보안 가이드#

Mattermost는 모바일 애플리케이션의 정보를 보호하기 위한 포괄적인 보안 기능 세트를 제공합니다. 암호화와 인증부터 기기 관리 및 사용자 교육에 이르기까지 이러한 기능은 팀 협업과 커뮤니케이션을 위한 안전한 환경을 제공합니다. 보안을 최우선으로 함으로써 Mattermost는 고객이 모바일 애플리케이션이 데이터와 개인정보를 안전하게 보호할 수 있다고 신뢰할 수 있도록 보장합니다.

전송 중 데이터 암호화#

Mattermost는 네트워크를 통해 전송되는 데이터를 암호화하기 위해 Transport Layer Security(TLS)를 사용하도록 구성할 수 있습니다. TLS는 데이터 교환을 위한 안전한 채널을 제공하여 전송 중 도청 및 변조로부터 보호합니다. 이 암호화는 의도된 수신자만 콘텐츠에 접근할 수 있도록 하여, 권한이 없는 당사자가 정보를 가로채거나 읽는 것을 방지합니다.

개인 및 공용 네트워크에 대한 액세스 설정을 구성하려는 Mattermost 관리자는 리버스 프록시 를 사용하여 타사 인프라로 이를 수행할 수 있습니다. 이를 통해 보안 네트워크에 연결된 기기는 신뢰할 수 없는 네트워크의 액세스를 제한하면서 안전하게 애플리케이션에 접근할 수 있습니다. Mattermost 전송 중 데이터 암호화 에 대해 자세히 알아보세요.

저장 데이터 암호화#

저장 데이터 암호화는 Mattermost 데이터베이스와 파일 저장소에 저장된 메시지, 파일 및 기타 데이터가 물리적 저장 매체(예: 디스크)의 데이터를 암호화하여 보호함으로써 권한이 없는 접근으로부터 보호되도록 합니다. 적절한 암호화 키 없이는 접근할 수 없게 만듭니다. Mattermost 저장 데이터 암호화 에 대해 자세히 알아보세요.

사용자가 오픈 소스 옵션을 사용하지 않기로 선택할 경우, Amazon S3 관리형 키 를 사용한 서버 측 암호화로 Amazon의 독점 S3 시스템에 저장된 파일에도 저장 데이터 암호화를 사용할 수 있습니다(Mattermost Enterprise).

암호화 키를 정기적으로 교체하고 도구를 사용하여 안전하게 저장하며, 암호화된 데이터에 대한 접근을 위한 로깅 및 모니터링을 활성화하고, 백업 데이터가 암호화되도록 하는 것을 강력히 권장합니다.

인증 및 접근 제어#

싱글 사인온(SSO)#

모바일 애플리케이션은 싱글 사인온 제공업체와 통합되어 사용자가 다른 신뢰할 수 있는 시스템의 기존 자격 증명을 사용하여 인증할 수 있게 합니다. 이는 비밀번호 관련 보안 침해 위험을 줄이고 로그인 프로세스를 간소화합니다. Mattermost SSO 에 대해 자세히 알아보세요.

다중 인증(MFA)#

사용자 이름과 비밀번호 외에 추가적인 보안 계층입니다. 고객은 MFA를 활성화하고 적용 하여 로그인 자격 증명이 손상되더라도 계정을 무단 접근으로부터 보호할 수 있습니다.

사용자 비밀번호 요구사항#

시스템 관리자는 플랫폼을 일반적인 공격 벡터로부터 보호하면서 사용성과 기업 보안 정책 준수를 유지하도록 사용자 비밀번호 설정을 구성할 수 있습니다:

  • 더 긴 비밀번호를 적용하면 모든 사용자의 자격 증명에 대한 기본 수준의 강도를 보장합니다. 최소 비밀번호 길이 구성에 대해 자세히 알아보세요.

  • 문자 복잡성 적용은 사전 공격과 일반적인 비밀번호 취약점에 저항하는 비밀번호를 적용하여 약하거나 너무 단순한 비밀번호를 악용하는 공격자로부터 보호합니다. 비밀번호 요구사항 구성에 대해 자세히 알아보세요.

  • 계정을 일시적으로 또는 영구적으로 잠그기 전에 실패한 인증 시도 횟수를 제한하면 공격자가 잠재적인 조합을 반복적으로 입력하여 비밀번호를 추측하는 무차별 대입 공격을 완화할 수 있습니다. 최대 로그인 시도 횟수 구성에 대해 자세히 알아보세요.

  • 비밀번호 찾기 흐름을 활성화하면 사용자가 필요할 때 비밀번호를 재설정할 수 있으면서도 합법적인 자격 증명 손실로 인해 계정이 잠기는 것을 방지하여 편의성을 추가합니다. 비밀번호 재설정 워크플로우 활성화 에 대해 자세히 알아보세요.

세션 관리#

시스템 관리자는 세션 길이, 세션 캐시 및 유휴 시간 초과를 포함한 세션 관리 설정을 구성하여 사용자 세션이 효과적이고 안전하게 관리되도록 할 수 있습니다. Mattermost는 각 로그인마다 새로운 세션 쿠키를 설정하므로 세션 고정 공격이 완화됩니다. 세션 관리 구성 설정 에 대해 자세히 알아보세요.

무차별 대입 공격 방지#

시스템 관리자는 쿼리 빈도, 메모리 저장소 크기, 원격 주소 및 헤더를 기반으로 Mattermost API를 속도 제한 할 수 있습니다.

원격 세션 취소 및 비밀번호 재설정#

시스템 관리자는 웹, 모바일 기기 및 데스크톱 앱에서 사용자 세션을 원격으로 취소 할 수 있습니다. 보안을 강화하기 위해 사용자 비밀번호를 원격으로 재설정 할 수 있습니다.

관리자는 세션 길이 를 정의하고 사용자 세션 취소 를 통해 지정된 시간 후에 재로그인을 강제하여 사용자가 즉시 시스템에 다시 로그인하도록 할 수 있습니다.

역할 기반 액세스 제어(ABAC)#

관리자는 애플리케이션 내의 민감한 정보에 대한 접근을 제어하기 위해 세분화된 권한을 설정할 수 있습니다. 이 기능은 사용자가 자신의 역할에 필요한 데이터에만 접근할 수 있도록 하여 의도적이거나 우발적인 데이터 노출의 위험을 최소화합니다. Mattermost 역할 기반 액세스 제어 에 대해 자세히 알아보세요.

교차 출처 요청 제어#

향상된 제어를 위해 교차 출처 요청 을 제한하거나 활성화할지 선택하세요.

LLM 컨텍스트 관리#

Mattermost Copilot은 Mattermost에서 정확한 응답을 생성하기 위해 필요한 정보만 대규모 언어 모델(LLM)에 전송되도록 설계되었습니다. Mattermost Copilot이 LLM 컨텍스트를 관리하는 방법 과 데이터 개인정보 보호를 보장하는 방법에 대해 알아보세요.

감사 로그 및 모니터링#

Mattermost는 콘솔과 로그 파일 모두에 기계가 읽을 수 있는 JSON 형식으로 로그를 기록합니다. 상업용 고객은 추가로 syslog 및 TCP 소켓 대상에 직접 로깅할 수 있습니다. Mattermost 로깅 에 대해 자세히 알아보세요.

활동 모니터링#

Mattermost는 업로드된 모든 파일과 함께 편집 및 삭제를 포함한 메시지의 전체 기록을 저장합니다. 메시지와 채널을 삭제하는 사용자 인터페이스 작업은 사용자 인터페이스에서만 데이터를 제거하며, 데이터는 데이터베이스 내에 보관됩니다. 규정 준수 지침이 요구하는 경우 사용자가 게시 후 메시지를 편집하고 삭제하는 기능을 비활성화할 수 있습니다. Mattermost 권한 에 대해 자세히 알아보세요.

Mattermost 모바일 앱은 사용자 활동과 시스템 이벤트를 기록하는 감사 로그를 생성합니다. 이러한 로그를 통해 관리자는 접근을 모니터링하고 잠재적인 보안 위협을 식별하여 의심스러운 행동을 적시에 감지하고 대응할 수 있습니다.

정기적인 보안 업데이트#

패치 관리#

Mattermost는 취약점을 해결하고 애플리케이션의 보안 상태를 향상시키기 위해 정기적으로 보안 업데이트를 출시합니다. 사용자는 최신 보안 개선 사항의 이점을 얻기 위해 모바일 애플리케이션을 최신 상태로 유지하는 것이 권장됩니다. Mattermost 릴리스 및 릴리스 수명 주기 에 대해 자세히 알아보세요.

커뮤니티 및 전문가 기여#

오픈 코어 플랫폼으로서 Mattermost는 보안 커뮤니티와 전문가들의 기여로부터 이점을 얻습니다. 이러한 기여는 잠재적인 보안 위험을 식별하고 완화하여 모바일 애플리케이션이 견고하고 안전하게 유지되도록 합니다. Mattermost에 기여하기 에 대해 자세히 알아보세요.

HIPAA 규정 준수*#

HIPAA 규정을 준수하는 IT 인프라의 일부로 Mattermost를 배포하려면 HIPAA 규정 준수 요구사항 및 표준 에 대해 교육받은 배포 팀이 필요합니다.

HIPAA 규정을 준수하는 배포는 일반적으로 다음 사항을 고려합니다:

  • 모바일 푸시 및 이메일 알림에서 메시지 내용 생략:

    • 푸시 알림 내용 옵션이 전체 메시지 스니펫 전송 으로 설정되어 있으면 메시지에 포함된 개인 건강 정보(PHI)가 사용자의 잠긴 휴대폰에 알림으로 표시될 수 있습니다. 이를 방지하려면 사용자 및 채널 이름이 포함된 일반 설명 전송 또는 발신자 이름만 포함된 일반 설명 전송 옵션으로 설정하세요.

    • 이메일 알림 내용 을 발신자 이름만 포함된 일반 설명 전송 으로 설정하면 팀 이름과 메시지를 보낸 사람의 이름만 전송되며, 이메일 알림에는 채널 이름이나 메시지 내용에 대한 정보가 포함되지 않습니다.

  • 기술적 보호 조치 외에도 HIPAA 규정 준수 배포에는 다음이 필요합니다:

    • 관리적 보호 조치

    • 물리적 보호 조치

    • 조직 요구사항 및 기타 표준.

자세한 내용은 미국 보건복지부의 HIPAA 요구사항 을 참조하세요.

FINRA 규정 준수*#

Mattermost Enterprise 기능은 기술 거버넌스, 시스템 변경 관리, 위험 평가, 기술적 통제, 사고 대응, 공급업체 관리, 데이터 손실 방지 및 직원 교육을 포함한 고객의 기존 운영 시스템의 일부로서 미국 금융산업규제청(FINRA)의 사이버 보안 요구사항 을 충족하는 데 도움을 줍니다.

FINRA는 기업이 민감한 고객 정보의 기밀성, 무결성 및 가용성을 보호하는 능력을 검토합니다. 여기에는 각 기업의 SEC 규정 준수 여부 검토가 포함되며, 다음 사항이 포함됩니다:

Mattermost는 고객의 통합 운영의 일부로서 다음과 같은 방식으로 FINRA 규정 준수를 지원합니다:

  • 지속적인 아카이빙: 시스템에 입력된 모든 메시지와 파일에 대한 재기록 불가능하고 삭제 불가능한 기록 시스템으로 구성됩니다. 또한 Smarsh/Actiance 및 Global Relay에 대한 자동화된 규정 준수 내보내기 및 통합 지원은 타사 eDiscovery 옵션을 제공합니다.

  • 보안 배포: 기존의 FINRA 규정 준수 보호 조치와 인프라를 갖춘 개인, 공용 및 온프레미스 네트워크 내에서의 배포로 사이버 공격으로부터 고객 정보를 보호합니다.

  • 침입 탐지 지원: 인증 시스템부터 애플리케이션 서버, 데이터베이스 접근에 이르기까지 다층적 침입 탐지를 지원하는 기능으로, 프록시, 애플리케이션 및 데이터베이스 로깅 구성을 포함하여 시스템 상호작용을 심층적으로 감사합니다.

  • 다층적 재해 복구: 고가용성 구성, 자동화된 데이터 백업 및 기업 정보 아카이빙 통합으로 데이터 손실을 방지하고 재해로부터 복구합니다.

*면책 조항: MATTERMOST는 자사 제품을 “보장된 규정 준수 솔루션”으로 포지셔닝하지 않습니다. MATTERMOST 제품을 사용하여 규제 준수를 달성할 것이라고 보장하지 않습니다. 규제 준수 달성의 성공 수준은 적용 가능한 규정에 대한 귀하의 해석과 그 요구사항을 준수하기 위해 취하는 조치에 달려 있습니다. 이러한 요소는 개인과 기업에 따라 다르기 때문에 귀하의 성공을 보장할 수 없으며, 귀하의 행동에 대해 책임을 지지 않습니다. MATTERMOST 사용이나 웹사이트에 포함된 권장사항으로부터 특정 규정 준수 결과를 달성할 것이라고 보장하지 않으며, 따라서 이는 이러한 문제에 대해 자체 법률 및 규정 준수 대표자와 상담하는 것을 대체할 수 없습니다.