보안 및 데이터 관리

BOM Business는 기존 BOM Auth·RBAC·조직 멤버십을 재사용하되, 제품별 구독·엔타이틀먼트를 분리합니다. `.bomesg.com` 전체 쿠키 공유는 기본값이 아닙니다.

• 조직(tenant) 단위 데이터 격리 — 클라이언트 organizationId 신뢰 금지
• 권한은 API 서버에서 재검증 (Host·클라이언트 Flag는 권한 근거 아님)
• ESG 구독 ≠ Business 권한, Business 구독 ≠ ESG 권한
• 승인되지 않은 KPI·AI 초안은 공식 수치와 구분
• service_role / secret은 프런트엔드에 노출하지 않음
• 사용 중지·만료 조직의 쓰기 요청 차단

파일럿 단계의 KPI 저장소는 브라우저·프로세스 메모리를 사용할 수 있으며, 상용 영속성은 Staging 검증·승인된 DB 마이그레이션 이후 적용합니다.