AI, 클라우드 등의
환경 부터 살펴봅니다.
제안서를 여러 곳에서 받아 놓고도 무엇을 기준으로 비교해야 할지 막막할 때가 있습니다. 쉴더스랩은 그래서 실제로 쓰는 5단계 절차와 위험도 산정 기준, 산출물 규격을 계약 전에 공개합니다. 감추면 비교가 안 되니까요.
5단계 표준 절차
과업 종류가 달라도 단계는 같고, 05 재점검이 끝나야 종료입니다. 각 단계에서 무엇이 나오는지는 계약서에 명시합니다.
범위 정의
어디까지 볼지부터 정합니다. 대상 자산과 적용 규제는 물론이고, 언제 시험해도 되는지, 부하는 어디까지 허용되는지, 어느 경로로 들어가야 하는지까지 여기서 확정합니다. 이 단계가 흔들리면 뒤따르는 산출물을 전부 다시 만들게 되므로, 범위 밖으로 빼는 대상까지 문서에 남깁니다.
- 과업 범위 정의서(대상·제외·전제조건)
- 수행 규칙 합의서(Rules of Engagement)
- 일정표 · 담당자 연락 체계
진단 수행
관리·기술·개인정보를 나눠 맡아 동시에 진행합니다. 자동 스캔 결과는 옮겨 담지 않고, 사람이 한 번 재현해 본 항목만 남깁니다. Critical이 나오면 보고서를 기다리지 않고 바로 연락드립니다.
- 중간 공유(주 1회 또는 마일스톤 기준)
- 긴급 발견 즉시 통보 (Critical 한정)
- 진단 로그 · 수행 이력
분석 · 보고
발견마다 재현 절차와 조치 방향을 달고, 영향 범위와 등급 판정 근거도 같은 항목 안에 적습니다. 경영진이 읽을 요약과 실무자가 들고 다닐 가이드는 따로 만듭니다.
- 진단 결과 보고서(요약본 · 상세본)
- 발견 사항별 재현 절차와 근거
- 조치 우선순위표(위험도 × 조치 난이도)
이행 지원
실제로 고치는 손은 시스템 담당 조직입니다. 저희는 방향을 잡아 드리고, 설정 예시를 제공하고, 적용안이 맞는지 검토합니다. 조직 사정상 당장 고치기 어려운 항목은 억지로 닫지 않고 잔여위험으로 남깁니다.
- 조치 가이드(설정 예시 · 코드 수준 권고)
- 담당자 질의 대응
- 잔여위험 수용 문서 초안
재점검
조치했다고 올라온 항목을 저희가 다시 열어 봅니다. 재점검 1회는 기본 범위이며, 확인되지 않은 항목은 “조치 완료”로 적지 않습니다.
- 재점검 결과서(항목별 조치 확인/미확인)
- 최종 잔여위험 목록
- 진단 데이터 파기 확인서
위험도 산정 기준
“이건 왜 High입니까?” 보고 자리에서 가장 자주 나오는 질문입니다. 그래서 항목마다 아래 표의 어느 줄에 걸려 그 등급이 됐는지 밝히고, 같은 표를 보고서 첫 장에도 싣습니다.
| 등급 | 정의 | 대응 기준 |
|---|---|---|
| Critical | 인증 없이 또는 일반 사용자 권한으로 시스템 장악·대량 개인정보 접근이 가능한 상태. 공격 난이도가 낮고 재현이 안정적임. | 발견 즉시 통보. 보고서 제출 전 협의 시작. |
| High | 특정 조건에서 권한 상승·인가 우회·중요 정보 노출이 가능. 실제 침해로 이어질 경로가 확인됨. | 보고 후 우선 조치 대상. 재점검 필수. |
| Medium | 단독으로는 영향이 제한적이나 다른 취약점과 결합 시 위험이 커지는 항목, 또는 규제 기준 미충족 사항. | 조치 계획에 포함. 일정 협의. |
| Low | 정보 노출 수준이 낮거나 악용 조건이 비현실적인 항목. 보안 강화 권고. | 여건에 따라 조치 또는 수용. |
| 확인 필요 | 제한된 접근 권한이나 환경 차이로 재현을 확정하지 못한 항목. 취약으로 단정하지 않습니다. | 추가 정보 제공 시 재확인. |
CVSS 점수가 필요하시면 옆에 나란히 적어 드립니다. 다만 조치 순서는 그 환경에서 실제로 어떤 피해가 생기는지, 고치는 데 얼마나 걸리는지를 보고 정합니다.
수행 규칙
합의된 범위 밖은 건드리지 않습니다. 아래 항목은 착수 전에 서면으로 확정합니다.
- 사전 서면 승인 — 대상 IP·도메인·계정 범위를 적은 승인서가 없으면 시험을 시작하지 않습니다.
- 가용성 — 부하가 걸릴 수 있는 시험은 따로 합의하고, 합의한 시간대에만 돌립니다.
- 실데이터를 다루는 방식 — 열람은 필요한 최소 범위까지입니다. 밖으로 내보내거나 사본을 남기지 않습니다.
- 제3자 자산 — 고객사 소유가 아닌 외부 SaaS나 공용 인프라는 범위에서 뺍니다.
- 이상 징후가 보이면 멈춥니다 — 서비스에 영향이 갈 조짐이 확인되면 그 자리에서 중단하고 담당자에게 알립니다. 재개할지는 담당자가 정합니다.
- 기록 보존 — 누가 언제 무엇을 했는지 나중에 되짚을 수 있도록 수행 이력을 남깁니다.
하지 않는 일
계약서에 도장을 찍은 뒤에 알게 되면 서로 곤란합니다. 그래서 미리 밝혀 드립니다.
- 스캐너 결과 납품 — 도구 출력물을 그대로 옮겨 담은 보고서는 만들지 않습니다. 오탐을 걷어 내고 사람이 재현한 항목만 싣습니다.
- 확인 없는 “조치 완료” — 재점검에서 저희가 직접 확인한 항목만 완료로 기록합니다.
- 인증 통과 보장 — 심사 결과를 보장하겠다는 약속은 드리지 않습니다. 결함이 날 만한 지점을 심사 전에 드러내는 것이 저희 몫입니다.
- 보안 솔루션 판매 — 제품을 팔지 않는 대신, 도입이 필요하면 요건만 정리해 드리고 어느 제품을 살지는 고객사가 정합니다.
- 범위 밖 진단 — 승인되지 않은 자산은 “해 보니 되던데요”라도 손대지 않습니다.