Workday 보안
고객 데이터를 보호하는 방법
Workday는 고객 데이터를 보호하고 정보를 투명하게 전달하기 위해 최선을 다하고 있습니다. 또한 고객의 데이터, 어플리케이션 및 인프라가 안전하게 유지되도록 Workday 직원, 프로세스 및 기술에 관해 엄격한 조치를 하고 있습니다.
고객
Workday 고객은 Workday에 입력한 데이터와 모든 설정 및 구성을 완전하게 제어할 수 있습니다. Workday는 교육, 전문 지원, 상세한 설명서, 시기적절한 커뮤니케이션, 커뮤니티를 제공하여 고객이 데이터를 보호하고 강력한 Workday 보안 도구를 제대로 활용할 수 있도록 지원합니다.
“Workday를 통해 262개의 시스템을 몇 개의 핵심 어플리케이션으로 줄이는 동시에 보안을 강화하고, 새로운 기능을 확보했으며, 혁신을 적극 추진할 수 있었습니다.”
- 최고정보책임자(CIO)
상시 보호를 위한 프로세스
고객의 데이터를 상시 보호하기 위해 Workday는 데이터 센터, 네트워크 및 어플리케이션에 관한 상세한 운영 정책, 절차 및 프로세스를 마련했습니다.
Workday 어플리케이션을 호스팅하는 첨단 데이터 센터는 완전히 이중화된 서브시스템 및 상호 격리된 보안 구역으로 구성되었습니다. 이 데이터 센터에서는 가장 엄격한 물리적/환경적 보안 조치를 적용합니다. 시설의 중요 인프라에 접근하려면 여러 단계의 인증을 거쳐야 합니다.
중요한 내부 및 외부 진입 지점에는 카메라 감시 시스템이 있으며 보안 담당자가 연중무휴 24시간 데이터 센터를 모니터링합니다. 데이터 센터는 화재 진압, 전력 관리, 난방, 환기 및 에어컨 등을 최소 N+1 다중 구성으로 설정하는 환경적 다중 보호 수단 및 백업 전원 관리 시스템을 구축했습니다.
Workday 네트워크는 고객 환경의 변칙적인 네트워크 패턴과 계층 및 서비스 간의 트래픽을 모니터링하는 경계 방어, 위협 방지, 위협 감지 도구와 같은 입증된 정책, 절차 및 프로세스를 통해 보호됩니다. 연중무휴 24시간 상시 가동되는 글로벌 보안 운영 센터도 있습니다.
제3자 전문가의 다양한 외부 취약성 평가를 통해 방화벽, 라우터, 웹 서버 등을 포함한 모든 인터넷 연결 자산을 검사하여 무단 액세스를 방지합니다. 또한, 내부적으로도 네트워크 및 시스템에 대해 공인된 취약점 평가를 수행하여 잠재적 약점 및 종합 시스템 보안 정책에 위배되는 사항을 파악합니다.
어플리케이션 개발, 테스트 및 배포 프로세스의 모든 단계는 제품의 보안을 보장하도록 설계되었습니다. Workday 제품 및 기술 팀은 엔터프라이즈 SSDLC(보안 소프트웨어 개발 라이프사이클) 및 DevSecOps 책임 절차를 따르고 있습니다. 이러한 개발 프로세스에는 심층적인 보안 위험 정밀 평가와 Workday 기능 검토가 포함됩니다. 정적 및 동적 소스 코드 분석을 통해 개발 라이프사이클에 엔터프라이즈 보안을 통합합니다. 개발자를 위한 어플리케이션 보안 교육 및 어플리케이션 침투 테스트로 개발 프로세스를 보강합니다.
주요 릴리스의 출시에 앞서 항상 최고의 타사 보안 업체를 고용하여 Workday 웹 및 모바일 어플리케이션을 대상으로 어플리케이션 차원의 보안을 평가하여 잠재적인 취약성을 확인합니다. 타사 보안 업체는 절차에 따라 테스트를 진행하면서 표준 및 고급 웹 어플리케이션의 보안 취약성을 밝혀냅니다.
보안을 고려해 설계된 기술
아키텍처에서 어플리케이션에 이르기까지, Workday 기술은 고객의 데이터 보안을 최우선 순위에 두며 대부분의 위험 회피를 포함하여 모든 고객의 보안 요건을 이행하도록 구성 가능한 도구를 제공합니다.
Workday는 강력한 암호화 기술을 사용하여 저장 상태이거나 전송 중인 고객 데이터를 보호합니다. Workday는 AES(Advanced Encryption Standard) 알고리즘과 256비트 키를 사용하여 모든 데이터를 암호화하여 저장합니다.
TLS(Transport Layer Security)로 인터넷을 통한 사용자 액세스를 보호하면서 네트워크 트래픽에 대한 수동적인 도청, 적극적인 변조, 메시지 위조 시도를 차단합니다. 파일 기반 통합은 PGP 방식으로, 즉 Workday에서 생성한 공개 키/개인 키 쌍과 고객이 생성한 인증서를 사용하여 암호화할 수 있습니다. Workday API와의 웹 서비스 통합을 위해 WS-Security도 지원됩니다.
Workday KMS(키 관리 서비스)에는 저장 상태인 고객 데이터의 암호화와 해독에 사용되는 암호화 키의 전체 라이프사이클 관리가 포함됩니다. 고객은 루트 암호화 키를 완전하게 제어하는 BYOK(Bring Your Own Key) 기능을 구현할 수도 있습니다.
Workday는 사용자가 Workday 테넌트를 사용하는 방식에 관한 매우 다양한 리포트를 감사인과 관리자에게 제공합니다. 감사 추적, 사용자 활동 로그 및 로그온 리포트는 Workday 고객 및 감사인이 가장 많이 사용하는 리포트입니다. Workday를 사용하면 모든 비즈니스 트랜잭션을 모니터링하고 과거 데이터 및 구성 변경 사항을 쉽게 확인할 수 있습니다.
인증
Workday는 플랫폼에 액세스하는 모든 사용자 또는 시스템을 인증합니다. Workday를 사용하는 고객은 Workday 내에서 최종 사용자 ID를 만들거나 Active Directory와 같은 외부 시스템의 ID를 Workday에 통합할 수 있습니다. Workday 보안 액세스는 역할을 기반으로 하며, 사용자 및 웹 서비스 통합에 SSO(싱글 사인온) 및 x509 인증서 인증을 사용하도록 SAML을 지원합니다.
SSO(싱글 사인온) 지원
SAML을 사용하여 고객사 내부 웹 포털과 Workday의 완전한 SSO 경험을 구현할 수 있습니다. Workday는 OIDC(OpenID Connect)도 지원합니다.
Workday 기본 로그인
Workday 엔터프라이즈 제품의 기본 로그인은 비밀번호를 그대로 저장하지 않고 반드시 보안 해시 형식으로 저장합니다. 로그인 시도 실패와 성공한 로그인/로그아웃 활동은 감사를 위해 기록됩니다. 일정 기간 사용자의 활동이 없으면 해당 사용자 세션은 자동으로 만료되며, 이 기간은 사용자가 직접 구성할 수 있습니다.
고객은 비밀번호의 길이, 복잡성, 만료 시점, 비밀번호가 기억나지 않을 때를 위한 힌트 질문 등을 포함하는 규칙에 따라 비밀번호를 만들 수 있습니다.
구성 가능한 보안
고객의 Workday 보안 관리자가 고객 테넌트에서 사용자가 액세스하는 데이터와 사용자가 수행하는 작업을 제어할 수 있습니다. 역할, 시큐리티 그룹 및 비즈니스 프로세스 구성과 같은 도구를 사용하여 관리자가 회사의 보안 정책을 구현하고 확장에 따라 업데이트할 수 있습니다.