모의해킹 견적은 같은 대상, 같은 이름의 과업인데도 업체마다 몇 배씩 차이가 납니다. 대부분은 업체의 욕심이 아니라 범위와 방식이 다르기 때문입니다. 아래 항목을 그대로 물어보시면 어느 제안이 무엇을 포함하고 있는지 드러납니다.
1. 진단 방식 — 도구인가 사람인가
가장 큰 비용 차이가 여기서 납니다. 스캐너 결과를 정리한 보고서와, 각 항목을 사람이 재현해 오탐을 걸러낸 보고서는 작업량이 다릅니다.
2. 인증 이후 영역을 보는가
로그인 전 화면만 점검하는 진단은 실제 위험의 일부만 봅니다. 권한별 계정을 발급해 인가 우회, 수평·수직 권한 상승, 업무 논리 결함을 확인하는지가 핵심입니다.
3. API와 모바일이 범위에 있는가
화면만 점검하고 API를 제외하면, 가장 흔한 대량 정보 노출 경로가 빠집니다. 모바일 앱이 있다면 앱 자체 점검과 앱이 호출하는 API 점검은 별개 작업입니다.
4. 재점검이 포함되어 있는가
조치 후 재점검이 없으면 “고쳤다고 생각한 상태”로 끝납니다. 포함 여부와 범위(전체 재수행 / 조치 항목 한정)를 함께 확인하세요.
5. 산출물이 정의되어 있는가
“보고서 1식”은 정의가 아닙니다. 어떤 문서를 몇 종 받는지, 각 문서에 무엇이 들어가는지를 계약서에 적을 수 있어야 합니다.
- 발견 사항별 재현 절차가 포함되는가 요청·응답 등 근거 없이 “취약함”만 적힌 보고서는 조치에 쓸 수 없습니다.
- 위험도 산정 기준이 보고서에 명시되는가 등급 정의가 없으면 “High가 왜 High인가”로 회의가 한 번 더 생깁니다.
- 경영진 요약과 실무 조치 가이드가 분리되는가
- 조치 우선순위가 제시되는가 (위험도만이 아니라 조치 난이도까지)
- 보고 회의가 포함되는가, 몇 회인가
6. 수행 규칙이 문서로 있는가
진단은 사고와 종이 한 장 차이입니다. 아래가 서면으로 정해지지 않으면 나중에 책임 문제가 생깁니다.
- 대상 범위가 IP·도메인·계정 단위로 특정되는가
- 수행 시간대와 가용성 영향 가능성에 대한 합의가 있는가
- 비상 정지 조건과 연락 체계가 정해져 있는가
- 실데이터 취급 원칙(열람 범위, 추출 금지)이 명시되는가
- Critical 발견 시 즉시 통보 조항이 있는가
7. 데이터 파기와 비밀유지
- NDA를 착수 전에 체결하는가
- 진단 데이터의 보관 기간과 파기 시점이 정해져 있는가
- 파기 확인서를 제공하는가
- 산출물 전달 경로가 안전하게 합의되어 있는가
8. 누가 수행하는가
제안서에 적힌 회사와 실제 수행 인력이 다른 경우가 있습니다. 국내 조달에서 구매자가 실제로 평가하는 항목이기도 합니다.
- 참여 인력의 이력(경력 연차, 수행 분야)이 제시되는가
- 재하도급 여부와 범위가 명시되는가
- 과업 중 인력 교체 시 통보·승인 절차가 있는가
비교표로 쓰기
제안서가 여러 건이면 아래 형태로 옮겨 놓고 비교하시면 차이가 한눈에 보입니다.
| 항목 | 업체 A | 업체 B | 업체 C |
|---|---|---|---|
| 수동 검증 비중 | |||
| 인증 이후 영역 | |||
| API 포함 / 산정 기준 | |||
| 재점검 횟수 · 범위 | |||
| 산출물 종수 | |||
| 수행 규칙 문서 | |||
| 파기 확인서 | |||
| 참여 인력 이력 | |||
| 금액 |