Trust Hub

보안에 대한 당사의 약속은 다음 원칙들로부터 시작됩니다.

• 제로 트러스트
  Verkada의 클라우드 관리형 IoT(Internet of Things) 장치에 대한 ‘제로 트러스트’ 접근 방식은 근본적으로 당사 시스템이 인증 및 허가 없이 어떠한 사용자, 네트워크 또는 장치도 신뢰할 수 없다고 가정합니다. 이러한 방식은 IoT 장치의 확장성과 상호 연결성이라는 특성에 내재된 위험을 완화합니다. 만약 완화하지 못한다면 잠재적인 사이버 공격의 진입 지점을 생성할 수 있습니다.

  • • Verkada 직원은 Verkada의 ID 공급자가 제공하는 SAML SSO를 통해서만 Verkada 제품 인프라 또는 코드에 접근할 수 있습니다.
    • Verkada의 제품 인프라 ID 공급자는 Verkada의 기업 ID 공급자와 분리되어 있으며 하드웨어 키를 포함하는 다중 인증을 필수로 요구합니다.
    • Verkada의 지원 도구를 통해 고객 데이터에 접근하는 Verkada 지원 직원은 먼저 지원 권한 시스템을 통해 관련 고객으로부터 시간이 제한된 동의를 받아야만 합니다.
    • Verkada는 모든 제품 인프라, 고객 데이터 및 Verkada 장치 접근에 있어 최소 권한 역할 기반의 접근 제어를 적용합니다. 다시 말해 당사는 사용자의 역할에 필요한 접근 수준을 기반으로 가능한 가장 낮은 수준의 접근 권한만을 제공합니다. 높은 권한의 접근이 필요한 역할은 요청에 따라 높은 수준으로 감독되는 제한된 시간 동안만 허가됩니다.
    • 공용 네트워크에서 이루어지는 Verkada 제품 및 시스템의 모든 통신은 TLS 1.2 이상 버전의 최신 암호화 세트 구성을 사용합니다.
• 공격 표면 최소화
  Verkada의 제품과 인터페이스는 보안이 강화된 제한된 인터페이스 세트를 통해 새로운 유형의 데이터를 라우팅할 수 있도록 설계되었습니다. 이러한 방식은 잠재적인 공격에 대비하여 보호해야 하는 진입 지점의 수를 줄이고 보안 리소스를 각 진입 지점에 집중할 수 있도록 합니다.

  • • 당사는 SSO 인증을 위한 별도의 ID 공급자까지 제품 인프라를 회사의 나머지 부분으로부터 격리합니다.
    • 당사는 최소화된 운영 체제 및 가능한 적은 구성 요소로 장치 펌웨어를 구축하여 잠재적인 공격 지점을 최소화합니다.
    • 당사는 모든 관리 명령어에 대해 Verkada Command 플랫폼의 보안 API 게이트웨이 아웃바운드 네트워크 호출로 설정된 장치의 보안 채널만 사용합니다.
• 자동화 우선
  당사는 Verkada 보안 프로그램의 모든 측면을 자동화 우선 방식으로 개발합니다. 이를 통해 당사 정책 구현 방식에서 공백을 최소화하고 확장하는 경우에도 Verkada 보안 프로그램의 효과를 유지할 수 있습니다.

  • • 당사의 ‘코드형 구성’ 접근 방식은 강화를 위한 업계 표준에 일치하는 보안 구성 패턴을 일관적으로 적용할 수 있도록 보장합니다.
    • 당사의 ‘코드형 정책’ 접근 방식은 소프트웨어가 따라야 할 규칙으로서의 Verkada 정책을 정의하여 Verkada의 정책 준수를 향상시킵니다.
    • 알려진 취약성에 대한 패치가 최소 2주마다 인프라 서비스에 자동으로 적용됩니다.
    • 당사 규정 준수 자동화 플랫폼은 보안 및 개인 정보 보호 표준에 따른 규정 준수를 지속적으로 모니터링합니다.
    • 당사는 지속적인 보안 로그 모니터링 및 잠재적인 보안 사고의 자동 감지를 지속적으로 시행하고 있습니다.
• 소프트웨어 보안
  Verkada는 계층화된 심층 방어 접근 방식을 통해 소프트웨어 개발 수명 주기 전반에 걸쳐 보안을 통합하여 취약성을 방지하고 악용의 영향을 완화합니다.

  • • 당사 소프트웨어 엔지니어링 팀은 Verkada의 보안 팀원들과 협력하여 제품 및 기능 구성부터 완성까지 보안 모범 사례를 따릅니다.
    • 당사는 올바른 결정을 미리 내릴 수 있도록 하는 보안 구성 및 기본값을 통해 완벽한 완성도로 Verkada의 소프트웨어를 구현합니다.
    • 당사는 보안 불변성을 유지하기 위해 가드레일을 적재적소에 배치하여 설계 및 구현 단계에서 안전하지 않은 선택이 발생하는 것을 방지합니다.
    • 당사는 버그 제보 포상 프로그램을 지속적으로 진행하여 잠재적인 보안 문제를 발견하고 보고하는 외부 보안 연구자들에게 금전적인 보상을 제공합니다.
  • 당사는 독립적인 보안 컨설턴트를 고용하여 지속적인 위험 관리 및 고객 보증의 일환으로 최소 매 분기마다 독립적인 보안 평가를 수행합니다.