침투 테스트 보고서에 담기는 내용: 구매자 가이드

무엇인가

침투 테스트 보고서는 무엇을, 어떻게, 어떤 조건에서 테스트했고 무엇을 발견했는지를 기록한 문서입니다. 보고서는 두 부류의 독자가 읽을 수 있어야 합니다. 비기술 이해관계자에게는 전체 리스크, 가장 중요한 문제, 권장 우선순위를 담은 짧은 요약이 필요합니다. 기술 팀에게는 각 발견 사항을 이해하고, 안전한 환경에서 재현하고, 수정할 수 있을 만큼의 세부 내용이 필요합니다. 좋은 보고서는 자신의 한계도 기록합니다. 범위 밖이었던 것, 테스트할 수 없었던 것, 그리고 테스트 계정을 사용할 수 없었거나 테스트 기간이 단축되는 등 커버리지에 영향을 준 조건입니다. 이러한 한계가 없으면 독자는 보고서가 실제보다 더 넓은 범위를 다룬다고 생각할 수 있습니다.

누구를 위한 것인가?

이 가이드는 다음과 같은 분들께 유용합니다.

• 제안서를 비교하며 실제로 어떤 결과물을 받게 되는지 알고 싶은 구매 담당자
• 발견 사항을 전달받아 조치를 계획해야 하는 엔지니어링 리드
• 결과를 과장하지 않고 고객, 파트너, 감사인 또는 이사회에 요약을 공유해야 하는 관리자
• 이전에 받은 보고서를 실행으로 옮기기 어려웠던 팀

무엇을 명확히 하는 데 도움이 되는지

예상되는 구성을 알면 다음을 확인할 수 있습니다.

• 보고서의 범위와 수행 규칙이 합의된 내용과 일치하는지
• 각 발견 사항에 증거, 명확한 심각도 등급, 실질적인 조치 지침이 있는지
• 어떤 문제는 즉시 조치가 필요하고 어떤 문제는 일반 개발 주기에 계획할 수 있는지
• 어떤 내용은 외부에 안전하게 공유할 수 있고 어떤 내용은 기술 인력에게만 두어야 하는지

포함된 내용

• 경영진 요약: 전체 상황, 가장 중요한 발견 사항, 권장 우선순위를 쉬운 언어로 정리
• 범위와 수행 규칙: 대상, 환경, 사용자 역할, 일자, 테스트 기간, 제외 사항
• 방법론 요약: 사용한 접근 방식과 참고 프레임워크(예: 웹 애플리케이션용 OWASP 지침)
• 발견 사항 목록: 각 문제의 제목, 심각도, 영향받는 자산, 설명, 증거 참조, 비즈니스 영향
• 기술적 세부 사항: 팀이 문제를 이해하고 안전하게 재현할 수 있는 단계
• 조치 지침: 실질적인 수정 방법과, 필요한 경우 단기 완화 조치
• 제한 사항: 테스트할 수 없었던 부분과 그 이유
• 재테스트 섹션: 재테스트가 포함된 경우, 팀이 수정한 후 합의된 발견 사항의 상태

포함되지 않은 것

• 테스트 후 시스템이 안전하다거나 남은 취약점이 없다는 진술
• 합의된 범위 밖의 발견 사항을 테스트한 것처럼 제시하는 것
• 인증, 컴플라이언스 승인 또는 공식 감사 의견
• 별도로 합의하지 않은 수정 사항의 구현

선택해야 할 때

테스트 제안서에 서명하기 전에 이 가이드를 읽으십시오. 샘플 보고서를 요청하고 구성을 확인할 수 있습니다. 보고서를 받았을 때도 유용합니다. 위의 항목을 체크리스트로 활용해 빠진 것이 없는지 확인하십시오. 이해관계자가 '모의해킹 보고서를 보내 달라'고 요청했다면, 상대에게 기술 문서 전체가 필요한지, 아니면 경영진 요약과 조치 현황 확인서가 필요한지 미리 판단하십시오. 기술적 세부 사항을 널리 공유하면 시스템의 약점을 설명하는 셈이 되므로 리스크가 커집니다.

우리의 접근 방식

테스트 시작 전에 심각도 기준을 명확히 해 달라고 요청하십시오. 많은 업체가 발생 가능성과 영향을 기반으로 한 척도를 사용하며, CVSS를 참고하기도 합니다. 중요한 것은 기준이 일관되고 설명되어 있다는 점입니다. 증거를 어떻게 보관하고 공유할지, 지정 연락처가 누구인지 합의하십시오. 보고서를 받으면 결과 설명회를 잡아 맥락이 생생할 때 개발자가 질문할 수 있게 하십시오. 발견 사항 목록을 담당자와 목표일이 지정된 티켓으로 전환하고, 심각도가 가장 높은 문제부터 수정하십시오. 그런 다음 합의된 발견 사항의 재테스트를 요청해 해결된 내용을 보고서에 기록할 수 있게 하십시오. 당사의 Penetration Testing 서비스는 경영진 요약, 범위 및 수행 규칙 요약, 증거 참조가 포함된 심각도별 발견 사항 목록, 각 발견 사항의 기술적 세부 사항, 우선순위가 매겨진 조치 로드맵, 그리고 재테스트가 포함된 경우 그 결과를 제공합니다. 어떤 업체를 선택하든 보고서의 각 버전을 보관하고, 수정하지 않고 리스크로 수용한 발견 사항과 그 결정을 내린 사람을 기록하십시오. 다음에 누군가 귀사의 보안 상태를 물을 때, 그 기록은 테스트 자체만큼 가치 있는 경우가 많습니다.

Penetration Testing 서비스

자주 묻는 질문

관련 기사