# NOVA Works 개발 및 운영 보안 가이드

문서 분류: INTERNAL
소유 부서: Engineering
버전: 2026.3

## 1. 목적
이 문서는 개발자와 운영 담당자가 소스코드, 계정, 운영 서버와 고객 데이터를 안전하게 다루기 위한 기본 원칙을 설명한다.

## 2. 운영 서버 접근
운영 서버는 승인된 VPN을 통해서만 접속한다. 운영 환경에 직접 SSH 접속 권한이 필요한 경우 팀 리드의 승인을 받고 개인 계정을 사용한다. 공용 root 계정의 비밀번호를 메신저로 공유해서는 안 된다.

## 3. 비밀정보 관리
API Key, 데이터베이스 비밀번호, OAuth Client Secret 등은 Git 저장소에 커밋하지 않는다. 로컬 개발에서는 .env를 사용할 수 있으며, 운영 환경에서는 승인된 Secret Manager를 사용한다.

## 4. 코드 리뷰
main 브랜치 반영 전 최소 1명의 리뷰를 받는다. 긴급 수정의 경우에도 작업 완료 후 사후 리뷰 기록을 남긴다.

## 5. 로그와 개인정보
주민등록번호, 카드번호, 비밀번호, 인증 토큰을 애플리케이션 로그에 평문으로 남기지 않는다. 필요한 식별자는 마스킹하거나 내부 식별자로 대체한다.

## 6. 권한 원칙
사용자는 업무 수행에 필요한 최소 권한만 부여받는다. 개발자 역할은 일반 사내 정책을 검색할 수 있지만 임원 보상, 인사 평가 원문과 같은 CONFIDENTIAL 문서에는 접근할 수 없다.

## 7. 장애 대응
서비스 장애 발생 시 우선 고객 영향 범위를 확인하고, 임시 조치와 근본 원인 분석을 구분하여 기록한다. 심각도 SEV-1 장애는 즉시 온콜 담당자와 팀 리드에게 알린다.

## 8. 교육용 안내
본 문서는 RAG 검색 결과에 일부러 포함될 수 있는 비슷하지 않은 기술 문서로 사용한다. 연차나 급여와 관련된 질문에서 낮은 유사도 검색 결과가 어떻게 필터링되는지 확인할 수 있다.