거래처에서 보안점검 결과를 받았는데 "2단계 인증 미적용, 로그인 실패 잠금 없음, 개인정보 평문 저장" 같은 지적 사항이 줄줄이 적혀 있다면, 누구에게 맡겨야 할까요? 검색하면 대부분 보안 컨설팅 회사가 나옵니다. 하지만 지적 사항을 실제로 고치는 일은 대부분 개발 작업입니다.
결론부터: 진단은 컨설팅 업체, 조치는 개발사
보안 컨설팅 업체와 개발사는 하는 일이 다릅니다. 둘 중 무엇이 필요한지는 지금 어느 단계에 있는지로 정해집니다.
| 구분 | 보안 컨설팅 · 진단 업체 | 개발사 (보안점검 대응 개발) |
|---|---|---|
| 주요 업무 | 취약점 진단, 모의해킹, ISMS · ISMS-P 인증 컨설팅, 관리체계 수립 | 지적 사항을 실제 시스템 코드 · DB · 서버에 구현 |
| 결과물 | 진단 보고서, 개선 권고, 정책 문서 | 동작하는 보안 기능, 항목별 증적, 회신서 |
| 적합한 시점 | 우리 시스템에 어떤 문제가 있는지 모를 때, 인증을 받아야 할 때 | 지적 사항을 이미 받았고 기한 안에 고쳐야 할 때 |
| 이행점검 | 재진단 | 조치한 기능 시연과 증적 제출 |
컨설팅 보고서에는 "2단계 인증을 적용하라"고 적혀 있지만, 로그인 화면에 문자 인증을 붙이고 인증 이력을 DB에 남기는 일은 시스템을 아는 개발자가 해야 합니다.
지적 사항 대부분은 개발이 필요합니다
저희가 대응한 대형 금융사 보안점검에서는 1 · 2차 보안심사 지적 사항 22건이 나왔고, 대부분이 시스템 기능 개발로 이어졌습니다. 대표적인 항목은 다음과 같습니다.
- 외부 접속 시 2단계 인증(문자 · OTP)
- 로그인 5회 실패 잠금, 본인 확인 후 잠금 해제
- 장기 미접속 · 퇴사자 계정 자동 잠금
- 동시 접속 제한, 세션 타임아웃, 관리자 IP 제한
- 비밀번호 일방향 암호화, 고유식별정보 컬럼 암호화, 암호키 분리
- 접속기록 보관 · 대량 다운로드 사유 기록 · 월간 점검 보고서
- 보유 기간이 지난 개인정보 자동 파기
문서만 고쳐서 끝나는 항목은 내부관리계획, 교육 기록, 서약서 정도입니다. 나머지는 운영 중인 시스템을 멈추지 않고 고쳐야 합니다.
특히 오래된 시스템이라면
만든 업체와 연락이 끊긴 레거시 시스템은 컨설팅 업체가 문제를 찾아도 고칠 사람이 없습니다. PHP · Java(JSP) · ASP처럼 오래된 언어로 만든 시스템은 보안 기능을 붙이기 전에 소스와 DB 구조부터 분석해야 하고, 지원이 끝난 언어 · 서버 버전 업그레이드가 함께 필요한 경우도 많습니다.
개발사를 고를 때 확인할 질문 5가지
- 실제 보안점검 지적 사항을 개발로 조치해 본 경험이 있나요? 일반 개발 경험과는 다릅니다.
- 항목별 증적과 회신서도 준비해 주나요? 조치를 해도 증적이 없으면 인정받기 어렵습니다.
- 다른 업체가 만든 시스템도 분석해 고칠 수 있나요?
- 이행점검(재점검)까지 함께하나요?
- 점검이 끝난 뒤에도 보안 상태를 유지해 주나요? 다음 해 정기점검에서 같은 지적을 받지 않으려면 월간 운영이 필요합니다.
제너릭아이티는
제너릭아이티는 보안점검 지적 사항을 실제 시스템에 개발로 조치하는 개발사입니다. 대기업 · 보험사 · 금융사 보안점검을 대응하며 대형 금융사 보안점검 · 이행점검 8회, 점검표 200여 개 항목, 지적 사항 22건 조치 개발, 이행점검 증적 70건 작성을 직접 수행했습니다. 언어와 상관없이 다른 업체가 만든 시스템도 분석해 조치하고, 점검 후에는 월간 보안 운영으로 상태를 유지합니다. 자세한 내용은 협력업체 보안점검 대응을 참고하세요.