01 / When you need it
이런 경우에
이런 경우에
필요합니다
- 01인증 심사나 내부 감사에서 기술 진단 결과를 요구받았다.
- 02서버가 늘면서 설정이 제각각이 되었다.
- 03이전 진단 보고서를 받아 뒀지만 무엇부터 손대야 할지가 보이지 않는다.
- 04개발 조직에 건네줄 시큐어코딩 기준이 없다.
- 05조치를 마쳤다는 회신은 받았는데 정말 닫혔는지 확인할 방법이 없다.
02 / Scope
수행 범위
- OS · DBMS — 계정과 권한부터 봅니다. 패치 수준과 로그 설정, 켜 둘 이유가 없는 서비스, 손대지 않은 기본 계정이 뒤따릅니다.
- 네트워크 · 보안 장비 — 접근 통제 정책이 의도대로 걸려 있는지 확인합니다. 관리 인터페이스가 밖에서 보이는지, 로그를 남기고는 있는지도 함께 봅니다.
- 웹서버 · WAS — 디렉터리가 열려 있지는 않은지, 오류 페이지가 내부 정보를 뱉지는 않는지 봅니다. 보안 헤더 설정과 업로드 처리도 점검 대상입니다.
- 소스코드 — 입력 검증과 인증·인가, 암호화 적용, 오류 처리를 봅니다. 소스에 그대로 박혀 있는 비밀정보는 특히 눈여겨봅니다.
- 판정 근거 기록 — 항목마다 어떤 명령으로 어디를 봤는지와 그 결과를 남깁니다. 다음 진단 때 같은 기준으로 비교하기 위해서입니다.
- 조치 우선순위 — 위험도만 보지 않고 조치 난이도를 같이 매깁니다. “이번 분기에 무엇부터”가 표에서 바로 읽히도록 정리합니다.
| 시스템 | Linux · Windows · DBMS · 네트워크/보안 장비 |
| 코드 | 주요 언어 · 프레임워크 시큐어코딩 진단 |
| 항목 | 공개된 기술적 점검 기준을 환경에 맞게 조정 |
| 전제 | 점검 계정 발급 또는 담당자 동석 |
03 / Deliverables
산출물
아래 목록은 계약서에 명시되는 항목과 같습니다. 여기 없는 문서가 필요하시면 착수 전에 말씀해 주세요. 중간에 끼워 넣으면 일정이 밀립니다.
기본 제공
- 항목별 진단 결과서 (양호 / 취약 / 해당없음 + 판정 근거)
- 취약 항목 조치 가이드 및 설정 예시
- 조치 우선순위표
- 경영진 요약 리포트
- 재점검 결과서 (1회 포함)
유의사항
- 「주요정보통신기반시설 취약점 분석·평가」는 정보보호 전문서비스기업 지정 사업자가 맡는 과업입니다. 쉴더스랩은 지정 사업자가 아니고, 이 과업은 수주하지 않습니다. 다만 그 기준의 점검 항목을 참고한 자체 진단은 합니다.
- 에이전트를 깔아야 하는 자동화 도구는 기본적으로 쓰지 않습니다. 꼭 필요하면 먼저 협의합니다.
- 소스코드 진단은 저장소 접근이나 사본이 필요합니다. 과업이 끝나면 파기합니다.
단계별 절차와 위험도 산정 기준은 진단 방법론에 모두 공개해 두었습니다. 받아 보신 다른 제안서와 나란히 놓고 비교하셔도 됩니다.
04 / FAQ
자주 묻는 질문
점검 항목을 미리 볼 수 있나요?
네. 범위 협의 단계에서 적용할 항목표를 먼저 드립니다. 환경에 맞지 않는 항목은 빼고 필요한 항목은 넣어서 확정한 다음에 착수합니다.
자동화 도구만 돌리는 것과 진짜 다른가요?
도구는 후보를 찾는 데까지만 씁니다. 그 후보를 사람이 하나씩 확인해 오탐을 걷어내고, 이 환경에서 실제로 문제가 되는 항목만 보고서에 남깁니다. 오탐이 섞인 목록은 담당자의 시간을 가장 많이 잡아먹습니다.
재점검은 어디까지 해주나요?
조치했다고 알려주신 항목을 다시 확인하는 데까지가 기본 범위이고, 1회가 포함되어 있습니다. 전체를 다시 도는 것은 따로 산정합니다.