F5 규정 준수

직원 및 계약직을 포함한 모든 신규 입사자는 입사 시 보안 인식 교육을 이수해야 하며, 이후에도 매년 이수해야 합니다. 또한 사용자는 자신의 역할과 책임에 따라 추가 정기 교육(분기별, 연간 등)을 이수해야 합니다. 추가 교육의 예로는 안전한 개발 수명 주기 교육, 글로벌 데이터 개인정보 보호 교육, 데이터 분류, 취약점 관리, 전사적 위협 관리, 암호화 및 자격 증명 보안 등이 있습니다.


적용 대상: 전사

F5 브랜드 제품은 NIST 800-53 및 NIST 800-218과 같은 업계 표준에 부합하는 안전한 소프트웨어 개발 관행을 따릅니다. 당사의 안전한 소프트웨어 개발 수명 주기에는 위협 모델링, 설계 검토, 코드 검토, 취약점 스캔, 보안 테스트, 핵심 구성 요소에 대한 정기적인 침투 테스트 등 여러 주요 활동이 포함됩니다.


적용 대상: 엔터프라이즈

예. 모든 F5 직원은 관련 법률, 규정 및 계약에 따라 채용 전 심사와 신원 조회를 받습니다. 심사에는 비즈니스 요구 사항, 직무 역할 및 책임의 민감도, 그리고 절도, 사기 또는 시설 오용의 위험을 나타낼 수 있는 부정적인 신원 정보와 관련된 잠재적 위험에 부합하는 기준이 포함됩니다. 최고재무책임자와 같이 위험도나 대외 노출도가 높은 직책의 경우, 해당 인물이 그 직책에 적합한지 확인하기 위해 추가 조회(예: 신용 조회)가 필요했습니다. 계약직의 경우 F5는 계약을 체결한 인력 파견 업체가 신원 조회를 수행하도록 하고 있습니다.


적용 대상: 엔터프라이즈

F5는 데이터 손실 방지(DLP) 솔루션 및 프로그램을 도입했습니다. DLP 성능은 지속적으로 모니터링되며, 데이터 손실이 의심되는 경우에 대응하기 위한 프로세스가 마련되어 있습니다. DLP 설정에는 민감 정보 또는 개인정보를 웹메일, 블로그, 개인용 저장소 등의 외부 사이트로 무단 전송하는 것을 금지하는 규칙이 포함되어 있습니다. DLP 규칙은 정기적으로 검토됩니다. 또한 조직의 모든 이메일은 DLP를 통해 검사됩니다.


적용 대상: 엔터프라이즈

모든 정보 보안 정책은 매년 검토됩니다. 또한 이러한 모든 정책을 뒷받침하는 표준, 절차 및 운영 관행도 매년 검토됩니다. F5의 비즈니스 관행을 지원하는 다른 정책도 많이 있으며, 아래에는 가장 자주 요청되는 정책이 나와 있습니다.

• 모바일 기기 정책
• 사이버 사고 대응 계획
• 기업 허용 가능한 사용 정책
• 엔터프라이즈 클라우드 보안 정책
• 엔터프라이즈 암호화 통제 정책
• 엔터프라이즈 지리적 위치 정책
• 엔터프라이즈 ID 및 액세스 관리 정책
• 전사 정보 보안 정책
• 전사 비정기 데이터 접근 정책
• 전사 패치 및 취약점 관리 정책
• 엔터프라이즈 원격 근무 보안 정책
• 전사 제재 정책
• 전사 보안 소프트웨어 개발 정책
• 전사 데이터 보존 정책
• 전사 정보 분류 정책
• 엔터프라이즈 네트워크 정책
• F5 재해 복구 프로그램 정책

적용 대상: 엔터프라이즈

F5는 매년 테스트되는 사고 대응 계획에 기반한 사고 관리 프로그램을 운영하고 있습니다. 사고 관리 요구 사항과 관련된 공동 책임에 대해서는 F5와 체결한 계약을 참조하시기 바랍니다.

적용 대상: 엔터프라이즈

F5는 정책 및 절차 문서를 기반으로 취약점 및 패치 관리 프로그램을 운영합니다. 개발 그룹과 독립된 사이버 보안 팀이 신규 개발 또는 제품의 중대한 변경 시 정기적으로 보안 평가를 수행합니다. 잠재적인 보안 취약점을 식별하기 위해 프로덕션 네트워크, 이를 지원하는 프로덕션 인프라 및 서비스에 대한 취약점 평가를 최소 분기별로 수행합니다. F5는 다양한 도구와 서비스를 활용하여 네트워크(내부 및 외부), 코드베이스 또는 리포지토리, 애플리케이션 및 기타 종속성을 정기적으로 검사하고 취약점을 탐지합니다. 발견된 취약점은 정의된 SLA에 따라 관련 담당자가 분류하고 해결합니다. SLA는 당사의 정책 및 관련 문서에 정의되어 있으며, 업계 지침 및 모범 사례, 중요도 및 심각도, 당사의 환경적 요인 등을 포함한 여러 요소를 바탕으로 결정됩니다. 또한 업계에서 제공되는 기타 정보와 공급업체 릴리스도 활용하여 당사에 영향을 미칠 수 있는 새로운 취약점을 식별하고, 이를 분류하고 해결하기 위한 적절한 조치를 취합니다.

적용 대상: 엔터프라이즈

F5는 내부 시스템 및 리소스에 대한 무단 연결(원격 액세스 포함)을 방지하기 위해 여러 가지 방법을 사용합니다. 프로덕션 환경 및 프로덕션 시스템에 원격으로 액세스하려면 직원은 먼저 지정된 사용자 비밀번호와 주기적으로 변경되는 소프트 토큰을 사용하는 다단계 인증이 필요한 엔터프라이즈 IAM 솔루션을 통해 인증해야 합니다. 그런 다음 사용자 비밀번호와 주기적으로 변경되는 소프트 토큰을 사용하는 다단계 인증이 필요한 엔터프라이즈 VPN 솔루션을 통해 연결해야 합니다. 인증 후에는 사용자에게 역할 기반 액세스 권한이 설정되며, 시스템 및 리소스에 대한 다양한 액세스를 허용하는 디바이스 인증서가 설치됩니다. 분할 터널링은 허용되지 않습니다. F5는 RBAC, 최소 권한 원칙, 알 필요 원칙 및 사용자 수명 주기 관리를 통해 액세스를 제어합니다.

적용 대상: Enterprise

프로덕션, DMZ 및 비프로덕션 환경을 물리적·논리적으로 분리하는 다계층 네트워크 아키텍처가 구현되어 있습니다. 회사 네트워크 다이어그램 및 전체 네트워크 보안 정책은 기밀 정보로 간주되므로 외부에 공유할 수 없습니다.

적용 대상: Enterprise

F5의 비즈니스 연속성 계획은 전사적 비즈니스 영향 분석(BIA)을 기반으로 합니다. BIA는 중단 발생 시 48시간 이내에 전반적인 비즈니스 운영, 평판 및/또는 수익성에 중대한 영향을 미칠 가능성이 있는 핵심 비즈니스 영역과 프로세스를 식별합니다. BIA와 비즈니스 연속성 계획은 지속적인 운영에 필요한 핵심 자원과 다음 항목의 손실 또는 이용 불가 상황을 보완하기 위한 전략을 고려합니다: 시설/사업장, 핵심 인력, IT 애플리케이션 및 제3자 서비스 제공업체

적용 대상: 엔터프라이즈

데이터란 회사가 사용하거나 처리하는 트랜잭션 스트림, 파일, 데이터 저장소, 테이블 및 출력물을 의미합니다. 고객 데이터는 관련 데이터 보호 규정 및 기타 규정과 F5가 고객 또는 공급업체와 체결한 계약에 공식적으로 명시된 구체적인 요구 사항에 따라 관리, 처리 및 저장됩니다.

회사는 공용 네트워크를 통해 기밀 정보 또는 민감한 정보를 전송하기 위한 안전한 방법과 프로토콜을 도입했습니다. 민감한 고객 데이터가 보관되는 데이터 저장소에는 암호화가 적용됩니다.

F5 서비스에서 저장하거나 처리하는 모든 고객 데이터는 기밀로 간주됩니다. F5의 데이터 분류 및 처리 요구 사항은 다음과 같이 정의됩니다:

• 중요(기밀)
• 제한
• 내부
• 공개

적용 대상: Enterprise

모니터링은 통제가 의도한 대로 운영되고 있는지, 또는 프로세스에 더 적합하도록 하거나 효과를 높이기 위해 재설계해야 하는지를 포함하여 통제의 효과를 파악하는 데 매우 중요합니다. 경영진과 감독 담당자는 일상 업무의 일환으로 내부 통제의 품질과 효과를 모니터링할 책임이 있습니다. F5 제품 팀 구성원은 새로운 기술이 미치는 영향을 모니터링하기 위해 보안 및 위험 관련 그룹에 정기적으로 참여합니다.

적용 대상: 엔터프라이즈

보안 운영 센터(SOC)는 연중무휴 24시간 전문 지원을 제공합니다. 보안 운영 센터는 엔터프라이즈 서비스를 선제적으로 모니터링하고 인스턴스를 적극적으로 관리하여 공격 발생 시 즉각 대응합니다.

보안 운영 센터는 각 지역의 정규 업무 시간에 충분한 인력을 배치하여 전 세계에서 업무를 이어가는 팔로우 더 선(follow-the-sun) 모델로 운영됩니다. 보안 운영 센터는 시애틀(미국), 하이데라바드(인도), 바르샤바(폴란드), 과달라하라(멕시코)를 거점으로 전 세계에서 운영됩니다.

SOC 위치 정보는 다음에서 확인할 수 있습니다: https://docs.cloud.f5.com/docs-v2/platform/reference/data-residency-locations

적용 대상: F5 Distributed Cloud Managed Services

F5는 기업 정보 보안 정책(EISP)과 포괄적인 기타 사이버 보안 정책 및 표준을 기반으로 강력한 사이버 보안 프로그램을 운영하고 있습니다. 이러한 정책의 목적 중 하나는 무단 액세스, 손실 및 훼손으로부터 고객 데이터를 보호하기 위해 F5가 적절한 보안 통제를 마련하도록 하는 것입니다. 이 정책은 F5 정보 보안 관리 시스템(ISMS)의 핵심 요소입니다. 또한 NIST 800-53 표준을 비롯한 업계 표준 및 프레임워크와 관련 법률 및 규정을 준수합니다. F5는 매년 외부 감사를 통해 보안 통제의 설계, 구현 및 운영 효과를 평가받습니다.

적용 대상: 엔터프라이즈

F5는 공급업체 관리 프로그램을 수립하여 운영하고 있습니다. 이 프로세스의 일환으로 제3자 서비스 제공업체가 회사와 회사 데이터에 미치는 위험을 기준으로 평가합니다. F5 사이버 보안 팀은 온보딩 시점과 이후 매년 F5의 데이터 또는 시스템에 액세스할 수 있는 모든 공급업체를 대상으로 위험 평가를 실시합니다. 또한 공급업체, 파트너, 고객, 계약업체, 컨설턴트 또는 중개업체 등 제3자의 보안 태세를 평가하기 위한 실사 절차로 제3자 보안 평가(TPSA)를 실시합니다. 그 목적은 제3자의 보안 관행이 당사의 최소 보안 기준을 충족하는지 확인하는 것입니다. 모든 공급업체는 F5 및 고객 데이터를 적절히 보호하는 데 동의해야 합니다. 제3자 공급업체와의 계약에는 F5의 비즈니스 및 기밀 유지 요구 사항을 준수하기 위한 조항이 포함됩니다. 규정 준수 팀은 온보딩 시점과 이후 매년 공급업체의 보안 규정 준수 보고서 및 인증을 검토하여 공급업체의 통제 조치가 F5의 정책 및 표준에 부합하는지 확인합니다.

적용 대상: 엔터프라이즈

설정된 RTO 및 RPO는 당사의 SaaS 서비스(Distributed Cloud, AI Guardrails, AI Red Team, NGINX One, Bot Defense)에만 적용됩니다.

• 복구 시간 목표(RTO): 24시간
• 복구 시점 목표(RPO): 6시간

적용 대상: F5 Distributed Cloud Managed Services

F5에는 기업 내에서 사용되거나 제품에 통합되는 모든 모델의 활용 사례를 검토하는 AI/ML 모델 거버넌스 팀이 있습니다. 모든 모델에 대해 모델 영향 평가를 실시합니다. F5는 ISO/IEC 42001:2023 정보 기술(인공지능 경영시스템)에 부합하는 전사적 인공지능(AI) 정책을 유지하며, 이 정책은 최소 연 1회 검토 및 업데이트됩니다.

적용 대상: 엔터프라이즈

해당 제품별 개인정보 처리방침을 확인해 주세요: https://www.f5.com/company/policies/privacy-notice

적용 대상: 엔터프라이즈

규정 준수부터 서비스 가이드까지, 직원, 공급업체 및 파트너를 위한 다양한 참고 문서를 제공합니다. 제품, 지원 서비스, 개인정보 보호 및 계약에 관한 규정 문서는 F5 정책 및 문서 페이지에서 확인하세요: https://www.f5.com/company/policies.

적용 대상: 엔터프라이즈

예. 최고 개인정보 보호 책임자는 법무 총괄 책임자에게 보고하며 당사의 개인정보 보호 규정 준수 프로그램 이행을 감독합니다. 데이터 보호 책임자는 데이터 보호 분야의 전문성을 갖춘 외부 변호사로, 정보주체의 권익을 대변하기 위해 회사가 선임했으며 이사회에 보고하고 최고 개인정보 보호 책임자와 협의하여 업무를 수행합니다.

적용 대상: Enterprise