소프트웨어 개발 파트너에게 물어야 할 보안 질문과 좋은 답변의 근거

이 가이드는 코드 개발을 맡길 파트너를 선정 중인 창업자, CTO, 보안 담당자, 조달팀을 위한 것입니다. 소프트웨어 개발 아웃소싱 가이드에서는 비용, 팀 모델, 벤더 체크리스트 전반을 다루고 있으며, 이 페이지는 그중 한 항목인 보안을 더 깊이 살펴봅니다. 이 내용은 일반적인 지침이며 보안 감사가 아닙니다.

이 가이드에서 다루는 내용

• 개발 파트너에게 다른 질문이 필요한 이유
• 12가지 질문과 요청해야 할 근거 자료
• 인증서가 증명하는 것과 증명하지 않는 것
• 보안 심사 진행 방법
• 위험 신호
• AI 코딩 도구: 추가해야 할 3가지 질문
• 대안 및 선택 기준
• Netbase가 이러한 질문에 어떻게 답하는가
• 납품 실적이 존재하는 것과 존재하지 않는 것
• 이 가이드의 한계
• 자주 묻는 질문
• 다음 단계

개발 파트너에게 다른 질문이 필요한 이유

소프트웨어 벤더는 완성된 제품을 판매합니다. 개발 파트너는 귀사와 함께 제품을 구축하며, 이로 인해 리스크가 달라집니다. 파트너의 엔지니어는 귀사의 저장소에 코드를 푸시하고, 클라우드 계정에 배포하며, 사양을 검토하고 경우에 따라 프로덕션 데이터를 열람합니다. 파트너의 노트북, 계정, 도구는 귀사의 공격 표면이 되며, 파트너가 작성하는 코드는 귀사 제품의 보안이 됩니다.

따라서 파트너 심사에는 두 가지 측면이 있습니다. 첫 번째는 엔터프라이즈 보안으로, 회사가 자신과 직원 및 시스템을 어떻게 보호하는지입니다. 두 번째는 제품 보안으로, 귀사를 위해 구축하는 소프트웨어가 어떻게 설계, 검토, 테스트 및 유지 관리되는지입니다. CISA와 FBI는 소프트웨어 구매자를 위한 Secure by Demand 가이드에서 동일한 구분을 하며 벤더 자체 통제만이 아닌 제품 보안을 강조합니다. 일반적인 벤더 설문지는 첫 번째 측면은 잘 다루지만 두 번째 측면은 부실하게 다루는 경우가 많습니다.

12가지 질문과 요청해야 할 근거 자료

위 목록에서 두 항목은 대부분의 설문지보다 최신입니다. 컴포넌트 관련하여, CISA, NSA, FBI 및 국제 파트너들은 2021년 NTIA 요소를 대체하는 2026 소프트웨어 자재 명세서(SBOM) 최소 요소를 2026년 7월 29일 발표했습니다. SBOM 요청은 이제 특이한 요청이 아닌 일반적인 요청입니다. AI 도구에 대해서는 아래 섹션을 참조하십시오.

인증서가 증명하는 것과 증명하지 않는 것

ISO 27001 인증과 SOC 2 보고서는 유용한 신호이지만, 구매자가 일반적으로 가정하는 것보다 더 좁은 질문에 답합니다.

• 회사를 커버하지 귀사의 제품을 커버하지 않습니다. 정보 보안 관리 시스템이나 감사된 통제 항목들은 벤더가 자체적으로 어떻게 운영되는지를 말해줍니다. 벤더가 귀사를 위해 구축하는 애플리케이션이나 귀사의 호스팅을 인증하지 않습니다.
• 범위가 중요합니다. 인증서나 보고서가 커버하는 법인, 위치, 서비스가 무엇인지, 그리고 귀사의 납품팀이 해당 범위 내에서 일하는지 확인하십시오.
• SOC 2의 경우 유형이 중요합니다. AICPA의 SOC 2 Type 2 보고서 예시에 따르면 Type 2 보고서에는 통제 항목에 대한 감사자의 테스트와 일정 기간에 걸친 결과가 포함되며, 통제 항목 설명만이 아닙니다.
• 날짜가 중요합니다. 인증서는 만료되고 보고서는 과거 기간을 다룹니다. 최신 것을 요청하십시오.

인증서가 없는 파트너도 보안을 잘 실행할 수 있고, 인증된 파트너도 여전히 보안이 취약한 코드를 납품할 수 있습니다. 인증서는 검토를 단축하는 데 사용하고, 제품 관련 질문을 건너뛰는 데 사용하지 마십시오.

위험 신호

• 도구를 언급하지만 결과물을 보여줄 수 없는 답변.
• 공유 로그인, 또는 제거되지 않는 접근 권한.
• 귀사가 아닌 벤더의 저장소와 계정에 보관되는 코드.
• 인시던트에 대한 서면 프로세스 없음, 또는 책임자 부재.
• 기본적으로 실제 고객 데이터를 테스트 환경에 복사.
• 마지막에만 선택적 추가 항목으로 제공되는 보안 테스트.
• 귀사 제품을 커버하는 것처럼 제시되는 인증서.

AI 코딩 도구: 추가해야 할 3가지 질문

AI 보조 엔지니어링은 Netbase를 포함하여 이제 일반적이며, 세 가지 질문이 추가됩니다. 첫째, 어떤 도구가 귀사의 코드를 볼 수 있으며, 귀사의 입력이 공유 모델 학습에 사용되지 않도록 구성되어 있습니까? 둘째, AI가 제안한 모든 변경사항이 명시된 엔지니어에 의해 검토되고 인간 코드와 동일한 테스트 및 스캔을 받습니까? 셋째, 민감한 저장소에 대해 AI 지원을 끌 수 있습니까? 이를 명확히 답하지 못하는 파트너는 귀사의 코드가 어디로 가는지 생각하지 않은 것입니다. Netbase는 프로젝트별로 선택되는 주요 상용 및 오픈소스 AI 도구와 모델을 사용하며, 모든 AI 보조 변경사항은 사람의 검토 아래 유지됩니다.

대안 및 선택 기준

네 가지 기준으로 선택하십시오. 팀이 다룰 데이터의 민감도, 벤더가 프로덕션에 접근할지 여부, 계약의 규모와 기간, 해당 분야에 자체 규정이 있는지 여부입니다.

Netbase가 이러한 질문에 어떻게 답하는가

Netbase의 보안 관행에는 보안 코드 리뷰 및 버전 관리, 전송 중 TLS와 저장 시 AES 암호화, 역할 기반 접근 제어, 관리자 대시보드에 MFA, 취약점 스캔 및 침투 테스트, 재해 복구가 포함됩니다. 기여자들은 NDA 하에 업무하며, NDA, 데이터 처리 계약서(DPA), SLA는 요청 시 클라이언트에게 제공됩니다. Netbase는 유럽 데이터 프라이버시를 위한 GDPR 정합 방법론, 헬스케어 데이터 처리를 위한 HIPAA 정합 방법론, 미국 고객 기반을 보유한 클라이언트를 위한 CCPA 준수 관행을 따릅니다.

Netbase는 ISO 27001 인증과 SOC 2 Type II 입증을 보유하고 있습니다. 두 가지 모두 클라이언트의 제품이나 호스팅이 아닌 Netbase 자체 운영을 커버하며, 인증서 세부 정보는 공개하지 않고 실사 중에 공유됩니다. Netbase 커스텀 개발에서 클라이언트는 자신을 위해 생성된 IP를 소유하는 반면, Netbase 프로덕트화 모듈과 비즈니스 사업부 제품은 이전이 아닌 라이선스 방식입니다. 관련 조항은 아웃소싱 시 IP 보호 가이드에서 확인할 수 있습니다. 대부분의 Netbase 프로젝트는 검색 후 합의된 고정가 계약으로 납품되며, 동일한 보안 조건이 전담 개발팀에도 적용됩니다. 트레이드오프는 전담팀 대 고정가 계약을 참조하십시오. 전문은 보안 및 컴플라이언스에서 확인하실 수 있습니다.

납품 실적이 존재하는 것과 존재하지 않는 것

• 존재하는 것. Netbase는 2020년부터 미국 클라이언트의 멀티테넌트 클라우드 ERP를 오프쇼어 개발 및 관리 파트너로 구축해 왔으며, 중소기업에 SaaS로 판매됩니다. 공개 기록에서는 클라이언트 이름을 공개하지 않습니다. Netbase는 또한 자체 SaaS인 Printcart를 구축하고 운영합니다.
• 존재하지 않는 것. 침투 테스트 결과, 인시던트 내역, 감사 발견 사항, 응답 시간을 명시한 공개된 Netbase 기록은 없으며, 위의 어떤 기록도 특정 통제의 증거가 아닙니다. Netbase는 인증서 번호, 날짜, 감사자 또는 범위를 공개하지 않습니다.

이 가이드의 한계

• 파트너를 선택하는 데 도움을 드리며, 귀사의 애플리케이션을 테스트하지 않습니다. 이를 위해서는 애플리케이션 보안 보증을 참조하십시오.
• 결제나 헬스케어와 같은 규제 산업은 자체 요구사항을 추가합니다. 전문가 조언을 받으십시오.
• 표준은 변경됩니다. 심사 당일 최신 ASVS, SSDF, SBOM 지침을 확인하십시오.
• 업무 시작 후 릴리스별 보안 거버넌스를 위해서는 아웃소싱 납품의 소프트웨어 품질 거버넌스와 릴리스 준비 체크리스트를 참조하십시오. 품질 엔지니어링 및 테스트가 두 가지를 모두 운영합니다.

다음 단계

귀사의 보안 설문지나 위의 질문을 보내주시면, 프로젝트를 이끌 엔지니어와 함께 답변을 검토하는 솔루션 리뷰를 예약해 드립니다. 더 많은 Netbase 인사이트도 살펴보실 수 있습니다.

관련 서비스 및 솔루션