Harvey, 연방 법률 업무를 위한 FedRAMP Class D 인증 획득

Harvey는 2026년 10월 28일 자사 법률 AI 플랫폼이 FedRAMP Class D 인증을 획득했다고 발표했다. 회사는 이번 인증으로 최고 수준의 보안 기준을 요구하는 미국 연방 기관, 연방 정부 계약업체와 협력사, 각국 정부 및 상업 기관이 법률 업무에 Harvey를 사용할 수 있게 됐다고 밝혔다. Harvey는 Knox Systems의 FedRAMP Class D 인증 클라우드 환경에서 운영된다.

연방 법률팀은 민감한 정보가 자주 포함되는 자문, 소송 및 집행 업무를 담당한다. Harvey는 해당 기관과 협력 기업이 이제 조달 및 계약, 문서 1차 검토, 기관 간 협업에 이 플랫폼을 사용할 수 있다고 밝혔다. 회사는 이번 변화가 변호사들이 반복적인 업무에 들이는 시간을 줄이고 법률 분석과 자문에 더 집중하도록 하는 데 목적이 있다고 설명했다.

“연방 법률팀은 우리 모두에게 도움이 되는 핵심 서비스를 제공하는 데 기여합니다.” Harvey의 CEO인 Winston Weinberg는 발표에서 이렇게 말했다. “이제 이들은 Am Law 100의 80%와 Fortune 10 중 5개 기업이 사용하는 것과 동일한 법률 AI를 이용할 수 있습니다. 공공 부문에서 일하는 더 많은 변호사에게 우리 기술을 제공하게 되어 자랑스럽습니다.”

Harvey의 공공 부문 책임자인 Pat Manion은 인증된 환경에서 기관 소속 변호사들이 복잡한 사건 기록을 검토하고, 소송 주장을 개발하며, 규정을 해석하고, 계약서와 조달 문서를 검토할 수 있다고 말했다. 그는 FedRAMP 인증 플랫폼을 통해 연방 정부 법률팀과 그 협력사를 지원한다고 덧붙였다.

FedRAMP 마켓플레이스 등록 정보

Knox Systems의 FedRAMP High 관리형 플랫폼에 대한 FedRAMP 마켓플레이스 등록 정보에는 패키지 ID FR2528033654로 식별되는 해당 플랫폼의 인증 서비스 항목에 Harvey AI가 포함돼 있다. 등록 정보에 따르면 Knox 플랫폼은 2026년 3월 30일 기준 FedRAMP 인증을 받았으며, 마켓플레이스가 지속적인 모니터링과 보고가 정상적으로 이뤄지는 단계로 정의하는 인증 유지 단계에 해당한다. 또한 운영 승인서와 사용 승인서의 합계로 정의되는 승인 건수는 2건이며, 여기에는 최초 승인과 재사용 승인이 포함된다. 플랫폼의 인증 프로필에는 유형 Rev5, 경로 Agency, 등급 D(High)가 기재돼 있다. A~D 등급은 서비스 제공 항목에 요구되는 문서화 및 지속적인 보고 요건을 반영한다.

등록 정보의 서비스 설명은 공급업체가 제출한 내용이며, 마켓플레이스는 FedRAMP가 공급업체 제출 콘텐츠를 검토하거나 보증하지 않는다고 명시한다. 해당 설명에 따르면 애플리케이션 제공업체는 Knox의 FedRAMP High 인증 경계 안에 애플리케이션을 배포하고, 별도의 FedRAMP 인증을 추진하는 대신 필수 보안 통제의 상당 부분을 적용받는다. Knox의 컴플라이언스 팀과 KnoxAI 플랫폼은 각 제공업체가 준비, 평가 및 서비스 개시 단계를 거치도록 안내한다. 또한 KnoxAI는 NIST 800-53 프레임워크 및 추가 프레임워크를 기준으로 제공업체의 보안 상태와 통제 구현을 평가한 뒤 FedRAMP가 요구하는 문서와 증빙 자료를 작성한다.

각 애플리케이션은 Knox 경계 내에 마련된 전용 단일 테넌트 계정에서 실행되며, 고객 간에 컴퓨팅 자원, 데이터 플레인 또는 스토리지를 공유하지 않는다. 각 애플리케이션은 개별적으로 평가되고 마켓플레이스에 등록되며, 첫날부터 지속적인 모니터링을 받는다. 설명에 따르면 모든 워크로드는 AWS, Azure 또는 Google Cloud Platform의 미국 내 리전에서만 실행된다. 또한 전송 중 및 저장 데이터에 FIPS 검증 암호화를 적용하고, 전체 감사 로그를 기록하는 제로 트러스트 접근 제어와 24시간 연중무휴 보안 운영 센터 및 네트워크 운영 센터의 지원을 제공한다.

설명에 따르면 Knox는 승인 기관에 매월 보고하고, 시정 조치 계획과 마일스톤을 추적하며, 매년 독립적인 제3자 평가와 침투 테스트를 실시하고, 모든 고객과 함께 비상 대응 및 사고 대응 훈련을 진행하는 등 지속적인 모니터링을 관리한다. 공동 책임 매트릭스에는 Knox, 애플리케이션 제공업체 및 기관이 각각 맡는 책임이 명시된다.

마켓플레이스는 Harvey for Government를 연방 기관의 변호사와 법률 전문가가 법률 관련 질문을 검토하고, 기관 문서를 살펴보며, 메모·법률 서면·서신을 작성하고 수정하고, 여러 단계로 이뤄진 법률 업무 절차를 수행하며, 출처를 인용하는 답변을 받으면서 공유 작업 공간에서 협업할 수 있도록 하는 서비스로 설명한다. 등록 정보에는 이 플랫폼의 서비스 모델이 SaaS, 배포 모델이 정부 커뮤니티 클라우드(Government Community Cloud)로 기재돼 있다.

기존 보안 및 컴플라이언스 현황

Harvey는 FedRAMP Class D 인증이 SOC 2 Type II, ISO 27001, ISO 27701, ISO 42001, AIUC-1, IRAP, TX-RAMP Level 2, GDPR 및 CCPA를 포함하는 기존 보안 및 컴플라이언스 체계를 바탕으로 획득한 것이라고 밝혔다. 고객은 회사의 신뢰 센터에서 인증 정보를 확인할 수 있다.

보안 페이지에서 Harvey는 Platform Agreement를 통해 고객의 입력, 출력 및 업로드 문서를 기반 모델 학습에 사용하지 않는다고 계약상 보장하며, 모델 제공업체에 데이터 제로 보존을 요구한다고 밝혔습니다. 회사는 저장 중이거나 전송 중인 모든 데이터를 암호화하고, 고객 데이터가 뒤섞이지 않도록 각 고객의 데이터를 논리적으로 분리하며, 최소 권한 접근 제어를 적용한다고 설명했습니다. 또한 계약상 보안 의무를 하위 처리업체와 외부 모델 제공업체에도 적용한다고 밝혔습니다. Harvey는 Microsoft Azure에서 클라우드 환경을 호스팅하며, 데이터 현지화 요건이 있는 고객을 위해 EU와 스위스 또는 호주에서 데이터 처리를 제공합니다.

보안 페이지에는 Harvey의 사내 보안팀이 인프라, 제품 및 운영 전반을 담당하며 연중무휴 24시간 모니터링을 수행한다고도 명시되어 있습니다. 보안 제어에는 SAML 싱글 사인온, 감사 로그, IP 허용 목록, 데이터 수명주기 관리가 포함됩니다. Harvey는 매년 SOC 2 Type II 및 ISO 27001 감사를 받고, 제3자 침투 테스트를 실시하며, 자동화된 취약점 검사와 지속적인 보안 모니터링을 수행한다고 밝혔습니다. 또한 심층 감사를 위해 Schellman, NCC Group, Bishop Fox와 협력한다고 설명했습니다.