소프트웨어 개발 파트너에게 물어야 할 보안 질문과 좋은 답변의 근거

이 가이드는 개발 파트너를 검토 중인 창업자, CTO, 보안 담당자 및 구매 팀을 위해 작성되었습니다. 소프트웨어 개발 아웃소싱 가이드에서는 비용, 팀 모델, 벤더 점검 항목 전반을 다루고 있으며, 이 페이지는 그 중 한 가지 항목인 보안을 심도 있게 다룹니다. 이 내용은 일반적인 지침이며 보안 감사가 아닙니다.

이 가이드의 내용

• 개발 파트너에게 다른 질문이 필요한 이유
• 12가지 질문과 요청해야 할 증거
• 인증서가 증명하는 것과 그렇지 않은 것
• 보안 검토 진행 방법
• 주의해야 할 신호
• AI 코딩 도구: 추가해야 할 세 가지 질문
• 대안 및 선택 기준
• Netbase가 이 질문들에 답하는 방식
• 존재하는 납품 기록과 그렇지 않은 것
• 이 가이드의 한계
• 자주 묻는 질문
• 다음 단계

개발 파트너에게 다른 질문이 필요한 이유

소프트웨어 벤더는 완성된 제품을 판매합니다. 개발 파트너는 여러분과 함께 제품을 구축하며, 이로 인해 리스크의 위치가 달라집니다. 파트너의 엔지니어들은 여러분의 리포지토리에 코드를 푸시하고, 클라우드 계정에 배포하며, 사양서를 읽고, 때로는 운영 데이터를 접하기도 합니다. 그들의 노트북, 계정, 도구는 여러분의 공격 표면(attack surface)의 일부가 되고, 그들이 작성하는 코드는 곧 여러분 제품의 보안이 됩니다.

따라서 파트너 검토에는 두 가지 측면이 있습니다. 첫 번째는 기업 보안으로, 해당 회사가 자사, 직원, 시스템을 어떻게 보호하는지에 관한 것입니다. 두 번째는 제품 보안으로, 파트너가 여러분을 위해 구축하는 소프트웨어가 어떻게 설계되고, 검토되고, 테스트되고, 유지관리되는지에 관한 것입니다. CISA와 FBI는 소프트웨어 구매자를 위한 Secure by Demand 가이드에서 동일한 구분을 제시하며, 벤더 자체 통제가 아닌 제품 보안을 강조합니다. 일반적인 벤더 질문지는 첫 번째 측면을 잘 다루지만 두 번째 측면은 부실하게 다루는 경우가 많습니다.

12가지 질문과 요청해야 할 증거

해당 목록에서 두 가지 항목은 대부분의 질문지보다 최신 내용입니다. 컴포넌트와 관련하여, CISA, NSA, FBI 및 국제 파트너들은 2026년 7월 29일에 2021년 NTIA 요소를 대체하는 2026 소프트웨어 부품 명세서(SBOM) 최소 요소를 공개했습니다. SBOM 요청은 이제 특이한 요청이 아닌 일반적인 요청이 되었습니다. AI 도구에 관해서는 아래 섹션을 참조하세요.

인증서가 증명하는 것과 그렇지 않은 것

ISO 27001 인증과 SOC 2 보고서는 유용한 신호이지만, 구매자들이 일반적으로 가정하는 것보다 더 좁은 범위의 질문에만 답합니다.

• 인증서는 회사를 대상으로 하며, 제품을 대상으로 하지 않습니다. 정보보안 관리 시스템이나 감사된 통제 세트는 벤더가 자체적으로 어떻게 운영되는지를 나타냅니다. 벤더가 여러분을 위해 구축하는 애플리케이션이나 여러분의 호스팅을 인증하지는 않습니다.
• 범위가 중요합니다. 인증서 또는 보고서가 어떤 법인, 지역 및 서비스를 포함하는지, 그리고 여러분의 납품 팀이 해당 범위 내에서 근무하는지 확인하세요.
• SOC 2의 경우 유형이 중요합니다. AICPA의 SOC 2 Type 2 보고서 예시에 따르면, Type 2 보고서에는 감사자의 통제 테스트와 일정 기간에 걸친 결과가 포함되며, 단순히 통제 사항의 설명만 포함되는 것이 아닙니다.
• 날짜가 중요합니다. 인증서는 만료되고 보고서는 과거 기간을 다루므로, 최신 것을 요청하세요.

인증서가 없는 파트너도 보안을 잘 실천할 수 있으며, 인증된 파트너도 여전히 보안이 취약한 코드를 납품할 수 있습니다. 인증서는 검토를 줄이는 데 활용하되, 제품 관련 질문을 건너뛰는 데 사용하지 마세요.

주의해야 할 신호

• 도구를 언급하지만 출력 결과를 보여주지 못하는 답변.
• 공유 로그인 또는 제거되지 않는 접근 권한.
• 여러분의 계정이 아닌 벤더의 리포지토리와 계정에 보관되는 코드.
• 인시던트에 대한 서면 프로세스 없음, 또는 책임자 없음.
• 기본적으로 테스트 환경에 복사되는 실제 고객 데이터.
• 마지막에 추가 선택 사항으로만 제공되는 보안 테스트.
• 인증서가 제품을 커버하는 것처럼 제시되는 경우.

AI 코딩 도구: 추가해야 할 세 가지 질문

AI 보조 개발은 Netbase를 포함하여 이제 일반적인 방식이 되었으며, 세 가지 질문이 추가됩니다. 첫째, 어떤 도구가 코드를 볼 수 있으며, 입력이 공유 모델 훈련에 사용되지 않도록 설정되어 있습니까? 둘째, AI가 제안한 모든 변경사항은 담당 엔지니어가 검토하고 인간 코드와 동일한 테스트 및 스캔을 거칩니까? 셋째, 민감한 리포지토리에 대해 AI 지원을 끌 수 있습니까? 이 질문에 명확히 답하지 못하는 파트너는 코드의 행선지를 고려하지 않은 것입니다. Netbase는 주요 상용 및 오픈소스 AI 도구와 모델을 프로젝트별로 선택하여 사용하며, AI 보조 변경사항은 모두 인간 검토 하에 유지됩니다.

대안 및 선택 기준

네 가지 기준으로 선택하세요. 팀이 다루게 될 데이터의 민감도, 벤더가 운영 환경에 접근할지 여부, 계약의 규모와 기간, 그리고 해당 분야에 별도의 규정이 있는지 여부입니다.

Netbase가 이 질문들에 답하는 방식

Netbase의 보안 실무에는 보안 코드 리뷰 및 버전 관리, 전송 시 TLS 및 저장 시 AES 암호화, 역할 기반 접근 제어, 관리자 대시보드 MFA, 취약점 스캔 및 침투 테스트, 재해 복구가 포함됩니다. 기여자들은 NDA 하에 근무하며, NDA, 데이터 처리 계약 및 SLA는 요청에 따라 고객에게 제공됩니다. Netbase는 유럽 데이터 프라이버시를 위한 GDPR 정렬, 의료 데이터 처리를 위한 HIPAA 정렬 방법론, 미국 고객 기반을 보유한 클라이언트를 위한 CCPA 준수 실무를 따릅니다.

Netbase는 ISO 27001 인증과 SOC 2 Type II 어테스테이션을 보유하고 있습니다. 두 가지 모두 클라이언트의 제품이나 호스팅이 아닌 Netbase 자체 운영을 대상으로 하며, 인증서 세부 내용은 실사 과정에서 공유되며 공개되지 않습니다. Netbase 커스텀 개발에서는 클라이언트가 해당 IP를 소유하며, Netbase 패키지 모듈 및 비즈니스 부문 제품은 이전이 아닌 라이선스 형태로 제공됩니다. 관련 조항은 아웃소싱 시 IP 보호 가이드에서 확인할 수 있습니다. 대부분의 Netbase 프로젝트는 발견 단계 이후 합의된 고정가 계약으로 납품되며, 동일한 보안 조건이 전담 개발팀에도 적용됩니다. 트레이드오프는 전담팀 vs 고정가 비교를 참조하세요. 전체 내용은 보안 및 컴플라이언스에서 확인할 수 있습니다.

존재하는 납품 기록과 그렇지 않은 것

• 존재하는 것. Netbase는 2020년부터 미국 클라이언트를 위한 멀티테넌트 클라우드 ERP SaaS 플랫폼에서 오프쇼어 개발 및 매니징 파트너로 활동하고 있으며, 중소기업에 SaaS로 판매되고 있습니다. 공개 기록에는 클라이언트 이름이 공개되지 않습니다. Netbase는 자체 SaaS인 Printcart도 구축 및 운영합니다.
• 존재하지 않는 것. 공개된 Netbase 기록에는 침투 테스트 결과, 인시던트 이력, 감사 결과 또는 응답 시간이 포함되어 있지 않으며, 위의 어떤 기록도 특정 통제의 증거가 아닙니다. Netbase는 인증서 번호, 날짜, 감사인 또는 범위를 공개하지 않습니다.

이 가이드의 한계

• 이 가이드는 파트너 선택을 돕지만, 애플리케이션 자체를 테스트하지는 않습니다. 이를 위해서는 애플리케이션 보안 보증을 참조하세요.
• 결제 또는 의료 등 규제 분야에는 별도의 요구사항이 있으므로 전문가 조언을 받으세요.
• 표준은 변경됩니다. 검토 당일에 최신 ASVS, SSDF 및 SBOM 가이드를 확인하세요.
• 작업 시작 후 릴리스별 보안 거버넌스를 위해서는 아웃소싱 납품의 소프트웨어 품질 거버넌스를 참조하세요.

다음 단계

보안 질문지 또는 위 질문들을 보내주시면, 프로젝트를 이끌 엔지니어와 함께 답변을 검토하는 솔루션 검토 미팅을 예약해 드립니다. 더 많은 Netbase 인사이트도 확인해 보세요.

관련 서비스 및 솔루션