확인한 것만 보고서에 씁니다
쉴더스랩(SHIELDUS LAB)은 ISMS-P 인증 대응과 모의해킹·취약점 진단을 한 계약 안에서 수행하는 정보보호 컨설팅 회사이며, 진단으로 찾아낸 항목이 실제 조치로 이어지는 데까지를 과업 범위로 봅니다. 그래서 보고서 제출은 중간 지점입니다.
발견마다 담당자와 순서를 붙입니다
작년 보고서에 있던 항목이 올해 또 올라오는 이유는 무엇일까요. 담당자가 손을 놓아서인 경우는 드뭅니다. 발견 사항이 어느 조직의 어떤 작업으로 넘어가는지 적혀 있지 않고, 고쳤는지 되짚는 절차가 계약 범위에 없을 때 같은 목록이 해마다 되돌아옵니다.
그래서 저희는 발견마다 걸리는 규제 조항과 그 항목을 받아 갈 담당 조직을 함께 붙이고, 조치가 적용됐는지는 재점검에서 직접 열어 확인합니다. “지금은 안전한가”라는 질문까지 답한 뒤에 과업을 닫습니다.
확인한 범위와 확인하지 못한 범위를 보고서 안에서 구분해 표시합니다. 그래야 다음 사람이 어디서부터 이어받을지 알 수 있습니다.
보고서 작성 규칙이름이 곧. 하는 일입니다
shield us, 우리를 지킨다. 이어 읽으면 쉴더스가 되고, 여기에 연구를 뜻하는 LAB이 붙어 사명이 됐습니다. 국문 쉴더스랩과 영문 표기는 같은 말을 두 번 적은 것입니다.
여기서 us는 고객사만 가리키는 말이 아닙니다. 저희도 그 안에 들어갑니다. 지켜 주는 쪽과 지킴받는 쪽을 갈라 놓으면 보고서를 건네는 순간 일이 끝나 버리고, 그래서 조치가 닫히기 전까지는 저희 과업도 열려 있습니다.
LAB은 방법을 열어 둔다는 뜻으로 씁니다. 진단 순서와 위험도 등급 기준을 계약 전에 공개하고, 발견 하나하나에 재현 절차를 적습니다. 다시 해 봐도 같은 결과가 나오지 않는 항목은 연구 결과라고 부를 수 없습니다.
대표이사 인사말
두꺼운 보고서를 다 읽고도 다음 주 월요일 아침에 무엇부터 손대야 할지 모르겠다면, 저는 그것을 컨설팅의 실패라고 봅니다.
쉴더스랩은 그 지점에서 출발했습니다. 취약점 목록을 넘기는 데서 멈추면 담당자의 다음 주는 어제와 똑같기 때문입니다. 저희는 발견을 규제 조항과 담당 조직의 작업 단위로 옮기고, 왜 그 순서여야 하는지를 옆에 적습니다. 조치를 다시 확인하는 데까지가 계약 범위입니다.
할 수 없는 일을 할 수 있다고 말씀드리지 않습니다. 법령상 수행 자격이 제한된 과업이 있고, 저희가 보유하지 않은 지위도 있습니다. 그 경계는 이 홈페이지에 숨김 없이 적어 두었습니다. 확인하지 않은 것을 확인했다고 쓰는 일도 없습니다. 재현되지 않은 취약점은 보고서에 올라가지 않습니다.
방법론과 산출물 규격을 계약 전에 공개하는 것도 같은 이유에서입니다. 저희 판정이 맞는지 고객사가 직접 되짚어 볼 수 있어야 하니까요. 어디부터 봐야 할지 모르시겠다면 그 이야기부터 꺼내 주셔도 됩니다. 범위를 정하는 일에서부터 시작하겠습니다.
쉴더스랩 대표이사
이성훈
일하는 방식
근거를 공개하지 않으면 고객사는 저희 결론이 맞는지 확인할 길이 없습니다. 아래 항목은 요청하시면 계약서 조항으로 넣습니다.
근거부터
발견마다 재현 절차와 확인 근거가 붙습니다. 판단이 서지 않는 항목은 추정으로 적지 않고 “확인 필요”로 분리합니다. 무엇을 더 받으면 확정되는지도 그 자리에 밝혀 드립니다.
월요일에 바로 손댈 수 있게
위험도 하나로 순서가 정해지지는 않습니다. 고치는 데 걸리는 시간을 나란히 놓고 봐야 다음 주에 실제로 착수할 항목이 추려집니다.
알게 된 것은 밖으로 나가지 않습니다
착수 전 NDA를 먼저 쓰고, 진단 데이터는 합의된 경로로만 주고받으며, 보관 기간이 끝나면 파기한 뒤 확인서를 드립니다.
규제와 공격,
두 언어를 함께
심사원 앞에서 쓰는 말과, 공격자가 지나갈 길을 찾을 때 쓰는 말은 다릅니다. 이 둘을 다른 회사에 나눠 맡기면 담당자 책상 위에 목록이 두 개 남습니다. 저희는 한 프로젝트 안에서 보고, 우선순위 목록 하나로 합쳐 드립니다.
- 관리체계 — ISMS-P 인증기준과 개인정보보호법상 안전성 확보조치를 놓고, 내부 정책이 실제 운영과 맞물려 있는지 봅니다.
- 기술 진단 — 웹·API·모바일·내부망 모의해킹. 인프라와 소스코드 취약점 진단도 여기 들어갑니다.
- 클라우드 — AWS·Azure·GCP 구성을 진단하면서 IAM 권한 범위와 로그 적재 상태를 확인합니다.
- 운영 정착 — 사고가 나면 누가 먼저 전화를 받는지부터 정합니다. 모의훈련과 담당자 교육도 함께 합니다.