보안
주장이 아니라 증명할 수 있는 보안
보안 진단, 보안 중심 설계, 컴플라이언스 준비. 한국·일본·EU에서 개인정보를 다룬다면 질문은 “안전합니까”가 아니라 거의 언제나 “그것을 보여 줄 수 있습니까”입니다.
제공 내용
진단과 위협 모델링
실제로 악용될 수 있는 지점을 찾아내고, 팀이 차례로 손댈 수 있는 순서로 정리해 드립니다.
- 체크리스트 기입이 아니라 문서화된 위협 모델을 산출물로 하는 아키텍처·데이터 흐름 검토
- 개발자가 그대로 재현할 수 있는 절차를 붙인 OWASP ASVS 기준 인증 후 애플리케이션 진단
- 클라우드 구성 검토: 인증, 네트워크 경계, 키 관리, 로그 적용 범위
- 의존성과 공급망 검토. 빌드와 릴리스 파이프라인 자체도 대상에 포함합니다
보안 중심 설계와 강화
나중에 부재를 지적해 발견 사항으로 만드는 대신, 통제를 처음부터 넣습니다.
- 인증·인가 설계: 세션, 토큰, 서비스 간 신뢰, 그리고 폐기 시의 동작
- 비밀 관리, 키 교체, 전송 중·저장 시 암호화. 키의 관리 책임까지 문서로 남깁니다
- 데이터 분류와 최소화, 테넌트 격리, 그리고 게시가 아니라 실제로 강제되는 보존 규칙
- 위협 모델에 맞춘 로그와 탐지. 누군가 대응하기로 합의한 알림만 울립니다
컴플라이언스 준비와 증적
많은 심사는 통제가 아니라 증적에서 무너집니다. 시스템을 만드는 동안 함께 증적을 쌓습니다.
- 정책 문구가 아니라 실제 운영 구성에 대한 개인정보보호법·APPI·GDPR·ISO 27001 통제 매핑
- 적·황·녹 그림이 아니라 담당과 공수와 순서까지 제시하는 격차 분석
- 자동화할 수 있는 증적 수집은 자동화하고, 그럴 수 없는 것은 절차로 문서화합니다
- 수탁사와 재위탁사 보안 검토, 그리고 그에 따라 필요한 기록의 정비
일하는 원칙
지적에는 반드시 해결책을 붙입니다
위험만 나열하고 대응 경로가 없는 보고서는 문제를 푸는 대신 넘길 뿐입니다. 저희가 올리는 모든 지적에는 제안하는 조치와 공수 추정이 함께 붙습니다.
심각도는 맥락이 정합니다
아무 데서도 닿을 수 없는 구성 요소의 치명적 취약점은 치명적 위험이 아닙니다. 고객사 네트워크를 본 적 없는 스캐너 기본값이 아니라 실제 구성에 따라 순위를 매깁니다.
월요일을 넘기는 통제
업무를 막는 통제는 대개 한 달 안에, 그것도 조용히 꺼집니다. 정책이 가정하는 업무가 아니라 사람들이 실제로 하는 업무에 맞춰 설계합니다.
증적은 부산물로
통제 하나를 증명하는 데 일주일치 화면 캡처가 든다면 두 번은 증명되지 않습니다. 심사 때마다 모으는 대신 시스템에서 저절로 나오게 만듭니다.
함께하는 방식
2 – 5주
보안 진단
애플리케이션이나 클라우드 환경, 또는 둘 다를 기간을 정해 진단하고, 재현 절차와 조치 방안을 붙인 우선순위 지적 목록을 제출합니다.
4 – 12주
조치와 강화
지적 사항을 고객사 팀과 함께, 또는 저희가 직접 처리하고, 재진단으로 “이동”이 아니라 “해소”임을 확인합니다.
2 – 6개월
컴플라이언스 준비
감사, 고객사 보안 심사, 또는 일본·한국 조달 절차를 앞두고 통제 매핑과 격차 해소, 증적 준비를 진행합니다.
다루는 기술
프로젝트마다 선택합니다. 모든 과제에 밀어 넣는 자사 표준 스택은 두지 않으며, 고객사 팀이 이미 운영하고 있는 기술에 맞춥니다.
인증과 비밀 관리
저희가 상의를 받는 사고의 대부분은 취약점 악용이 아니라 자격 증명에서 시작합니다. 힘을 쏟아야 할 곳은 여기입니다.
- Vault
- Okta
- AWS IAM
- Entra ID
- OIDC / SAML
- mTLS
진단과 분석
자동화가 믿을 만한 범위는 자동으로, 그렇지 않은 범위는 사람이. 스캐너는 결함의 유형을 찾고, 사람은 로직의 허점을 찾습니다.
- Kali Linux
- SonarQube
- GitHub Actions
- Python
- OWASP ASVS
- Burp Suite
- ZAP
- Semgrep
- Trivy
탐지와 증적
사고 대응 중에 질문에 답할 수 있는 로그, 그리고 사고 뒤에 반드시 요구되는 기록을 남기는 구조.
- Elasticsearch
- OpenTelemetry
- Cloudflare WAF
- Grafana
- ISO 27001
- APPI / PIPA / GDPR
프로젝트 진행 방식
1주 차
범위 설정
대상 자산, 신뢰 경계, 수행 규칙, 그리고 건드려서는 안 되는 영역. 진단을 시작하기 전에 모두 문서로 합의합니다.
1 – 4주 차
진단
위협 모델링, 테스트, 구성 검토. 확인된 지적은 최종 보고서까지 묶어 두지 않고 그때그때 공유합니다.
3 – 10주 차
조치
심각도 순으로 고객사 팀과 함께 조치를 설계하고 구현합니다. 재진단 합격 기준은 착수 전에 합의합니다.
8주 차 이후
증적화
통제 문서화, 증적 수집, 그리고 감사인과 고객사 보안 질의서에 제출할 자료 일습.
남게 되는 것
- 항목마다 심각도, 재현 절차, 제안 조치, 공수 추정을 붙인 지적 보고서
- 계약이 끝난 뒤에도 계속 쓸 수 있는 문서화된 위협 모델
- 해소된 것과 수용된 것을 구분한 재진단 결과. 수용은 그 판단과 책임자까지 기록합니다
- 실제 설정까지 되짚을 수 있는 개인정보보호법·APPI·GDPR·ISO 27001 통제 매핑
- 다시 쓰지 않고 그대로 고객사나 감사인에게 보낼 수 있는 보안 심사 자료 일습
이 영역에서 상의할 일이 있으십니까
문제의 윤곽을 알려 주십시오. 저희가 적임인지 아닌지 솔직하게 말씀드리겠습니다.