력일 기준). 패치를 사용할 수 없는 경우, 보완 조치가 구현되고 문서화될 것입니다.

9. 사고 대응 및 침해 알림

9.1 사고 대응 프레임워크.

Digital.ai NIST SP 800-61에 부합하는 체계적인 사고 대응 프로세스를 따릅니다. 모든 보안 이벤트는 탐지 즉시 분류되어 심각도와 영향도에 따라 등급이 지정됩니다. 확인된 보안 사고는 전담 사이버 보안 사고 대응팀에서 조사, 차단, 복구 및 문서화합니다.

9.2 탐지 및 모니터링.

Digital.ai당사의 사고 대응 프로그램에는 잠재적인 보안 사고를 신속하게 감지할 수 있도록 제품 및 인프라에 대한 포괄적인 로깅 및 모니터링이 포함됩니다.

9.3 고객 알림.

고객 데이터와 관련된 보안 사고가 확인된 경우, Digital.ai 고객에게 다음과 같이 통지해야 합니다:

• 지체 없이, 그리고 어떠한 경우에도 72시간 이내에 Digital.ai 보안 사고 발생 사실을 최초로 인지한 시점은 고객이 지정한 보안 담당자에게 서면으로 통지하는 시점입니다.
• 그 후 합리적으로 가능한 한 빨리(그리고 어떠한 경우에도 최초 통지 후 48시간 이내에) 다음 정보를 포함하여: (a) 보안 사고의 성격 및 원인에 대한 설명; (b) 영향을 받은 고객 데이터의 범주 및 대략적인 양; 및 (c) 보안 사고를 억제, 조사 및 복구하기 위해 취해졌거나 제안된 조치.

9.4 협력.

Digital.ai (a) 보안 사고를 억제하고 해결하기 위해 필요한 모든 조치를 신속하게 취해야 하며, (b) 보안 사고와 관련된 모든 정보 및 증거에 대한 완전한 기록을 유지해야 하고, (c) 보안 사고의 억제, 조사 및 해결과 관련하여 고객과 협력하고 고객이 합리적으로 요구할 수 있는 지원을 제공해야 합니다.

9.5 규제 관련 정보 공개.

본 추가 조항의 어떠한 내용도 이를 방해하지 않습니다. Digital.ai 관련 법률 또는 규정에 따라 요구되는 정보 공개를 하지 않는 경우. Digital.ai 법률에 따라 고객 데이터에 영향을 미치는 보안 사고에 대해 공개 성명이나 규제 기관 통지를 해야 합니다. Digital.ai 법률이 허용하는 범위 내에서, 그러한 정보를 공개하기 전에 고객과 협의하기 위해 합리적인 노력을 기울여야 합니다.

10. 비즈니스 연속성 및 재해 복구

10.1 BC/DR 프로그램.

Digital.ai 본 회사는 장애 발생 시 고객에게 미치는 영향을 최소화하기 위해 비즈니스 연속성 및 재해 복구(BC/DR) 기능을 유지합니다. 이 프로그램은 전담 인력과 팀의 지원을 받으며, 지속적인 개선이 이루어지고 정기적인 테스트를 거칩니다.

10.2 서비스 이용 가능성.

Digital.ai 해당 작업명세서(SOW)에 명시된 서비스 수준 계약 및 서비스 수준 목표("SLA/SLO")를 충족하기 위해 상업적으로 합리적인 노력을 기울여야 합니다.

해당 작업명세서(SOW)에 대체 목표가 명시되어 있지 않은 경우, Digital.ai 클라우드 호스팅 소프트웨어 제품에 대해 다음과 같은 서비스 가용성 및 복구 목표를 준수합니다.

• 월간 가동률 목표: 99.5% (예정된 유지보수 시간 제외, 고객에게 최소 48시간 전에 사전 고지).
• 복구 시간 목표(RTO): Digital.ai 재해 발생 선언 후 24시간 이내, 테스트 시설 손실 발생 시 168시간 이내에 영향을 받는 클라우드 서비스를 복구하는 것을 목표로 합니다.
• 복구 지점 목표(RPO): Digital.ai 클라우드에 저장된 고객 데이터의 최대 데이터 손실 허용 시간을 24시간으로 제한하는 것을 목표로 합니다.

온프레미스 배포는 이러한 목표에 포함되지 않습니다.

어디에 Digital.ai 월별 가동 시간 목표를 달성하지 못하는 경우, 고객의 유일한 구제책은 해당 작업 명세서(SOW) 또는 서비스 수준 계약(SLA) 일정에 명시된 서비스 크레딧입니다.

11. 제XNUMX자 위험 관리

11.1 공급업체 평가.

당사가 계약한 모든 제3자 공급업체, 계약업체 및 클라우드 서비스 제공업체 Digital.ai 서비스 제공과 관련하여 공급업체는 철저한 공급업체 위험 평가를 거쳐야 합니다. Digital.ai계약 체결 전 정보 보안 및 규정 준수 팀.

11.2 지속적인 실사.

제3자 공급업체에 대한 지속적인 실사 검토는 계약 갱신 시 또는 계약 위험 수준에 따라 매년 실시됩니다. 공급업체 계약에는 계약 위험 수준에 적합한 보안 및 기밀 유지 요건이 포함됩니다.

11.3 서브프로세서.

Digital.ai주요 인프라 제공업체는 SOC 2 Type II 및 ISO/IEC 27001:2022 인증을 보유한 Amazon Web Services(AWS)입니다. 현재 목록은 다음과 같습니다. Digital.ai's의 재료 하위 처리기는 다음을 통해 이용 가능합니다. Digital.ai'의 DPA 및/또는 Digital.ai의 데이터 보호 FAQ.

Digital.ai 신규 자재 하위 처리업체를 추가하거나 고객 데이터를 처리하는 기존 자재 하위 처리업체를 교체하기 최소 30일 전에 게시된 하위 처리업체 목록을 업데이트하여 고객에게 통지해야 합니다. 이러한 통지에는 하위 처리업체, 위치 및 수행하는 처리의 성격이 명시되어야 합니다.

고객은 합리적인 데이터 보호 사유가 있는 경우 서면 통지를 통해 새로운 또는 교체된 하위 처리자에 대해 이의를 제기할 수 있습니다. Digital.ai 수령일로부터 15일 이내에 Digital.ai알림.  Digital.ai 당사는 고객의 이의 제기를 수용하기 위해 합리적인 노력을 기울여야 하며, 여기에는 (a) 고객이 수용할 수 있는 대체 하위 처리업체를 확보하거나 (b) 고객에게 해당 서비스에서 다른 서비스로 전환할 기회를 제공하는 것이 포함될 수 있습니다. 고객의 이의 제기 자체만으로는 MSA에 따른 계약 해지 권리가 발생하지 않습니다.

12. 인력 및 보안 인식

12.1 내부 통제.

Digital.ai당사의 ISMS에는 고객 데이터에 접근 권한이 있는 직원 및 계약자의 행동을 규율하는 인력 관련 보안 통제가 포함되어 있습니다. Digital.ai의 생산 시스템.

12.2 보안 인식 교육.

전부의 Digital.ai 고객 데이터에 접근 권한이 있는 직원 및 계약자 또는 Digital.ai당사의 운영 시스템 사용자는 신규 직원 온보딩 시 및 이후 매년 보안 인식 교육을 이수해야 합니다. 교육 내용은 정보 보안 정책, 허용 가능한 사용 범위, 데이터 처리, 사고 보고 및 역할별 보안 책임에 대한 내용을 포함합니다. 서면 요청 시, Digital.ai 고객에게 소프트웨어 인스턴스에 접근 권한이 있는 담당자가 지난 12개월 이내에 필수 교육을 완료했음을 서면으로 확인해 주어야 합니다.

13. 감사 및 보고 권한

13.1 인증 증거.

서면 요청 시, Digital.ai 당사는 고객에게 납품일로부터 최소 18개월 이전에 작성된 관련 규정 준수 인증서, SOC 2 Type II 보고서 또는 이에 상응하는 제3자 감사 보고서 사본을 무상으로 제공해야 합니다. SOC 2 보고서는 상호 합의된 기밀 유지 약정에 따라 제공됩니다.

13.2 평가 및 설문지.

Digital.ai 당사는 양 당사자가 합의한 기간 내에 고객이 제출하는 합리적인 보안 질문 및 실사 요청에 성실하게 응답해야 합니다.

14. 인공지능 및 데이터 사용 제한

14.1 공개 AI 도구 사용 금지.

Digital.ai 당사는 고객의 사전 서면 동의 없이 공개적으로 이용 가능한 인공지능, 머신러닝 또는 대규모 언어 모델 도구나 서비스(제3자 생성형 AI 서비스 포함)를 통해 고객의 기밀 데이터 또는 개인 정보를 입력, 제출 또는 처리해서는 안 됩니다.

14.2 내부 AI 거버넌스.

Digital.ai서비스 제공과 관련하여 당사가 인공지능 또는 머신러닝 도구를 사용하는 것은 다음 사항의 적용을 받습니다. Digital.ai당사의 내부 AI 관리 정책은 고객이 서면으로 요청할 경우 제공될 것입니다.

14.3 고객 데이터를 AI 또는 ML 모델 학습에 사용하지 않습니다.

Digital.ai 당사는 고객의 소프트웨어 또는 서비스 사용으로부터 파생된 데이터를 포함하여 고객 데이터를 사용하여 인공지능 또는 머신러닝 모델을 학습, 미세 조정, 벤치마킹, 평가 또는 기타 방식으로 개선해서는 안 됩니다. Digital.ai당사 자체 모델 또는 제3자의 모델을 고객의 사전 서면 동의 없이 사용할 수 없습니다.

의심의 소지를 없애기위한:

• 입력값 및 그 결과로 얻은 통찰력 Digital.ai'의 AI 기능은 고객 데이터에 해당하며 이러한 제한 사항이 적용됩니다.
• 완전히 집계되고 익명화되어 합리적으로 고객 데이터를 다시 식별할 수 없는 제품 사용 원격 측정 데이터는 이 조항의 목적상 고객 데이터로 간주되지 않습니다.
• Digital.ai서비스 제공을 위한 내부 AI 도구 사용(예: RFX 응답 생성, 내부 생산성 도구)은 다음 사항에 따라 허용됩니다. Digital.ai해당 도구에서 처리된 고객 데이터가 모델 학습에 사용되지 않는다는 조건 하에, 당사의 AI 거버넌스 정책을 준수합니다.

15. 일반 조항

15.1 보안 프로그램 업데이트.

Digital.ai MSA 기간 동안 고객 데이터에 제공되는 전반적인 보안 보호 수준을 실질적으로 저하시켜서는 안 됩니다.  Digital.ai 당사는 고객 데이터의 보안에 부정적인 영향을 미칠 가능성이 있는 ISMS의 중대한 변경 사항이 있을 경우 고객에게 서면으로 통지해야 합니다.

15.2 MSA와의 관계.

본 추가 계약서는 MSA를 보완하며 MSA에 통합됩니다. 본 추가 계약서에서 명시적으로 수정된 사항을 제외하고, MSA의 모든 조항은 완전한 효력을 유지합니다. 보안 관련 사항에 있어 본 추가 계약서와 MSA 사이에 충돌이 있는 경우, 본 추가 계약서가 우선합니다.

15.3 생존.

제9조(사고 대응 및 침해 통지) 및 제4.2조(데이터 처리 계약)에 명시된 의무는 MSA의 만료 또는 종료 후 3년 동안 존속합니다.