계약 전에
먼저 공개합니다
진단은 결과보다 절차가 신뢰를 만듭니다. 저희가 실제로 쓰는 단계, 위험도 산정 기준, 산출물 구성, 수행 규칙을 그대로 공개합니다. 제안서를 비교하실 때 기준으로 쓰셔도 됩니다.
5단계 표준 절차
모든 과업은 같은 단계를 거칩니다. 마지막 재점검이 끝나야 종료로 봅니다. 단계별 산출물은 계약서에 그대로 명시됩니다.
범위 정의
대상 자산과 시스템, 적용 규제, 제약 조건(운영시간·부하 허용 범위·접근 경로)을 확정합니다. 범위가 흔들리면 이후 산출물이 전부 다시 만들어지므로, 이 단계에서 경계와 제외 대상을 문서로 못 박습니다.
- 과업 범위 정의서(대상·제외·전제조건)
- 수행 규칙 합의서(Rules of Engagement)
- 일정표 · 담당자 연락 체계
진단 수행
관리·기술·개인정보 영역을 병행 진단합니다. 자동 스캔 결과는 그대로 보고하지 않고, 사람이 재현해 오탐을 제거한 항목만 남깁니다. 진행 중 중대한 발견이 나오면 보고서를 기다리지 않고 즉시 통보합니다.
- 중간 공유(주 1회 또는 마일스톤 기준)
- 긴급 발견 즉시 통보 (Critical 한정)
- 진단 로그 · 수행 이력
분석 · 보고
발견 사항마다 재현 절차, 영향 범위, 위험도, 조치 방향을 붙입니다. 위험도는 아래 기준표로 산정하고 산정 근거를 함께 적습니다. 경영진 요약과 실무 조치 가이드는 분리합니다.
- 진단 결과 보고서(요약본 · 상세본)
- 발견 사항별 재현 절차와 근거
- 조치 우선순위표(위험도 × 조치 난이도)
이행 지원
조치 자체는 시스템 담당 조직이 수행합니다. 저희는 조치 방향 협의, 설정 예시 제공, 적용안 검토를 맡습니다. 조직 사정상 지금 못 고치는 항목은 억지로 닫지 않고 잔여위험으로 남깁니다.
- 조치 가이드(설정 예시 · 코드 수준 권고)
- 담당자 질의 대응
- 잔여위험 수용 문서 초안
재점검
조치했다고 보고된 항목을 다시 확인합니다. 재점검 1회는 기본 범위에 포함됩니다. 확인되지 않은 항목은 “조치 완료”로 적지 않습니다.
- 재점검 결과서(항목별 조치 확인/미확인)
- 최종 잔여위험 목록
- 진단 데이터 파기 확인서
위험도 산정 기준
등급은 느낌이 아니라 기준으로 정합니다. 아래 정의를 보고서 첫 장에 함께 싣기 때문에, 담당자가 등급의 의미를 두고 협의할 필요가 없습니다.
| 등급 | 정의 | 대응 기준 |
|---|---|---|
| Critical | 인증 없이 또는 일반 사용자 권한으로 시스템 장악·대량 개인정보 접근이 가능한 상태. 공격 난이도가 낮고 재현이 안정적임. | 발견 즉시 통보. 보고서 제출 전 협의 시작. |
| High | 특정 조건에서 권한 상승·인가 우회·중요 정보 노출이 가능. 실제 침해로 이어질 경로가 확인됨. | 보고 후 우선 조치 대상. 재점검 필수. |
| Medium | 단독으로는 영향이 제한적이나 다른 취약점과 결합 시 위험이 커지는 항목, 또는 규제 기준 미충족 사항. | 조치 계획에 포함. 일정 협의. |
| Low | 정보 노출 수준이 낮거나 악용 조건이 비현실적인 항목. 보안 강화 권고. | 여건에 따라 조치 또는 수용. |
| 확인 필요 | 제한된 접근 권한이나 환경 차이로 재현을 확정하지 못한 항목. 취약으로 단정하지 않습니다. | 추가 정보 제공 시 재확인. |
CVSS 점수를 함께 요구하시면 산정치를 병기합니다. 다만 최종 우선순위는 CVSS가 아니라 고객사 환경에서의 실제 영향과 조치 난이도로 정합니다.
수행 규칙
진단은 합의된 범위 안에서만 수행합니다. 아래 항목은 착수 전 서면으로 확정합니다.
- 사전 서면 승인 — 대상 IP·도메인·계정 범위를 명시한 승인 없이는 어떤 시험도 하지 않습니다.
- 가용성 영향 — 부하를 유발할 수 있는 시험은 별도 합의 후, 합의된 시간대에만 수행합니다.
- 데이터 취급 — 실데이터 열람은 필요한 최소 범위로 제한하고, 추출·복제하지 않습니다.
- 제3자 자산 — 고객사 소유가 아닌 자산(외부 SaaS·공용 인프라)은 범위에서 제외합니다.
- 비상 정지 — 이상 징후가 확인되면 즉시 중단하고 담당자에게 통보합니다.
- 기록 보존 — 수행 이력을 남겨 사후에 “누가 무엇을 했는지” 재구성할 수 있게 합니다.
하지 않는 일
할 수 있는 것만큼 하지 않는 것도 미리 밝히는 편이 서로에게 낫습니다.
- 스캐너 결과 납품 — 도구 출력물을 그대로 옮겨 담은 보고서는 만들지 않습니다. 오탐 제거와 재현이 끝난 항목만 싣습니다.
- 확인 없는 “조치 완료” — 재점검으로 확인되지 않은 항목은 완료로 기재하지 않습니다.
- 인증 통과 보장 — 심사 결과를 보장한다는 약속은 하지 않습니다. 결함 발생 가능 지점을 사전에 드러내는 것이 저희 역할입니다.
- 보안 솔루션 판매 — 제품을 팔지 않습니다. 도입이 필요하면 요건만 정의하고 선정은 고객사가 합니다.
- 범위 밖 진단 — 승인되지 않은 자산은 “해보니 되더라”라도 손대지 않습니다.