A. 고객 정보 보안

ProgramGarden은 고객의 소중한 데이터와 지적 재산(트레이딩 전략)을 보호하기 위해 업계 최고 수준의 보안 기술과 절차를 적용하고 있습니다. 당사의 모든 서비스 인프라는 Google Cloud Platform (GCP) 위에서 운영되며, 구글의 강력한 보안 모델을 기반으로 설계되었습니다.

1. Google Cloud Platform (GCP) 기반의 강력한 인프라

ProgramGarden은 물리적 보안부터 데이터 센터 운영까지, 세계 최고 수준의 보안을 자랑하는 Google Cloud Platform을 기반으로 서비스를 제공합니다.

글로벌 보안 표준 준수: GCP는 ISO/IEC 27001, 27017, 27018, SOC 1/2/3, PCI DSS 등 주요 국제 보안 인증을 획득한 인프라입니다. ProgramGarden은 이러한 검증된 인프라 위에서 서비스를 운영함으로써 인프라 레벨의 보안 위협을 원천적으로 차단합니다.
물리적 보안: 구글 데이터 센터의 엄격한 출입 통제, 생체 인식, 24시간 감시 시스템을 통해 물리적 탈취 시도로부터 서버와 데이터를 보호합니다.

2. 데이터 암호화 (Encryption)

고객의 모든 데이터는 생성, 전송, 보관의 전 과정에서 강력하게 암호화됩니다.

전송 중 암호화 (Encryption in Transit): 사용자의 브라우저와 ProgramGarden 서버 간, 그리고 내부 서버 간의 모든 통신은 TLS 1.2/1.3 (Transport Layer Security) 프로토콜을 통해 암호화됩니다. 이를 통해 데이터가 전송되는 과정에서 제3자가 도청하거나 변조할 수 없습니다.
저장 시 암호화 (Encryption at Rest): 데이터베이스, 객체 스토리지(Object Storage), 백업 파일 등 디스크에 저장되는 모든 데이터는 Google Cloud KMS (Key Management Service)를 이용해 관리되는 암호화 키로 강력하게 암호화되어 저장됩니다.

3. 민감 정보(API Key 및 전략)의 격리 및 보호

시스템 트레이딩 서비스의 핵심인 고객의 거래소 API Key, 전략적 키, 그리고 ProgramGarden DSL 코드는 일반 데이터와 분리하여 최고 수준의 보안으로 관리합니다.

GCP Secret Manager 및 KMS를 이용한 강력한 암호화:
- 고객의 거래소 API Key(Access Key, Secret Key)뿐만 아니라, 메신저 연동(Slack, Telegram 등)이나 외부 데이터 수집 등 외부 플랫폼 연동을 위해 사용되는 모든 종류의 API Key 및 인증 토큰은 Google Cloud KMS를 통해 암호화되어 저장됩니다.
- 운영자 접근 불가: 암호화된 키는 시스템에 의해서만 트레이딩 수행 시점에 일시적으로 호출되며, ProgramGarden 운영진이나 관리자조차도 복호화하여 원본 키를 확인할 수 없습니다.
ProgramGarden DSL 코드 암호화 및 보호:
- 고객이 작성한 ProgramGarden DSL 자동화 매매 코드는 고객의 중요한 지적 재산입니다.
- 작성된 모든 코드는 저장 즉시 암호화되며, 작성자 본인 외에는 누구도(운영진 포함) 해당 코드를 열람하거나 복호화할 수 없도록 엄격하게 통제됩니다.
메모리 내 처리 원칙: 트레이딩 봇이 작동할 때만 시스템이 일시적으로 복호화하여 메모리 상에서 사용하며, 사용 후 즉시 메모리에서 소거됩니다. 디스크에는 절대 평문으로 기록되지 않습니다.

4. 접근 통제 및 인증 (Access Control)

최소 권한 원칙 (Principle of Least Privilege): 모든 시스템 접근 권한은 업무 수행에 필요한 최소한의 범위로 제한됩니다.
IAM (Identity and Access Management): GCP IAM을 통해 누가, 언제, 어떤 리소스에 접근했는지 명확하게 식별하고 제어합니다.
다중 인증 (MFA): 관리자 계정 및 주요 시스템 접근 시에는 반드시 다중 인증(MFA)을 거쳐야만 접속이 가능합니다.

5. 네트워크 보안 및 모니터링

VPC (Virtual Private Cloud): 모든 서버는 외부와 격리된 사설 네트워크(VPC) 내부에서 운영됩니다. 외부에서의 직접적인 접근은 차단되며, 승인된 로드 밸런서(Load Balancer)를 통해서만 트래픽이 유입됩니다.
Cloud Armor (DDoS 방어): Google Cloud Armor를 적용하여 디도스(DDoS) 공격 및 웹 애플리케이션 취약점 공격(SQL Injection, XSS 등)을 실시간으로 탐지하고 차단합니다.
실시간 보안 관제: Cloud Logging 및 Monitoring을 통해 이상 징후를 24시간 모니터링하며, 보안 이벤트 발생 시 즉각적인 대응 체계를 갖추고 있습니다.