01 / When you need it
이런 경우에
이런 경우에
필요합니다
- 01보안 담당 조직을 새로 만들었다.
- 02정책 문서는 있지만 아무도 펼쳐 보지 않는다.
- 03사고가 났을 때 누가 먼저 무엇을 하는지 정해진 것이 없다.
- 04임직원 교육이 해마다 형식으로 흘러간다.
- 05개발 조직에 보안 기준을 어떤 형태로 전달해야 할지 모르겠다.
02 / Scope
수행 범위
- 정책 체계 설계 — 정책과 지침, 절차의 위계를 정리합니다. 지킬 수 있는 수준으로 낮추는 작업이 같이 들어갑니다.
- 조직 · 역할 정의 — 보안 의사결정을 누가 내리는지와 R&R을 정합니다. 겸직으로 운영되는 조직이라면 그 전제 위에서 운영 방안을 짭니다.
- 침해사고 대응 절차 — 사고가 나면 누가 먼저 전화를 받는지부터 정합니다. 탐지에서 사후분석까지 단계를 잇고 대외 신고 기준을 붙입니다.
- 모의훈련 — 시나리오를 만들고 실제로 돌린 뒤, 거기서 나온 문제를 개선 과제로 넘깁니다.
- 임직원 인식 교육 — 그 회사 업무에서 실제로 벌어지는 사례로 진행합니다. 어디서 본 듯한 일반론 슬라이드는 쓰지 않습니다.
- 개발자 시큐어코딩 교육 — 해당 조직의 코드에서 뽑은 패턴을 놓고 이야기합니다.
- 점검 체계 — 정기 점검 체크리스트와 지표를 만들어 둡니다. 담당자가 바뀌어도 운영이 남게 하려는 것입니다.
| 대상 | 보안 조직 신설·재정비, 침해사고 대응 체계 |
| 교육 | 임직원 인식 · 개발자 시큐어코딩 · 담당자 실무 |
| 형태 | 온라인 · 집합 교육 모두 가능 |
| 전제 | 현행 문서와 조직도 열람 |
03 / Deliverables
산출물
아래 목록은 계약서에 명시되는 항목과 같습니다. 여기 없는 문서가 필요하시면 착수 전에 말씀해 주세요. 중간에 끼워 넣으면 일정이 밀립니다.
기본 제공
- 정책 · 지침 문서 체계와 개정 이력 관리 방안
- 침해사고 대응 매뉴얼 · 연락 체계도
- 모의훈련 시나리오 및 결과 보고서
- 교육 자료 (조직 맞춤 사례 포함)
- 정기 점검 체크리스트 · 보안 지표 정의서
유의사항
- 이수증이 필요한 법정 교육은 별도 요건이 있습니다. 착수 전에 확인합니다.
- 모의훈련은 운영 영향이 없는 범위에서 설계합니다. 실제 시스템을 멈추지 않습니다.
- 정책 문서를 납품하는 데서 끝내지 않습니다. 운영 사이클이 최소 한 바퀴 도는 데까지 동행합니다.
단계별 절차와 위험도 산정 기준은 진단 방법론에 모두 공개해 두었습니다. 받아 보신 다른 제안서와 나란히 놓고 비교하셔도 됩니다.
04 / FAQ
자주 묻는 질문
문서만 만들어 주는 곳과 무엇이 다른가요?
만든 정책을 최소 한 번은 실제로 돌려 봅니다. 훈련이든 점검이든 한 바퀴를 돌려야 문서와 현장의 차이가 눈에 보입니다. 그 차이를 반영한 개정본까지가 산출물입니다.
우리 조직은 보안 전담자가 한 명뿐입니다.
그 규모에서 지킬 수 없는 절차를 만들면 문서만 남습니다. 한 명이 실제로 돌릴 수 있는 최소 체계를 먼저 세우고, 인원이 늘면 그때 확장하는 방식으로 설계합니다.
교육 자료는 재사용할 수 있나요?
네. 제작한 자료의 사용권은 고객사에 있으니 이후 내부 반복 교육에 그대로 쓰시면 됩니다.