정보보호 전문가가
제대로 처리합니다
ISMS-P 인증 대응과 모의해킹·취약점 진단을 한 계약 안에서 맡습니다. 취약하다고 적은 항목에는 어떻게 재현했는지를 덧붙이고, 조치가 끝나면 한 번 더 들어가 조치 되었는지 확인합니다.
규제 그리고 공격과 방어,
양쪽에서 봅니다
인증 심사 대응과 기술 진단을 서로 다른 업체에 나눠 맡기면 어떻게 될까요? 같은 자산을 두 번 조사하고도, 심사에서 지적된 결함과 실제 침해 경로는 끝내 어긋난 채 남습니다. 그 둘을 맞춰 보는 일이 결국 담당자 몫이 되기 때문에, 저희는 두 영역을 하나의 범위 정의서 안에서 설계합니다.
ISMS-P 인증 컨설팅
범위 산정에서 시작해 결함 조치가 끝날 때까지, 인증 한 바퀴를 맡습니다.
자세히 02모의해킹 · 침투테스트
공격자가 들어올 수 있는 경로를 직접 시도해 봅니다. 뚫린 경로는 재현 절차와 영향 범위를 함께 기록합니다.
자세히 03취약점 진단
서버와 장비 설정, 소스코드를 항목 단위로 점검하고 양호와 취약을 가른 근거를 항목마다 명시합니다.
자세히 04개인정보 컴플라이언스
수집에서 파기까지 개인정보가 지나는 경로를 먼저 그립니다. 안전성 확보조치는 이행 여부를 항목별로 대조합니다.
자세히 05클라우드 보안
AWS·Azure·GCP 계정 구성을 훑어 과하게 열린 권한과 꺼져 있는 로그를 계정 단위로 짚어냅니다.
자세히 06거버넌스 · 교육
정책 문서를 만드는 데서 멈추지 않습니다. 사고가 났다고 가정하고 절차를 실제로 한 번 돌려 봅니다. 문서에는 있는데 현장에서 작동하지 않는 자리가 그때 드러납니다.
자세히모든 과업은
같은 다섯 단계를 거칩니다
단계마다 나가는 산출물은 계약서에 문서명 단위로 적힙니다. 마지막 재점검이 끝나기 전에는 종료로 처리하지 않습니다.
범위 정의
무엇을 볼지, 무엇을 보지 않을지를 여기서 문서로 못 박습니다. 규제 요건과 현장 제약도 이 문서에 들어갑니다. 여기가 헐거우면 뒤 단계가 전부 흔들립니다.
진단 수행
관리 점검과 기술 진단을 같이 돌립니다. 자동화 도구가 내놓은 결과 가운데 사람이 재현한 것만 보고서에 남습니다.
분석 · 보고
발견마다 재현 절차를 적고, 등급을 그렇게 매긴 근거도 함께 남깁니다.
이행 지원
조치 방향은 담당 부서와 상의해 정하고, 적용안은 저희가 검토해 드립니다. 당장 고치기 어려운 항목은 잔여위험으로 넘깁니다.
재점검
조치 확인 1회가 기본으로 들어갑니다. 확인 못 한 항목은 완료로 적지 않습니다.
판단 기준을
먼저 공개합니다
제안서를 나란히 놓고 보면 문장은 다들 비슷한데, 정작 누가 무엇을 어떻게 하겠다는 것인지는 잘 드러나지 않습니다. 그래서 위험도 산정 기준과 산출물 목록, 맡지 않는 과업까지 계약 전에 공개합니다. 저희 제안서에만 쓰시라고 올린 자료는 아닙니다.
진단 방법론
다섯 단계 절차와 위험도 등급 정의를 전부 공개합니다. 시험 중에 지키는 수행 규칙(Rules of Engagement)도 같이 실려 있습니다. 다른 업체 제안서를 검토하실 때 잣대로 쓰셔도 됩니다.
방법론 보기산출물 목록
받으실 문서를 서비스별로 미리 적어 두었습니다. 계약서에 들어가는 목록이 바로 이것이어서, “보고서 1식” 같은 표기는 나올 자리가 없습니다.
서비스별 산출물수행할 수 없는 과업
맡을 수 있는 일만 받습니다. 정보보호 전문서비스기업 지정이 필요한 과업, 지정 평가기관만 수행하는 영향평가는 수주하지 않습니다. 착수한 다음에 못 한다고 말씀드리면 담당자 일정이 통째로 밀립니다.
범위 확인재점검에서 확인되지 않은 항목에는 “조치 완료”라고 쓰지 않습니다. 왜 확인하지 못했는지를 적어 잔여위험 목록에 남깁니다. 그 목록도 최종 산출물에 함께 들어갑니다.
보고서 작성 규칙- 재현 가능한 근거 — 어떤 절차로 재현했는지를 발견마다 적습니다. 영향 범위와 조치 순서도 같은 항목 안에 들어갑니다.
- 조치 후 재점검 — 확인해 보지 않고 끝내지 않습니다.
- 규제 매핑 — 발견 하나하나를 인증기준과 법령 조항에 연결합니다. 어떤 지적이 심사에서 먼저 문제가 될지 미리 가늠하실 수 있습니다.
- 기밀 유지 — 착수 전에 NDA를 씁니다. 종료 후 파기 확인서까지가 기본 절차입니다.
체크리스트를 기반으로
언제든지 문의하세요
진단 현장에 실제로 들고 나가는 체크리스트입니다. 이메일을 남기실 필요는 없습니다. 다른 업체와 진행 중이셔도 활용하시는 데 문제없습니다.
현장에서 반복되는 것들
같은 질문을 여러 번 받으면 글로 정리합니다. 규제 해석이 엇갈리는 대목, 조치가 번번이 멈추는 지점을 다룹니다.
함께 할 사람을 찾습니다
컨설팅은 결국 사람이 하는 일이라, 채용은 서비스 품질과 같은 문제로 봅니다. 지금 열려 있는 자리입니다.