서비스사이버 보안
사이버 보안
다른 누군가가 찾아내기 전에 시스템의 약점을 먼저 찾아, 막습니다.
소프트웨어, 서버, 네트워크, 연결된 설비를 운영하면서 실제로 얼마나 안전한지 알아야 하는 중소기업과 공장을 위한 서비스입니다. 점검하고, 찾아낸 문제를 고치고, 쉬운 말로 설명해 드립니다. 현재도 고객사를 위해 이 일을 하고 있습니다.
하는 일
- 웹사이트, 웹 앱, 사내 소프트웨어의 보안 점검.
- 침투 테스트: 고객의 서면 허가와 합의된 범위 안에서 공격자처럼 직접 뚫어 보고, 찾아낸 내용을 보여 드립니다.
- 서버와 네트워크 보안 강화: 접근 권한, 업데이트, 백업, 로그, 암호화.
- 연결된 기기와 공장 시스템의 보안: IoT, 임베디드 펌웨어, 설비 네트워크.
- 팀 교육: 대부분의 사고를 막아 주는 습관과 점검 방법.
- 문제가 생겼을 때의 대응: 확산 차단, 원인 파악, 복구, 재발 방지.
- ISMS와 한국 개인정보 보호법(PIPA) 준비: 기술적 보호 수준을 점검하고 준비를 돕습니다. 인증은 발급하지 않습니다.
진행 방식
저희의 모든 프로젝트와 마찬가지로, 유료 사전 진단으로 시작합니다. 시스템을 살펴보고, 위험을 중요도 순으로 정리하고, 해결에 필요한 작업을 추산합니다. 명확한 보고서를 드리며, 저희가 고칠지, 고객이 할지, 다른 곳이 할지는 고객이 정합니다. 저희가 적합하지 않은 경우에는 그렇게 말씀드립니다. 고객의 서면 허가와 합의된 범위 안에서만 작업합니다. 주요정보통신기반시설(예: 에너지, 통신, 금융, 공공기관)은 법에서 지정된 기관만 점검할 수 있으므로 저희는 점검하지 않습니다.
저희가 얼마나 볼 수 있게 할지는 고객이 정합니다. 많이 볼수록 같은 시간에 더 많이 찾아내므로, 무엇을 공유할 수 있고 무엇을 지켜야 하는지에 따라 선택이 달라집니다.
세 가지 점검 방식
- 외부에서(블랙박스). 고객이 알려 주는 공개 주소(웹사이트, 앱, IP 대역)만 받습니다. 합의된 범위와 기간 안에서 인터넷상의 공격자가 하는 일을 합니다. 누구나 볼 수 있는 것을 현실적으로 처음 살펴보거나, 코드를 공유할 수 없을 때 적합합니다. 한계: 로직에 숨은 문제, 코드 안의 키, 오래된 라이브러리는 보이지 않는 경우가 많습니다.
- 계정 제공(그레이박스). 역할별 테스트 계정(고객, 직원, 관리자), 문서, API 설명을 받습니다. 외부 점검에 더해, 로그인한 사용자나 탈취된 계정이 닿을 수 있는 범위를 봅니다. 다른 고객의 데이터, 관리자 기능, 결제가 해당합니다. 위험 대부분이 로그인 뒤에 있는 웹 앱, 포털, 쇼핑몰에 흔히 쓰는 방식입니다.
- 소스 코드 제공(화이트박스). 코드, 설정, 아키텍처에 대한 짧은 설명을 받습니다. 코드를 검토하고 실행 중인 시스템을 점검하므로 더 적은 시간에 더 많은 문제를 찾고, 정확한 줄과 수정 방법을 알려 드립니다. 저희는 소프트웨어와 하드웨어를 직접 만들기 때문에 개발자와 같은 눈으로 코드를 읽습니다. 소유하고 있거나 개발을 맡겨 만든 소프트웨어, 출시 전, 큰 변경 후에 가장 적합합니다.
저희의 권고
코드가 고객의 것이라면 화이트박스를 선택하십시오. 더 적은 시간에 더 많이 찾습니다. 그렇지 않다면 그레이박스입니다. 외부 점검은 빠른 첫 확인입니다. 시스템별로 섞어서 쓸 수도 있습니다.
코드나 계정을 저희에게 주셔도 그것은 계속 고객의 것입니다. 이 조건은 점검 전에 서명하는 허가 계약서에 명시됩니다.
고객의 코드는 고객의 것입니다
- 서면으로 합의한 안전한 경로로 전달받으며, 일반 이메일로는 받지 않습니다. 전달된 내용은 고객이 확인합니다. 암호화해서 보관하고, 프로젝트에 지정된 사람만 열어 볼 수 있습니다.
- 고객의 점검에만 사용합니다. 재사용하지 않으며, 받은 내용을 보관하거나 학습하는 도구, 서비스, AI 모델에는 입력하지 않습니다.
- 사본을 남기지 않습니다. 끝나면 코드와 작업 데이터를 되돌려 드리거나 복구할 수 없게 삭제하며, 요청하시면 서면으로 확인해 드립니다.
- 고객의 코드에 대한 권리는 저희에게 넘어오지 않습니다. 코드 일부가 고객의 공급업체 소유라면, 저희와 공유해도 되는지 확인해 주시거나 제외할 부분을 알려 주십시오.
점검 전에 자주 받는 질문입니다.
결정하기 전에
- 소스 코드가 꼭 필요합니까? 아닙니다. 외부에서, 계정으로, 코드로 중에서 고객이 고릅니다. 코드를 보면 더 많이 찾습니다.
- 점검이 시스템을 망가뜨릴 수 있습니까? 점검 기간과 기법을 미리 합의합니다. 서비스를 멈출 수 있는 공격은 고객이 서면으로 요청하지 않는 한 제외하며, 고객은 언제든 점검을 중단시킬 수 있습니다.
- 우리 코드와 데이터를 누가 봅니까? 계약서에 명시된 사람만 봅니다. 점검이 끝나면 아무것도 남기지 않습니다.
- 호스팅이나 클라우드 업체도 점검합니까? 업체의 허가를 받았거나 업체의 규정 안에서만 합니다. 업체에 보낼 1쪽짜리 허가서를 드립니다.
받으시는 것
세 방식 모두 서면 보고서를 드립니다. 무엇을 어떻게 점검했는지, 각 발견 사항의 심각도와 재현 방법, 우선순위 순 권고, 경영진을 위한 1쪽 요약이 들어 있습니다. 수정한 항목에 대한 재점검 1회가 포함되며, 추가 재점검은 별도로 견적을 드립니다.