보고서가 두 개면 우선순위도 두 개입니다
관리체계는 A업체, 기술진단은 B업체. 이렇게 갈라 맡기면 담당자 책상 위에 위험도 기준이 서로 다른 보고서 두 권이 놓입니다. 어느 쪽 “높음”을 먼저 잡아야 하는지는 어느 쪽에도 적혀 있지 않습니다. 여섯 영역의 발견을 같은 등급 정의로 판정해 우선순위 목록 하나로 묶는 이유입니다.
ISMS-P 인증 컨설팅
범위를 긋는 일에서 결함을 닫는 일까지 인증 한 바퀴를 동행하되, 심사가 끝난 다음 날에도 같은 방식으로 돌아가는 체계를 남기는 데 목표를 둡니다.
자세히 → 02모의해킹 · 침투테스트
계정 하나를 손에 넣은 뒤 어디까지 들어갔는지, 그 경로를 재현해 보여 드립니다. 스캐너 출력물을 옮겨 적는 작업과는 성격이 다릅니다. 웹과 API가 기본이고 모바일과 내부망은 범위 협의에서 정합니다.
자세히 → 03취약점 진단
“양호 / 취약” 두 글자만 찍힌 표로는 담당자가 손을 댈 수 없습니다. 무엇을 어떻게 확인했고 어디를 바꾸면 닫히는지를 항목마다 적어 드립니다.
자세히 → 04개인정보 컴플라이언스
사고는 대개 처리방침 문장이 아니라 데이터가 실제로 오가는 구간에서 납니다. 수집부터 파기까지 구간을 나눠 따라가며 각 구간의 법적 근거와 조치 상태를 확인합니다.
자세히 → 05클라우드 보안
처음 만들 때 켠 설정이 손대지 않은 채 남아 있는지 계정 단위로 확인해 권한 범위와 로깅 상태를 확인합니다.
자세히 → 06보안 거버넌스 · 교육
정책과 절차를 만든 뒤 훈련으로 한 번 돌려 봅니다. 사고 당일에 실제로 펼쳐지는 문서인지는 그때 드러납니다. 어긋난 부분을 고친 개정본까지 넘겨 드립니다.
자세히 →어디서부터 봐야 할지
모르겠다면
먼저 봐야 할 것은 상황마다 다르니, 아래 여섯 줄 가운데 지금과 가장 가까운 것을 골라 주세요. 다만 의무 대상 여부는 매출과 이용자 수, 업종을 겹쳐 봐야 갈리는 문제라 자료를 놓고 검토해 드립니다.
| 지금 상황 | 관련 기준 | 먼저 볼 것 |
|---|---|---|
| 인증 취득을 요구받았다 (고객사 · 투자사 · 규제) |
ISMS / ISMS-P 인증기준 | ISMS-P 인증 컨설팅 — 범위를 긋는 일부터 |
| 오픈 날짜가 이미 잡혔다 | 계약상 보안 요구사항 · 자체 기준 | 모의해킹 + 취약점 진단 |
| 개인정보를 대량으로 처리한다 | 개인정보보호법 · 안전성 확보조치 기준 | 개인정보 컴플라이언스 |
| 공공기관 대상 클라우드 서비스를 제공한다 | 클라우드 보안인증(CSAP) | 클라우드 보안 — 요건 정리와 사전 진단 |
| 보안 담당 조직을 새로 만든다 | 내부 정책 · 침해사고 대응 체계 | 거버넌스 · 교육 |
| 사고가 났거나, 날 뻔했다 | — | 침해 경로부터 봐야 합니다. 먼저 연락 주세요 |
할 수 없는 것도
먼저 밝힙니다
국내 정보보호 시장에는 법으로 자격이 정해진 과업이 있고, 지정을 받은 사업자만 그 일을 맡을 수 있습니다. 그 선 밖에 있는 항목이라면 “가능하다”고 적지 않고 아래에 그대로 밝혀 둡니다.
- 주요정보통신기반시설 취약점 분석·평가 — 이 과업은 「정보보호산업의 진흥에 관한 법률」에 따라 정보보호 전문서비스기업 지정을 받은 사업자가 맡습니다. 쉴더스랩은 지정 사업자가 아니어서 이 과업은 수주하지 않습니다. 다만 그 기준의 점검 항목을 참고한 자체 취약점 진단은 수행합니다.
- 개인정보 영향평가(PIA) 수행 — 평가 자체는 지정된 평가기관의 몫입니다. 저희 자리는 그 앞쪽입니다. 요구 자료를 정비하고 흐름도를 그려 사전 점검까지 마쳐 두는 대응 준비를 맡습니다.
- 인증 심사 — 컨설팅을 한 곳이 심사까지 맡을 수는 없습니다. 심사는 인증기관과 심사기관이 합니다. 저희는 심사 대응 준비까지 갑니다.
- 보안 솔루션 판매 — 제품은 팔지 않습니다. 도입이 필요하면 요건까지만 써 드리고, 어느 제품을 고를지는 담당자께서 정하시면 됩니다.