트러스트 센터
의료진, 클리닉 원장, 기관 구매 담당자를 위한 투명성 자료예요. 이 페이지는 Hanah가 건강 정보를 다루는 방식, 운영 환경의 범위에 포함된 서비스 제공업체, 그리고 각 보안 통제 항목이 Privacy Act 1988(호주 개인정보 보호 원칙)과 어떻게 연결되는지 정리해요. 상태 표시는 임시 편집용 보조 표시이며, 모든 항목이 운영 환경에서 검증되면 삭제돼요.
대상: Hanah에 대한 실사를 진행하는 클리닉, 의료 네트워크, 개인정보 보호 책임자, IT 보안팀. 요약: 이 트러스트 센터는 Hanah의 보안 통제 항목과 운영 환경의 범위에 포함된 서비스 제공업체를 정리해요. 임상 기록은 에 저장돼요. 음성 인식과 AI 초안 작성은 해당 지역 밖, 주로 미국에 있는 전문 제공업체가 처리하며, 선생님의 콘텐츠로 학습하는 것을 금지하는 약관이 적용돼요. 더 자세한 증빙은 저희 Security & Operations Handbook에 있고, 통제 항목 탭에서 각 통제 항목의 구현 방식을 설명해요.
검증 방법론
녹취 정확도와 문서 환각을 측정하는 방법이에요. 하나의 평가 도구, 하나의 코퍼스, 두 개의 평가 계층(WER + LLM 심사단)으로 측정해요. 공개하는 모든 수치는 이 규칙에 따라 채점해요.
방법론 읽기 →검증 투명성
녹음별 녹취록, 생성된 문서, 권위 있는 기준 정답 코퍼스에 대한 LLM 심사 위원별 판정. 대표 수치만이 아니라 전체 데이터를 공개해요.
보고서 보기 →이전 결과
지금까지 공개한 모든 벤치마크를 직전 실행 대비 변화와 함께 보여 드려요. 수치는 측정한 날 그대로 두었고, 이후 채점 패널 자체가 바뀐 경우도 마찬가지예요.
실행 결과 비교 →각 행은 일반적인 ISO 의미의 통제 항목이에요. 정책(거버넌스와 문서화된 절차), 기술(시스템과 설정으로 강제), 공급업체(계약 및 하위 처리자 보증) 중 하나예요. 태그는 주된 증빙 유형을 나타내며, 여러 유형이 섞인 행도 많아요. 세부 내용은 내부 Security & Operations Handbook으로 추적할 수 있어요. 각 행 아래의 줄은 해당 통제 항목이 뒷받침하는 호주 개인정보 보호 원칙을 인용한 것으로, 참고용일 뿐 법률 자문을 대신하지 않아요.
근거 법령: Privacy Act 1988 (Cth), Schedule 1(호주 개인정보 보호 원칙) 및 Part IIIC(데이터 유출 신고).
인프라·플랫폼
인프라 보안
지역별 배포에서 Hanah가 어디에서 실행되는지, 프로덕션을 운영 환경과 어떻게 분리하는지, 의료진과 저희 시스템, AI 하위 처리자 사이에서 암호화가 고객 데이터를 어떻게 보호하는지 정의해요. 대부분 기술 통제이고, 보안·운영 핸드북(Security & Operations Handbook)의 관리 통제가 뒷받침해요.
-
✅
기술 정책지역 내 프로덕션 워크로드
배포의 주 애플리케이션 서버, 데이터베이스, 오브젝트 스토리지, 백업은 해당 지역 안에 있어요. 관리 기록에는 지역과 변경 승인 내용이 담겨 있고, 기술적으로는 배포 시 리소스를 지역 프로젝트에 고정해요.
APP 대응: APP 11.1(개인정보의 보안), APP 8 — 기록을 호주에 보관하므로 해외 공개는 서비스 제공업체에 나열된 처리로 한정돼요.
-
✅
기술전송 중 암호화
공개 인그레스는 최신 TLS를 사용해요. 음성 인식·AI 모델 제공업체로 가는 트래픽도 각 업체의 설정된 엔드포인트까지 TLS를 사용해요. 아키텍처 검토와 배포 설정에서 확인하는 기술 통제예요.
APP 대응: APP 11.1(간섭, 오용, 무단 접근으로부터의 보호).
-
✅
기술 정책저장 시 암호화
데이터베이스, 오브젝트 스토리지, 백업 객체는 업계 표준 알고리즘(예: AES-256-GCM)을 사용하고, 키는 저희 암호화 정책에 따라 관리해요. WAL-G 백업은 외부 저장소로 보내기 전에 클라이언트 측 암호화를 한 번 더 적용해요.
APP 대응: APP 11.1, APP 11.2 — 암호화된 백업은 예정된 파기 시점까지 보호돼요.
-
✅
기술 공급업체엣지 DDoS 방어와 WAF
관리형 엣지 계층이 공개 호스트 이름 앞단에서 대규모 트래픽 공격을 흡수하고, 흔한 웹 악용에 대해 WAF 규칙을 적용해요. 엣지 뒤에서도 제공업체 수준의 보호와 엄격한 방화벽 설정은 그대로 유지돼요.
APP 대응: APP 11.1(간섭 및 손실로부터의 보호).
-
✅
기술 정책침입 탐지
계층형 탐지: 호스팅 플랫폼이 네트워크 계층 IDS를 제공하고, 각 VM에서는 fail2ban(SSH 무차별 대입 공격 방지), 기본 차단 정책의 UFW, 무인 보안 업데이트가 실행돼요. auth-proxy의 인증·접근 이벤트는 중앙 Loki/Grafana 스택으로 전송되어, 비정상적인 로그인 패턴이 대시보드와 알림에 나타나요. 알림이 발생하면 정책에 따라 분류 담당자가 정해져 있어요. 컨테이너용 커널 수준 런타임 IDS는 이 기본 체계 위에 추가할 예정인 개선 사항이에요.
APP 대응: APP 11.1, 데이터 유출 신고 제도(Part IIIC)에 따른 신고 대상 데이터 유출 의심 사안의 30일 평가를 지원해요.
제품·애플리케이션
제품 보안
사용자가 어떻게 인증하는지, 제품과 API 계층에서 권한을 어떻게 적용하는지, 소프트웨어를 어떻게 만들고 배포하는지 다뤄요. 기술적 적용(JWT, RBAC)과 관리 차원의 SDLC·검토 요건이 함께 적용돼요.
-
✅
기술 공급업체인증과 세션
의료진은 관리형 ID 제공업체(OIDC/OAuth 방식 흐름)로 인증하고, 모든 API 경로에서 신원을 확인해요. 세션 유지 시간과 계정 잠금 동작은 저희 접근 제어 정책에 맞춰져 있어요.
APP 대응: APP 11.1(무단 접근으로부터의 보호).
-
✅
기술 정책역할 기반 접근 제어
의료진, 환자, 관리자 권한은 데이터 모델과 GraphQL 계층에서 분리되어 있어 최소 권한이 기본이에요. 역할 정의와 검토 주기는 관리 문서로 기록해요.
APP 대응: APP 11.1, APP 6 — 정보를 수집 목적대로 사용하는 사람으로 접근을 제한해요.
-
✅
기술 정책권한이 높은 경로에 MFA 필수
보안에 민감한 설정을 바꾸거나 고위험 데이터에 접근할 수 있는 계정에는 ID 제공업체로 MFA를 반드시 적용해요.
APP 대응: APP 11.1(무단 접근으로부터의 보호).
-
✅
기술 정책보안 개발 수명 주기
변경 사항은 소스 관리, 검토, 고정된 의존성을 거쳐 반영돼요. 주요 기능은 관리 차원의 관문에서 보안 영향을 검토하고, 기술 도구(Dependabot 등)가 평소 관리를 뒷받침해요.
APP 대응: APP 11.1, APP 1.2(준수를 보장하는 관행과 시스템).
-
✅
기술 정책소프트웨어 자재 명세서(SBOM)
릴리스마다 취약점 대응을 위해 기계가 읽을 수 있는 의존성 목록이 함께 제공돼요. SBOM 내보내기는 공급망 보증 프로그램의 일환으로 CI에 연결되어 있어요.
APP 대응: APP 11.1(제3자 코드를 통한 간섭에 대한 합리적 조치).
데이터·개인정보
데이터·개인정보
데이터 보관, 삭제, 정보주체 권리, 보안 관련 이벤트 가시성. 이 통제 항목은 제품과 데이터베이스의 자동 적용을 관리 절차(DSAR 처리, 유출 통지, 분기별 보고)와 결합해요.
-
✅
기술 정책앰비언트 자료의 보관과 삭제
오디오와 녹취록 자료는 기본적으로 짧은 보관 기간이 지나면 자동 삭제돼요. 임상 기록은 각 조직의 데이터 보관 정책을 따라요. 기록 시스템과 연동한 뒤에도 기준이 되는 임상 기록은 계속 고객의 소유예요.
APP 대응: APP 11.2(허용된 목적에 더 이상 필요하지 않은 정보의 파기 또는 비식별화).
-
✅
기술 정책위변조 확인 가능한 삭제 기록과 분기별 보고서
데이터 보관 정책에 따른 삭제는
deletion_log에 기록돼요. 추가만 가능한 Postgres 테이블로, 어떤 역할에도UPDATE나DELETE권한이 없어요. 각 행은 SHA-256 해시 체인(row_hash = sha256(prev_hash ‖ canonical(metadata)))으로 이전 행과 연결되므로, 앞선 행을 바꾸거나 지우면 이후의 모든 해시가 깨지고 데이터베이스 내 검증 함수hanah_verify_deletion_chain()가 이를 탐지해요. 함께 쓰는 감사 테이블(ai_audit,secret_access_audit)도 추가만 가능해요. 고객용 분기별 요약은hanah_deletion_report_quarter(year, quarter)로 생성해요.APP 대응: APP 11.2, APP 1.2 — 파기가 이뤄졌고 변경되지 않았다는 증빙.
-
✅
정책 기술정보주체 열람과 정정
개인은 자신의 개인정보 열람이나 정정을 요청할 수 있어요. Hanah는 처리 기한, 형식(JSON + 사람이 읽을 수 있는 내보내기), 상위 보고 절차를 문서화해 두었어요. 데이터가 Hanah 시스템에 있는 경우 도구로 내보내기를 지원해요.
APP 대응: APP 12(열람), APP 13(정정).
-
🔧
기술 정책통합 감사 가시성
보안 관련 이벤트(인증, 권한 사용, 설정 변경)는 기관 고객이 조회할 수 있고, 계약으로 합의한 경우 고객의 SIEM(예: Microsoft Sentinel)으로 전달할 수 있어요. 고객별로 설정해요.
APP 대응: APP 11.1, Part IIIC에 따른 신고 대상 데이터 유출 평가와 신고를 지원해요.
AI·임상 안전
AI 보안 및 규정 준수
앰비언트 AI에 특화된 통제 항목: 건강 데이터를 학습에 2차 이용하지 않음, 임상적으로 활용하기 전 사람의 검토, 품질(WER) 측정, 악용에 강한 프롬프트 설계. 계약상 제3자 통제와 제품 워크플로, 임상 거버넌스를 결합해요.
-
✅
공급업체 정책 기술모델 학습을 위한 2차 이용 없음
저희 음성 인식·AI 모델 제공업체의 약관은 고객 콘텐츠로 학습하는 것을 금지하고, 제공업체가 지원하는 경우 업체 측 저장을 끈 상태로 요청을 보내요. Hanah는 고객의 건강 데이터로 내부 학습 파이프라인을 운영하지 않아요. 관리 차원의 공급업체 검토가 이를 뒷받침해요.
APP 대응: APP 6(1차 목적에 한한 이용과 공개), APP 8 — 해외 수신자는 서비스 제공업체에 표시된 조건을 넘어 콘텐츠로 학습하거나 콘텐츠를 보관하지 않도록 계약상 구속돼요.
-
✅
정책 기술임상 활용 전 의료진 검토 필수
생성된 기록은 임상 기록의 일부로 취급되기 전에 의료진이 명시적으로 검토하고 확정해야 해요. 제품 통제(워크플로 관문)이자 PIA에 담긴 정책상 약속이에요.
APP 대응: APP 10(개인정보의 품질: 정확하고, 최신이며, 완전하고, 관련성 있음).
-
✅
정책 기술WER 방법론과 공개된 코호트 결과
하나의 평가 도구, 두 개의 평가 계층을 모든 채점 과정에서 실행해요. 축어 기준 정답 녹취록 대비 단어 오류율(A 계층), 그리고 포함률(기록이 사전 등록된 기대 항목을 각각 담았는가?)과 환각(녹취록이 뒷받침하지 않는 주장, 즉 모델이 지어낸 내용이 기록에 있는가?)을 모두 측정하는 LLM 심사단이에요. 전체 방법론을 공개하고 있고, 실시간 결과는 평가 도구의 집계 출력에서 바로 표시돼요. 코퍼스는 v1(합성) → v2(역할극) → v3(동의 기반 실제 진료) → v4(의료 시스템 파트너와 공동)로 계속 발전해요.
APP 대응: APP 10, APP 1.2(정확성을 위한 입증 가능한 관행).
-
✅
기술 정책프롬프트 인젝션과 안전하지 않은 출력 모니터링
시스템 프롬프트는 서버에서 관리하고, 입력은 임상 워크플로 안으로 제한돼요(자유 형식 채팅 화면 없음). 모든 생성에 제공업체의 안전 분류기가 작동하고, 분류기가 걸러 내면 스트림이 콘텐츠 필터 종료 사유를 반환해요. 이 사유는 호출별
ai_audit행에 표준ai.content_policy오류 코드, 지연 시간, 토큰, Tempo 트레이스 ID와 함께 기록돼요. 비정상 패턴은 이 감사 테이블 기반 대시보드에 나타나요. 악용 패턴에 대한 호출 간 행동 이상 탐지는 이 기본 체계 위에 추가할 예정인 개선 사항이에요.APP 대응: APP 11.1(오용 및 간섭으로부터의 보호).
-
✅
기술 정책제품 내 다자간 동의 확인
의료진이 녹음을 누르면 제품이 동의 대화 상자를 열고, 환자와 진료에 참여한 다른 모든 사람에게 동의를 받았다는 명시적 확인을 요구해요. 이 확인을 해야 녹음을 시작할 수 있고, 확인 내용은 개인정보 영향평가에서 언급한 클리닉 정책과 함께 해당 진료에 연결돼요.
APP 대응: APP 3.3(민감 정보 수집에 대한 동의), APP 5(수집 사실 고지).
조직·제3자
조직 보안
회사로서 Hanah가 보안을 관리하는 방식: 책임 체계, 정책, 독립적 보증, 고객 보안 도구와의 연동. 주로 관리 통제이고, 일부는 기술적 결과물(예: SIEM 커넥터)이 있어요.
-
✅
정책보안 거버넌스와 위험 관리 대장
지정된 경영진이 정보 보안을 책임지고, 위험은 담당자, 목표 일자와 함께 기록해 정해진 주기로 검토해요. 현재 규모에서도 구매자가 보통 ISO 방식 관리 체계에 기대하는 수준에 맞춰요.
APP 대응: APP 1.2(준수를 위한 관행, 절차, 시스템), APP 11.1.
-
✅
정책이사회 승인 정책 문서
공식 정책은 접근, 암호화, 사고 대응, 공급업체, 변경 관리를 다뤄요. 정책 문서는 이사회 승인을 받아 버전 관리하고 있고, 전체 내용은 NDA 체결 후 제공해요.
APP 대응: APP 1.2, APP 11.1.
-
🔧
정책 기술고객 SIEM 전달(예: Sentinel)
계약으로 합의한 경우 Hanah가 관리하는 시스템의 보안 이벤트를 고객의 Sentinel 워크스페이스(또는 동등한 환경)로 전달해 함께 모니터링해요. 기관 고객별로 설정해요.
APP 대응: APP 11.1, Part IIIC에 따른 공동 유출 평가를 지원해요.
실사 질문지는 HIPAA, GDPR, ISO/IEC 27001, SOC 2를 기준으로 작성되는 경우가 많아요. 호주에서 Hanah에는 Privacy Act 1988이 적용되므로, 이 표는 호주 개인정보 보호 원칙 각각에서 출발해 각 프레임워크에서 가장 가까운 조항을 나열하고, 이를 충족하는 Hanah 통제 항목을 명시해요. 질문을 여기서 적용되는 원칙으로 옮겨 읽을 때 활용하세요.
대응 관계는 참고용이며 법률 자문이 아니에요.
| 호주 개인정보 보호 원칙 | HIPAA (미국) | GDPR / UK GDPR | NZ Privacy Act 2020 / HIPC 2020 | ISO/IEC 27001:2022 | SOC 2 (TSC 2017) | Hanah의 대응 방식 |
|---|---|---|---|---|---|---|
| APP 1 — 공개적이고 투명한 관리 | §164.520 개인정보 처리 관행 고지, §164.530(a), (i) 개인정보 담당자, 정책 및 절차 | Art. 5(2) 책임성, Art. 12–14 투명성, Art. 24, 30 | s 201 개인정보 보호 책임자, 공개된 개인정보 처리방침 | Cl. 5.2 정책, A.5.1, A.5.34 | CC1.1–CC1.3, CC2.3, P1.1 | 지정된 책임 경영진, 위험 관리 대장, 이사회 승인 정책 문서, 그리고 이 트러스트 센터. |
| APP 2 — 익명성과 가명성 | 직접 대응 조항 없음, §164.514(a)–(b)의 비식별화 기준 | Art. 25 설계 단계부터의 데이터 보호, Art. 4(5) 가명 처리 | 직접 대응하는 항목 없음 | A.8.11 데이터 마스킹 | 직접 대응하는 항목 없음 | 환자가 익명이나 가명으로 이용할 수 있는지는 클리닉이 결정해요. |
| APP 3 — 요청한 정보의 수집(민감 정보는 동의 필요) | §164.502(b) 최소 필요 원칙 | Art. 5(1)(b)–(c) 목적 제한 및 최소화, Art. 6, 9 건강 데이터 처리의 법적 근거 | IPP 1, 2, 4; HIPC 규칙 1, 2, 4 | A.5.34 | P2.1 선택 및 동의, P3.1–P3.2 수집 | 모든 녹음 전에 동의를 확인하고, 수집은 의료진이 시작한 진료로 한정돼요. |
| APP 4 — 요청하지 않은 정보 | 직접 대응하는 항목 없음 | Art. 5(1)(c) 최소화, Art. 5(1)(e) 보관 제한 | 직접 대응하는 항목 없음 | A.5.34 | P3.1 | 원본 음성은 녹취록이 만들어지면 삭제되고, 녹취록은 짧은 기본 보관 기간을 따라요. |
| APP 5 — 수집 사실 고지 | §164.520 개인정보 처리 관행 고지 | 제13–14조 제공해야 할 정보 | IPP 3; HIPC 규칙 3 | A.5.34 | P1.1 고지 | 제품 내 동의 단계, 그리고 데이터가 처리되는 국가를 명시한 개인정보 처리방침. |
| APP 6 — 이용 또는 공개 | §164.502(a), §164.506 허용된 이용, §164.502(e), §164.504(e) 업무 제휴 계약 | 제5조(1)(b) 목적 제한; 제28조 처리자 조건 | IPP 10, 11; HIPC 규칙 10, 11 | A.5.34; A.5.10 허용 가능한 사용 | P4.1 이용; P6.1 제3자 제공 | DPA에 따라 클리닉의 지시로만 처리해요. 2차 이용과 모델 학습은 없어요. |
| APP 7 — 직접 마케팅 | §164.508(a)(3) 마케팅 승인 | 제21조(2)–(3) 직접 마케팅에 대한 반대권 | 직접 대응하는 항목 없음(Unsolicited Electronic Messages Act 2007) | 직접 대응하는 항목 없음 | P2.1 | 환자 정보는 마케팅에 절대 쓰이지 않아요. 환자는 의료진이 무언가를 보낼 때만 클리닉에서 연락을 받아요. |
| APP 8 — 국외 공개 | 지역 제한 없음, 수신자는 업무 제휴 계약으로 구속 | Chapter V, Art. 44–49 국외 이전(영국: IDTA 또는 UK Addendum) | IPP 12; HIPC 규칙 12 | A.5.19–A.5.22 공급업체 관계 | CC9.2 공급업체 위험; P6.4 | 기록은 호주에 저장돼요. 해외 처리는 서비스 제공업체에 국가별로 나열되며, 계약상 학습 금지와 보관 제한이 적용돼요. |
| APP 9 — 정부 관련 식별자 | 직접 대응하는 항목 없음 | Art. 87 국가 식별 번호 | IPP 13, HIPC Rule 13 고유 식별자 | 직접 대응하는 항목 없음 | 직접 대응하는 항목 없음 | Hanah는 Medicare 번호나 기타 정부 식별자를 자체 식별자로 채택하지 않아요. |
| APP 10 — 개인정보의 품질 | §164.312(c) 무결성 | 제5조(1)(d) 정확성 | IPP 8; HIPC 규칙 8 | A.5.34 | P7.1 품질 | 기록을 확정하기 전 의료진 검토, 그리고 정확도·환각 측정 결과 공개. |
| APP 11.1 — 개인정보의 보안 | Security Rule §164.308, §164.310, §164.312 관리적, 물리적, 기술적 보호 조치 | 제32조 처리의 보안 | IPP 5; HIPC 규칙 5 | A.5.15, A.8.5 접근·인증; A.8.24 암호화; A.8.13 백업; A.8.15–A.8.16 로깅·모니터링 | CC6 논리적 접근; CC7 시스템 운영; CC8 변경 관리 | 전송 중·저장 시 암호화, 역할 기반 접근, 권한이 높은 경로의 MFA, 침입 탐지, 암호화된 백업. |
| APP 11.2 — 파기 또는 비식별화 | §164.310(d)(2)(i) 폐기 | 제5조(1)(e) 저장 제한; 제17조 삭제 | IPP 9; HIPC 규칙 9 | A.8.10 정보 삭제 | C1.2 폐기; P4.3 | 음성과 녹취록을 자동으로 삭제하고, 위변조 확인이 가능한 삭제 기록에 남겨요. |
| APP 12 — 개인정보 열람 | §164.524 열람 | 제15조 열람; 제20조 이동권 | IPP 6; HIPC 규칙 6 | A.5.34 | P5.1 열람 | JSON과 사람이 읽을 수 있는 형식으로 내보내 클리닉의 응답을 지원해요. |
| APP 13 — 개인정보 정정 | §164.526 수정 | 제16조 정정 | IPP 7; HIPC 규칙 7 | A.5.34 | P5.2 정정 | 의료진이 기록을 편집하고 다시 확정해요. 정정 요청은 문서화된 절차를 따라요. |
| Part IIIC — 데이터 유출 신고 제도 | Breach Notification Rule §164.400–414 | 제33–34조 유출 통지 | Part 6 신고 대상 개인정보 유출 | A.5.24–A.5.27 사고 관리 | CC7.3–CC7.5 사고 대응 | 사고 대응 정책, 중앙 보안 로깅, 클리닉의 30일 평가 지원. |
저희 프로덕션 아키텍처에서 Hanah 고객 데이터를 처리하거나 저장할 수 있는 서비스 제공업체의 유형, 각 업체가 다루는 데이터, 보관하는 내용, 데이터를 처리하는 지역이에요. 모든 업체는 계약에 따라 고객 데이터를 보호해야 하고, 어떤 업체도 이 데이터로 모델을 학습시킬 수 없어요. 의료진 로그인에는 글로벌 ID 인프라를 쓰지만, 여기에는 환자 건강 정보가 전혀 없어요. 같은 유형 목록이 데이터 처리 계약의 부속서 C를 이뤄요.
| 서비스 유형 | 목적 | 처리 데이터 | 보관 | 처리 지역 |
|---|
운영 투명성: 공개 상태 페이지(가동 시간·장애)와 함께, 저희 모니터링이 쓰는 프로덕션 /healthz 준비 상태 엔드포인트가 있어요.
PhysiPal Pty Ltd(상호 Hanah) — . 이 트러스트 센터는 개략적인 요약이에요. 계약상 약속과 체결 시점에 유효한 데이터 처리 조건이 이 페이지보다 우선해요. 상태 이모지 표시(✅ 🔧)는 임시이며, 각 항목을 독립적으로 검증한 뒤 삭제할 예정이에요.