FlowOS 보안 개요 2026년 10월
이 문서는 FlowOS에 적용된 보안 조치, 도입 전에 고객별로 정의하는 사항, 그리고 아직 갖추지 못한 사항을 요약합니다.
이 문서의 범위.
FlowOS는 직원을 위한 AI 운영 체제로, 에이전트, 문서, 예약 작업, 사내 도구 커넥터로 구성됩니다. 이 문서는 다음을 보호하기 위해 적용되는 조치를 설명합니다: 기밀성, 무결성, 가용성 귀사의 데이터와 그로부터 파생되는 처리의.
FlowOS를 평가하는 IT, 보안, 법무, 컴플라이언스 팀을 대상으로 합니다. 계약상의 약속(호스팅, 데이터 처리 계약, 서비스 수준, 이전 가능성)은 도입 전에 고객별로 정의합니다.
고객과 함께 정의하는 호스팅.
FlowOS 애플리케이션과 데이터(문서, 대화, 로그)가 호스팅되는 위치와 사용하는 인프라 제공업체는 다음과 같습니다: 도입 전에 고객별로 정의됩니다. 호스팅은 유럽 제공업체로 한정할 수 있습니다.
모델 제공업체
FlowOS는 요청을 여러 모델 제공업체로 라우팅합니다: Anthropic(Claude), OpenAI, Google(Gemini), Mistral. "EU only" 모드는 유럽 제공업체인 Mistral로만 사용을 제한합니다. 모델 제공업체로 전송된 데이터는 해당 업체의 자체 약관에 따라 처리됩니다.
thinkingplatforms.com 웹사이트
마케팅 웹사이트는 OVH SAS(프랑스 루베)에서 호스팅됩니다. 이는 웹사이트에만 해당하며 FlowOS 애플리케이션에는 해당하지 않습니다.
보안에 대한 약속.
| 항목 | 상태 | 상세 |
|---|---|---|
| GDPR | 고객별 DPA | 고객별로 데이터 처리 계약 체결 |
| 보안 설문 | 요청 시 | 귀사 팀의 설문에 답변합니다 |
| 보안 검토 | 가능 | 도입 전에 귀사의 IT 부서와 함께 |
보안 문서를 공유하고 귀사 팀의 질문에 직접 답변합니다.
모든 요청은 FlowOS 서버를 거칩니다.
브라우저는 모델 제공업체나 커넥터와 직접 통신하지 않습니다. 요청은 FlowOS 서버를 거치며, 서버는 데이터에 접근하기 전에 사용자의 신원과 권한을 확인합니다.
FlowOS ERP
FlowOS ERP의 AI 계층은 자연어로 하는 질문을 포함하여 사용자 역할(경영진, 영업, 재무, 운영, 직원, 관리자)의 권한으로 단일 게이트웨이를 통해 업무 데이터에 접근합니다.
프라이빗 배포
프라이빗 배포 또는 귀사의 인프라에서의 배포는 제약 조건에 따라 팀과 함께 검토할 수 있습니다.
암호화된 연결, 보호되는 시크릿.
- 전송 중: 암호화된 연결(HTTPS), 서비스가 HTTPS로 제공될 때 HSTS 적용.
- 저장 시: 고객과 함께 정의하는 호스팅에 따라 다르며, 도입 전에 명시합니다.
- 비밀번호: scrypt로 솔트 처리 및 해시되며, 평문으로 저장되지 않습니다.
- API 키: 모델 제공업체와 커넥터의 키는 서버에 보관되며 브라우저로 전송되지 않습니다.
- HTTP 헤더: X-Frame-Options DENY, X-Content-Type-Options nosniff, Referrer-Policy no-referrer.
모든 요청마다 권한을 확인합니다.
- 인증: 이메일과 비밀번호, 앱 코드(TOTP)를 이용한 2단계 인증, 구성 시 Google 또는 Microsoft 업무용 계정(OpenID Connect)을 이용한 싱글 사인온.
- 세션: 수명이 제한된 임의 토큰.
- 역할: 관리자, 매니저, 구성원. 데이터에 접근하기 전에 서버 측에서 확인됩니다.
- 무차별 대입 공격: 로그인 시도 횟수가 제한됩니다.
- 계정: 관리자는 계정을 비활성화하거나 2단계 인증을 재설정할 수 있으며 즉시 적용됩니다.
누가, 언제, 무엇을 했는지.
FlowOS는 중요한 작업을 다음에 기록합니다: 감사 로그 조직별로 구분되며 관리자가 검토할 수 있는 로그입니다:
- 로그인, 로그인 실패, 2단계 인증 변경
- 초대, 역할 변경, 계정 비활성화
- 문서, 폴더, 공유 링크
- 모델 호출과 에이전트 사용
- 커넥터 추가 또는 제거
- FlowOS ERP에서: 데이터 입력, 질문, AI의 준비 작업과 실행, 승인과 거부
계약에 명시되는 약속.
- 데이터 유출: 귀사에 영향을 미치는 개인 데이터 유출이 발생하면 GDPR과 데이터 처리 계약에 따라 지체 없이 알려 드립니다.
- 서비스 수준: 응답 및 지원 시간은 계약에서 함께 정의합니다.
- 취약점 신고: 문의처: contact@thinkingplatforms.com.
귀사의 데이터로 모델을 학습시키지 않습니다.
Thinking Platforms는 고객 데이터로 자체 모델을 학습시키지 않습니다. FlowOS는 모델 제공업체의 업무용 API 서비스를 사용하며, 제공업체 선택과 데이터 약관은 고객과 함께 검토합니다.
사용하는 모델
도입 전에 어떤 모델 제공업체를 어떤 모드(예: "EU only")로 사용하는지 알려 드립니다.
가드레일
작업 유형별 자율 수준. FlowOS ERP에서 결제와 삭제는 항상 사람의 승인이 필요합니다. 에이전트별, 조직별 사용 한도.
질문, 설문, 검토가 필요하신가요?
문의처: contact@thinkingplatforms.com. 귀사 팀의 질문에 답변하고, 필요하면 IT 부서와 함께 보안 검토를 진행합니다.