ESG 보고서의 61번 페이지를 작성해주세요.
정보보안 캠페인
임직원들이 일상 업무 환경에서 보안 활동을 자연스럽게 인식하고 수행할 수 
있도록 다양한 정보보안 캠페인을 진행합니다. 매년 ‘정보보호의 날(Kakao 
S day)’을 지정하여 보안의식 수준 향상을 도모하고 있으며, 2022년에는 
카카오 공동체와 함께 정보보호의 날 행사를 진행하였습니다. 정보보호 기본 
수칙을 소개하는 포스터, 영상, 리플렛 등을 제작하여 온라인, 오프라인에 
모두 게시하였으며, 제3회 보안능력시험 모의고사, 정보보호 실천 다짐, 
정보보호 N행시, 정보보호 MBTI 짝꿍 찾기 등 정보보호에 관한 다양한 
이벤트를 통해 크루의 적극적인 참여를 유도하였습니다. 
또한 분기별로 발행하는 정보보안 매거진은 사내에서 지켜야 할 정보보안과 
관련된 정보와 대외적으로 이슈가 된 보안 이슈에 대해 퀴즈, 카드뉴스 등 
크루들이 이해하기 쉬운 형식으로 소개합니다.
버그바운티 프로그램 운영
카카오는 외부에서 취약점을 제보할 수 있는 신고 보상 프로그램인 
버그바운티 프로그램을 운영합니다. 버그바운티 프로그램은 카카오의 웹 
및 앱 서비스에서 버그와 취약점을 발견한 사람에게 기준에 따라 상금을 
지급하는 제도로, 보안 취약점을 사전에 발견해 조치할 수 있도록 합니다. 
2022년에는 자체 취약점 신고 사이트를 오픈하여 운영하고 있으며,  
총 30명의 제보자로부터 67건의 취약점 신고를 접수하여 유효 취약점에 
대한 포상금을 지급하였습니다.
정보보안 관리 시스템
카카오는 다양한 사전·사후 관리 시스템을 통해 회사의 정보 자산을 안전하게 
관리합니다. 정보보호 관리 체계의 대상이 되는 서비스 및 시스템에 대한 위험 
분석을 실시하고, 발견된 위험에 대한 후속 조치 계획을 수립하여 개선합니다. 
위험 분석은 사전에 정의된 위험관리 가이드에 따라 자산을 식별하고 자산과 
관련된 위험을 분석 및 평가하여 등급을 산정하며, 등급에 따라 위험관리 
방안을 선정합니다. 평가 결과를 바탕으로 크루 및 외주 계약을 통해 
파견근무를 하고 있는 파트너사 구성원을 대상으로 정보보호 관리 체계에 
대해 교육을 실시합니다.
보안 개발 라이프사이클
카카오는 서비스 기획·설계부터 개발, 배포, 운영까지 개발 프로세스 전 
영역을 아우르는 보안 지원 체계를 구축하여 운영하고 있습니다. 주요 
개발 단계에서 보안 검토 및 보안 검수 절차를 적용하여 보안 요구사항을 
반영함과 동시에 보안 취약점을 제거하고 있으며, 보안 자동화를 위해 개발과 
배포단계에서 개발자가 즉시 적용할 수 있는 SAST(Static Application 
Security Testing), DAST(Dynamic Application Security Testing) 
및 시스템 강화 도구를 제공하고 있습니다. 또한 운영 중인 서비스와 인프라에 
대해 연 1회 이상 정기적으로 보안 진단을 수행하고 있으며, 외부로 개방된 
서비스와 시스템에 대해서도 주기적인 보안 스캐닝과 모니터링을 통해 
잠재적 위험을 완화하고 있습니다.
사전 예방 점검 
활동
·  카카오의 모든 서비스의 전 생애주기에서 연간 주기적으로 
취약성을 사전 점검하여 법이 요구하는 수준 이상의 보안 수준을 
유지
·  취약점 발견 시 적절한 개선 조치를 취하고, 점검 결과는 내부 
그룹웨어를 통해 기록 및 관리
철저한 접근 
통제
·  개인정보 처리 시스템 및 회원정보 데이터베이스는 사전에  
권한을 부여받은 최소한의 사용자만 엄격한 절차에 따라 접근할  
수 있도록 통제
·  업무 범위에 따른 필요가 있을 시에만 접근 권한을 부여, 권한 
부여 시 담당자에 대한 상시 모니터링 실시, 침입 차단 시스템 
모니터링을 통해 인가받지 않은 접근 시도를 탐지
·  서버 방화벽 설치, 관리 및 운영을 통해 중요 정보를 보호
임직원 통제
·  개인정보 접근 및 취급에 대한 로그 분석과 모니터링 실시
·  권한 신청, 변경, 삭제 이력을 보관하고 주기적 권한 검토를 통해 
불필요한 권한은 즉각 삭제
·  전 임직원 대상 정보보호 서약을 실시, 매년 2회 이상 개인정보 
보호 교육 진행, PC 내 악성코드 탐지 및 대응 프로그램을 적용
24시간 
보안관제
·  카카오의 모니터링과 외부 보안 전문업체 모니터링을 병행하는 
듀얼 모니터링 시스템의 24시간 보안관제 센터를 운영
·  특정 IP의 과다한 접속 시도 등 이상 징후 발견 시 즉시 원인과 
영향을 확인하여 대응
사고 대응 모의 
훈련
·  2022년에는 해킹 메일 경각심 제고를 위한 APT 이메일 모의 훈련 
1회, 침해 사고 대응력 향상을 위한 서버 해킹 상황을 가정한 대응 
훈련 1회를 실시
·  서비스거부공격(DDoS) 대응력 향상을 위해 다양한 종류의 
DDoS 공격을 발생시켜 인지 및 대응 훈련을 1회 수행
사전·사후 정보보안 관리 시스템
교육
·  온라인 및 오프라인 개발자 보안 교육
·  보안 가이드 제공(100여 개 이상)
기획 및 설계
·  서비스 기획, 설계 보안 검토
·  보안 요구사항 정의
·  암호 이용 및 암호 프로토콜 설계 가이드
적용
·  개발 보안 가이드 제공
·  DevSecOps 도구 지원
검증
·  서비스, 시스템 보안 검수
·  시스템 보안 하드닝(시스템 보안, 네트워크 보안)
배포 및 
모니터링
·  보안 모니터링 및 모의침투테스트
·  서비스, 시스템, 인프라, 플랫폼 대상 연 1회 이상 정기 보안 진단
·  버그바운티 운영
보안 개발 라이프사이클
개인정보보호 및 정보보안
버그바운티 프로세스
화이트 해커
기업
취약점 수준에 따른 
보상 제공
취약점 분석, 
리포트 제출
61
2022 카카오의 약속과 책임
Introduction
Our Commitments to a Better World
Sustainable Management
Appendix
