소프트웨어 개발 파트너에게 물어야 할 보안 질문과 좋은 답변의 근거

이 가이드는 코드 개발을 맡길 파트너를 검토 중인 창업자, CTO, 보안 담당자, 구매 담당 팀을 위한 것입니다. 소프트웨어 개발 아웃소싱 가이드에서는 비용, 팀 모델, 전반적인 벤더 체크리스트를 다룹니다. 이 페이지는 그 중 한 항목, 즉 보안을 더 깊이 살펴봅니다. 이 내용은 일반적인 가이드이며 보안 감사가 아닙니다.

이 가이드에서 다루는 내용

• 개발 파트너에게 다른 질문이 필요한 이유
• 12가지 질문과 요청해야 할 증거
• 인증서가 증명하는 것과 증명하지 못하는 것
• 보안 검토를 진행하는 방법
• 위험 신호
• AI 코딩 도구: 추가해야 할 세 가지 질문
• 대안과 선택 기준
• Netbase가 이 질문들에 답하는 방법
• 존재하는 납품 실적과 존재하지 않는 것
• 이 가이드의 한계는 무엇인가요?
• 자주 묻는 질문
• 다음 단계

개발 파트너에게 다른 질문이 필요한 이유

소프트웨어 벤더는 완성된 제품을 판매합니다. 개발 파트너는 여러분과 함께 제품을 만들기 때문에 위험이 발생하는 위치가 달라집니다. 파트너의 엔지니어는 여러분의 저장소에 코드를 푸시하고, 클라우드 계정에 배포하며, 사양서를 읽고 때로는 운영 데이터를 보기도 합니다. 그들의 노트북, 계정, 도구는 여러분의 공격 표면이 되고, 그들이 작성한 코드는 여러분 제품의 보안이 됩니다.

따라서 파트너 검토에는 두 가지 측면이 있습니다. 첫 번째는 엔터프라이즈 보안으로, 회사가 자체적으로, 직원과 시스템을 어떻게 보호하는지입니다. 두 번째는 제품 보안으로, 여러분을 위해 개발하는 소프트웨어가 어떻게 설계, 검토, 테스트, 유지되는지입니다. CISA와 FBI는 소프트웨어 구매자를 위한 Secure by Demand 가이드에서 이 구분을 동일하게 하며, 벤더 자체 통제뿐만 아니라 제품 보안을 강조합니다. 대부분의 일반 벤더 설문지는 첫 번째 측면은 잘 다루지만 두 번째 측면은 미흡합니다.

12가지 질문과 요청해야 할 증거

위 목록에서 두 가지 항목은 대부분의 설문지보다 최신입니다. 구성요소 측면에서, CISA, NSA, FBI 및 국제 파트너들은 2026년 7월 29일에 2026 Minimum Elements for a Software Bill of Materials를 발표하여 2021년 NTIA 요소를 대체했습니다. SBOM 요청은 이제 특이한 것이 아닌 주류 요청이 되었습니다. AI 도구에 대해서는 아래 섹션을 참조하세요.

인증서가 증명하는 것과 증명하지 못하는 것

ISO 27001 인증과 SOC 2 보고서는 유용한 신호이지만, 구매자들이 흔히 가정하는 것보다 더 좁은 질문에 답합니다.

• 이것들은 여러분의 제품이 아닌 회사를 다룹니다. 정보 보안 관리 시스템이나 감사된 통제 세트는 벤더가 자체적으로 운영하는 방식을 말합니다. 벤더가 여러분을 위해 개발하는 애플리케이션이나 여러분의 호스팅을 인증하지 않습니다.
• 범위가 중요합니다. 인증서나 보고서가 어떤 법인, 위치, 서비스를 커버하는지, 그리고 여러분의 개발 팀이 해당 범위 내에서 작업하는지 확인하세요.
• SOC 2에서는 유형이 중요합니다. AICPA의 SOC 2 Type 2 보고서 예시에 따르면, Type 2 보고서에는 통제에 대한 감사자의 테스트와 단순한 통제 설명이 아닌 일정 기간의 결과가 포함됩니다.
• 날짜가 중요합니다. 인증서는 만료되고 보고서는 과거 기간을 다룹니다. 최신 것을 요청하세요.

인증서가 없는 파트너도 보안을 잘 실천할 수 있고, 인증된 파트너도 안전하지 않은 코드를 납품할 수 있습니다. 인증서는 검토를 단축하는 데 사용하고, 제품 질문을 건너뛰는 데 사용하지 마세요.

위험 신호

• 도구 이름은 말할 수 있지만 출력을 보여줄 수 없는 답변.
• 공유 로그인, 또는 삭제되지 않는 접근 권한.
• 여러분의 저장소와 계정이 아닌 벤더의 저장소와 계정에 보관되는 코드.
• 인시던트에 대한 서면 프로세스 없음, 또는 담당자 없음.
• 기본적으로 테스트 환경에 복사되는 실제 고객 데이터.
• 보안 테스트가 마지막에 선택적 추가 항목으로만 제공됨.
• 여러분의 제품을 커버하는 것처럼 제시되는 인증서.

AI 코딩 도구: 추가해야 할 세 가지 질문

AI 지원 엔지니어링은 이제 Netbase를 포함하여 일반화되었으며, 세 가지 질문을 추가합니다. 첫째, 어떤 도구가 여러분의 코드를 볼 수 있으며, 여러분의 입력이 공유 모델 훈련에 사용되지 않도록 설정되어 있나요? 둘째, 모든 AI 제안 변경사항은 담당 엔지니어가 검토하며 사람이 작성한 코드와 동일한 테스트 및 스캔 적용을 받나요? 셋째, 민감한 저장소에서 AI 지원을 끌 수 있나요? 이에 명확하게 답하지 못하는 파트너는 여러분의 코드가 어디로 가는지 생각하지 않은 것입니다. Netbase는 주요 상용 및 오픈소스 AI 도구와 모델을 프로젝트별로 선택하여 사용하며, 모든 AI 지원 변경사항은 사람의 검토 하에 유지됩니다. 체크포인트 설계 자체는 AI 생성 코드에 대한 보안 검토 게이트를 참조하세요.

대안과 선택 기준

네 가지 기준으로 선택하세요: 팀이 접근할 데이터의 민감성, 벤더가 운영 환경에 접근할지 여부, 계약의 규모와 기간, 해당 분야에 자체 규정이 있는지 여부.

Netbase가 이 질문들에 답하는 방법

Netbase의 보안 관행은 보안 코드 리뷰 및 버전 관리, 전송 중 TLS 및 저장 시 AES, 역할 기반 접근 제어, 관리자 대시보드 MFA, 취약점 스캔 및 침투 테스트, 재해 복구입니다. 기여자는 NDA 하에 작업하며, NDA, 데이터 처리 계약 및 SLA는 요청 시 클라이언트에게 제공됩니다. Netbase는 유럽 데이터 프라이버시를 위한 GDPR 정합, 헬스케어 데이터 처리를 위한 HIPAA 정합 방법론, 미국 고객 베이스를 가진 클라이언트를 위한 CCPA 준수 관행을 따릅니다.

Netbase는 ISO 27001 및 SOC 2 Type II에 정합합니다. 두 가지 모두 클라이언트의 제품이나 호스팅이 아닌 Netbase 자체 운영을 커버하며, 인증서 세부 정보는 발표되지 않고 실사 중에 공유됩니다. Netbase 커스텀 개발에서 클라이언트는 자신을 위해 생성된 IP를 소유하는 반면, Netbase 제품화 모듈 및 사업부 제품은 이전이 아닌 라이선스 방식입니다. 관련 조항은 아웃소싱 시 IP 보호 가이드에서 다룹니다. 대부분의 Netbase 프로젝트는 발견 후 합의된 고정가 계약으로 납품되며, 동일한 보안 조건이 전담 개발팀에도 적용됩니다. 트레이드오프는 전담팀 vs 고정가를 참조하세요. 전체 내용은 보안 및 컴플라이언스에서 확인하세요.

존재하는 납품 실적과 존재하지 않는 것

• 존재하는 것. Netbase는 2020년부터 미국 클라이언트의 멀티 테넌트 클라우드 ERP 오프쇼어 개발 및 관리 파트너로 작업해왔으며, 이는 중소기업에 SaaS로 판매됩니다. 공개 기록은 클라이언트 이름을 공개하지 않습니다. Netbase는 또한 자체 SaaS인 Printcart를 개발하고 운영합니다.
• 존재하지 않는 것. Netbase의 공개 기록에는 침투 테스트 결과, 인시던트 이력, 감사 결과 또는 응답 시간이 명시되어 있지 않으며, 위의 어느 기록도 특정 통제의 증거가 아닙니다. Netbase는 인증서 번호, 날짜, 감사자 또는 범위를 공개하지 않습니다.

이 가이드의 한계는 무엇인가요?

• 이 가이드는 파트너 선택을 돕습니다. 애플리케이션 테스트는 하지 않습니다. 그에 대해서는 애플리케이션 보안 보증을 참조하세요.
• 결제나 헬스케어와 같은 규제 분야는 자체적인 요구사항이 있습니다. 전문가 조언을 받으세요.
• 표준은 변경됩니다. 검토하는 날에 최신 ASVS, SSDF 및 SBOM 가이드를 확인하세요.
• 작업 시작 후 릴리스별로 보안을 관리하려면, 아웃소싱 납품의 소프트웨어 품질 거버넌스 및 릴리스 준비 체크리스트를 참조하세요. 품질 엔지니어링 및 테스트가 두 가지 모두 담당합니다.

다음 단계

보안 설문지나 위의 질문을 보내주시면 프로젝트를 이끌 엔지니어와 함께 답변을 살펴보는 솔루션 리뷰를 예약해 드립니다. Netbase 인사이트도 더 둘러보실 수 있습니다.

관련 서비스 및 솔루션