Service Organization Controls (SOC) 3 Report 네이버주식회사의네이버페이서비스에대한 보안성, 가용성, 처리무결성, 기밀성, 개인정보보호관련 시스템기술서및독립된감사인의보고서 2017 년 1 월 1 일부터 2017 년 12 월 31 일까지
딜로이트안진회계법인 서울시영등포구국제금융로 10 서울국제금융센터 One IFC 빌딩 9 층대한민국, ( 우 ) 07326 독립된감사인의보고서 전화번호 : 02 6676 1000 팩스번호 : 02 6674 2114 네이버주식회사귀중 딜로이트안진회계법인 ( 이하 우리 ) 은네이버주식회사 ( 이하 네이버 또는 회사 ) 가 2017년 1월 1일부터 2017년 12월 31일까지기간동안아래서비스에대하여 TSP Section 100 트러스트서비스원칙 (AICPA, Technical Practice Aids) 에서제시한보안성, 가용성, 처리무결성, 기밀성, 개인정보보호준거기준에근거하여효과적인통제를유지하였다는회사경영진의주장을평가하는업무를수행하였습니다. 네이버페이서비스는비인가접근및사용으로부터보호되었습니다. 네이버페이서비스는이용자와합의된이용약관에따라운영되었습니다. 네이버페이서비스는완전하고, 정확하고, 시의적절하게승인받아처리되었습니다. 네이버페이서비스의기밀정보는이용자와합의된바에따라보호되었습니다. 네이버페이서비스제공을위해수집되는개인정보는개인정보처리방침 (www.naver.com) 에따라수집, 저장, 이용, 제공, 위탁및파기되었습니다. 위항목에대한주장및책임은회사경영진에게있으며, 우리의책임은우리가수행한업무에근거하여의견을표명하는것입니다. 우리의업무는미국공인회계사회의인증기준에따라수행되었으며, (1) 네이버페이서비스의보안성, 가용성, 처리무결성, 기밀성, 개인정보보호통제에대한이해, (2) 통제의운영효과성에대한테스트및평가, (3) 우리가업무목적에필요하다고판단된기타절차들을포함합니다. 우리가수행한업무의결과는우리의의견에대한합리적인근거를제공한다고믿습니다. 통제의성격및고유의한계로인하여오류나부정을사전에예방하지못하거나발생한오류나부정을사후에적발하지못할수있습니다. 또한, 우리가확인한내용을기반으로하는본보고서의결론은미래에서비스제공을위한시스템및업무절차의변경가능성에따라달라질수있습니다. 우리의의견은회사의 경영진의주장 이 AICPA 트러스트서비스원칙의보안성, 가용성, 처리무결성, 기밀성, 개인정보보호기준에근거하여중요성관점에서공정하게표시및명시되어있습니다. 딜로이트안진회계법인 2018 년 1 월 19 일
네이버의네이버페이서비스에대한 보안성, 가용성, 처리무결성, 기밀성, 개인정보보호관련 네이버경영진의주장 네이버는 2017 년 1 월 1 일부터 2017 년 12 월 31 일까지의기간에대하여미국공인회계사회의지침의보안성, 가용성, 처리무결성, 기밀성, 개인정보보호와관련된서비스조직의통제기준에따라네이버페이서비스운영에 대한보안성, 가용성, 처리무결성, 기밀성, 개인정보보호기준과관련된통제들을효과적으로운영하였습니다. 네이버페이서비스는비인가접근및사용으로부터보호되었습니다. 네이버페이서비스는이용자와합의된이용약관에따라운영되었습니다. 네이버페이서비스는완전하고, 정확하고, 시의적절하게승인받아처리되었습니다. 네이버페이서비스의기밀정보는이용자와합의된바에따라보호되었습니다. 네이버페이서비스제공을위해수집되는개인정보는개인정보처리방침 (www.naver.com) 에따라수집, 저장, 이용, 제공, 위탁및파기되었습니다. 첨부된네이버페이서비스에대한시스템기술서는위주장에서언급한내용을기술하고있습니다. 네이버주식회사 2018 년 1 월 19 일
네이버의네이버페이서비스에대한 보안성, 가용성, 처리무결성, 기밀성, 개인정보보호관련 시스템기술서 조직개관 네이버주식회사 ( 이하 네이버 또는회사 ) 는 1999 년 6 월 2 일에설립되었으며, 검색엔진기술력과대용량 DB 처리능력및다양한콘텐츠등을토대로 4,200 만명의회원을보유하고있으며, 매일평균약 2,700 만명이 모바일을통해방문하고있는명실상부국내 1 위인터넷포털입니다. 주요서비스로는뉴스, 전문자료, 이미지등다양한정보검색결과를제공하는통합검색서비스와메일, 클라우드등의개인화웹환경 (Personal Web Environment) 서비스, 지식 in, 블로그, 카페와같은 UGC 서비스, 웹툰 / 웹소설, 뮤직, 동영상과같은콘텐츠서비스, 쇼핑윈도, 스마트스토어와같은쇼핑서비스등이있습니다. 특히 2015년다양한가맹점에서네이버 ID로쇼핑하고네이버뮤직, 영화, e북등디지털콘텐츠까지결제, 충전, 적립, 송금할수있는 네이버페이 (NAVER Pay) 서비스를정식으로출시하면서사업의범위를간편결제및통합결제서비스까지확대하고기존서비스와의연계를통해시너지효과를창출하고있으며지속적인성장세를보이고있습니다. 네이버의서비스 회사의서비스는고객의편리한서비스이용을위해 PC 웹, 모바일웹및모바일앱을통하여제공됩니다. 이러한서비스를제공하기위하여다양한 IT 시스템과보안장비, 그리고자체적으로개발한서비스관리 시스템들을사용하고있습니다. 본시스템기술서에서포함하는서비스는다음과같습니다. 네이버페이 네이버페이는네이버 ID 로다양한가맹점에서회원가입없이쇼핑, 결제, 배송을관리할 수있고네이버뮤직, 영화, 웹툰등디지털콘텐츠를결제할수있는서비스입니다. 서비스이용자는회사의서비스를안전하고올바르게이용하기위하여, 이용약관의 회원의의무 를준수해야만합니다. 또한, 서비스이용자는본인의데이터를보호하기위하여패스워드를주기적으로변경하며, 타인에게공개하지않는등일반적으로서비스이용자본인이개인정보보호를위해수행해야하는활동을인식하고이행해야합니다.
인프라스트럭처 회사는고객에게서비스를제공하기위하여필요에따라다양한종류의 IT장비들을운영하고있으며, 이를관리하기위한여러종류의관리시스템을운영하고있습니다. 서비스를제공하기위한인프라장비는각데이터센터의물리적으로구분되는독립적인구역에위치하여, 별도의물리적접근통제를적용하고있습니다. 또한회사는서비스의보안성, 가용성, 처리무결성, 기밀성, 개인정보보호를위하여시스템구성요소들의성능을모니터링하기위한여러가지자동화된시스템을활용하고있습니다. 데이터 회사는서비스이용자가회사에서제공하는서비스를이용하기위해입력하는데이터와서비스제공을위해처리되는모든정보를중요한정보로서취급하고있으며, 개인정보보호의경우관련법령에따라정의하고식별하고있습니다. 이렇게수집및처리되고있는개인정보와이를처리하는시스템들을관리하기위한내부절차가마련되어있으며, 식별된정보의중요도별로보다강화된정보보호통제를적용하고있습니다. 또한, 회원탈퇴시이용자의개인정보는이용자가동의하고법에서허용하는기간내에삭제되고있습니다.
인력 시스템을개발하고관리하는 IT 시스템관련업무는서비스제공을위한주요업무입니다. 안정적인서비스를 제공하기위하여서비스와관련된프로그램을개발하는업무와관련시스템을운영하는업무를분리하고 있습니다. 서비스를지원, 유지보수, 모니터링, 감독하는핵심직무는다음과같습니다. 서비스기획 회사에서제공하는다양한서비스의기획, 설계및운영을담당합니다. 서비스기획 / 운영부서들은진행되고있는서비스의변경및신규서비스의개발을위하여프로그램개발부서, 테스트부서, 정보보호부서와긴밀하게협조하여보다편리하고안전한서비스를제공하고자노력하고있습니다. 개발 서비스에필요한시스템을개발하고, 지속적인서비스개선및공급을위하여관련프로그램을유지보수하며, 관련사항을기록 관리합니다. 프로그램의개발및변경은운영환경과분리된개발 / 테스트환경에서이루어지며, 개발담당부서는개발및변경과관련된진행이나진행중발생하는이슈들에대하여그룹웨어를통하여지속적인커뮤니케이션을하고있습니다. 테스트 개발된서비스에대한품질을확인하고, 개선을요구하는업무를담당합니다. 개발이완료된프로그램및시스템을고객서비스에최종적으로적용하기전에모든기획및개발이적절하게이루어졌음을확인합니다. 또한, 개발된프로그램및시스템에대한테스트결과를검토하여, 데이터가이상없이처리되고있음을확인합니다. 인프라운영 서비스에필요한데이터센터인프라구축및네트워크, 서버, DB 운영을담당하며, 원활한서비스제공을위하여각분야의전문가가인프라의설계 구축 운영에참여하고있습니다. 정보보호 회사는고객의개인정보보호및서비스의안정성을위하여정보보호조직을운영하고있습니다. 정보보호담당부서는전사차원의정보보호규정및정책을관리하고있으며이에대한준수여부를주기적으로점검하는업무를수행하고있습니다. 또한, 각부서에서업무상필요한권한을검토하고주기적으로점검하여필요하지않은권한에대한삭제를수행하고있습니다. IT 보안 서비스제공을위해필요한서버시스템과하드웨어의운영안정성및지속성의보장을위한다양한활동을담당하고있습니다. 또한, 보안전문가들이 24 시간, 365 일고객의서비스보호를위한보안관제및점검을수행하고있습니다. 이를위해서비스를위협하는각종이벤트에대해모니터링하고, 모니터링결과를기반으로침해사고분석, 대응및예방등을수행하고있습니다.