보안 정책

이것은 Estimojo의 파트너 보안 정책입니다. 앱은 Atlassian Forge 위에 구축되어 귀하의 Atlassian Cloud 사이트 안에서만 실행되고, 외부 전송 권한을 전혀 요청하지 않으며, Bomdisoft는 귀하의 데이터를 받거나 저장하는 어떤 서버도 운영하지 않습니다. 이 페이지는 앱과 그것을 만들고 배포하는 과정을 어떻게 보호하는지 설명합니다.

아키텍처와 호스팅

Estimojo의 모든 코드는 Atlassian의 Forge 런타임 안, 즉 귀하의 Jira 사이트 안에서 실행됩니다. 데이터는 Atlassian 인프라의 Forge Key-Value Storage에 있으며, 전송 중과 저장 시 모두 Atlassian이 암호화합니다. Bomdisoft는 고객 데이터에 접근하는 서버, 데이터베이스, 서드파티 서비스를 운영하지 않습니다. 이 웹사이트는 별도의 마케팅 사이트이며 고객 데이터를 보유하지 않습니다.

플랫폼별 세부 정보

Estimojo는 실행되는 플랫폼마다 데이터를 다르게 저장합니다. 어느 것을 사용하든, Estimojo가 지원하는 모든 플랫폼을 여기에 정리했습니다.

데이터 보안과 테넌트 격리

Forge 저장소는 설치 단위로 범위가 지정되어, 각 고객 사이트는 플랫폼 자체에 의해 격리됩니다. Bomdisoft에는 귀하 사이트의 데이터를 읽을 수단이 없습니다: 관리자 백도어도, 텔레메트리도, Atlassian 밖의 복사본도 없습니다. 무엇이 저장되고 어떻게 삭제되는지는 개인정보 처리방침에 문서화되어 있습니다.

개인정보 처리방침 →

접근 제어

Atlassian 개발자 콘솔과 CI 파이프라인을 통한 앱 배포와 관리는 다중 인증이 적용된 계정을 가진 지정된 Bomdisoft 엔지니어로 제한됩니다. 릴리스는 오직 그 파이프라인을 통해서만 프로덕션에 도달하며, Bomdisoft의 누구도 고객 사이트나 데이터에 상시 접근 권한을 갖지 않습니다.

안전한 개발

모든 변경은 버전 관리되며, 배포 전 CI에서 자동 타입 검사, 정적 분석, 전체 테스트 스위트를 통과해야 합니다. 의존성은 락파일로 고정됩니다. 릴리스는 프로덕션 전에 별도의 개발과 스테이징 환경을 거칩니다.

취약점 관리

의존성은 지속적으로 스캔됩니다: Snyk가 릴리스로 향하는 변경을 분석하고, Dependabot이 월 단위로 업데이트를 제안하며, 보안 권고도 모니터링합니다. 각 호스트 플랫폼이 자체 런타임을 패치합니다. 취약점을 확인하면 다음을 목표로 합니다:

• 심각(Critical): 7일 이내 수정 또는 완화.
• 높음(High): 30일 이내 수정.
• 중간·낮음(Medium/Low): 90일 이내 또는 다음 정기 릴리스에서 수정.

보안 사고

보안 사고를 인지하면 분류하고 억제한 뒤 근본 원인을 조사하고 사후 검토로 마무리합니다. 데이터가 영향을 받은 고객에게는 부당한 지체 없이, 사고 확인 후 늦어도 72시간 안에 무슨 일이 있었고 무엇을 하고 있는지와 함께 알립니다. 플랫폼 수준의 사고는 Atlassian과 공조하여 처리합니다.

취약점 신고

무언가 발견하셨나요? 제목에 "Security"를 넣어 support@bomdisoft.com로 이메일을 보내주시면 영업일 2일 안에 접수를 확인해 드립니다. 선의의 연구를 환영하며 책임감 있게 신고하는 연구자를 문제 삼지 않습니다. 본인 소유가 아닌 데이터에는 접근하지 말아 주시고, 공개 전에 수정할 합리적인 시간을 주시기 바랍니다.

공동 책임

Atlassian은 Forge 플랫폼을 보호합니다: 인프라, 런타임 샌드박스, 저장소, 암호화가 자체 보안 프로그램 아래 있습니다. Bomdisoft는 우리가 통제하는 것을 보호합니다: 앱의 코드, 권한, 그리고 빌드와 배포 과정입니다. 제로 이그레스 설계가 이 둘을 묶어 귀하의 데이터가 사이트를 떠나지 않게 합니다.

문의

이 방침에 대한 질문이 있으신가요? support@bomdisoft.com로 이메일을 보내주세요.