실제 공격자 관점으로
해킹 가능성까지 검증하는 모의해킹 서비스
전문 인력이 실제 공격과 동일한 방식으로 침투를 시도해 해킹 가능성을 점검하고 예방대책까지 제시합니다.
자동화 도구에만 의존하지 않고 서비스 구조와 업종 특성을 반영해 직접 점검하며,
진단 결과는 ATHENAi 플랫폼에서 조치 이력과 인증 증적으로 이어져 지속적인 보안 강화까지 지원합니다.
서비스 구성
점검 대상과 목적에 따라 세 가지 서비스를 제공합니다. 단독 수행도 가능하지만, 시스템의 취약점부터 임직원의 대응까지 함께 점검할 때 조직의 방어 수준을 온전히 확인할 수 있습니다.
웹·앱 모의해킹
실제 공격 시나리오로 웹 서비스와 앱의 침투 가능성을 검증합니다. 인증 우회, 권한 상승, 데이터 노출 등 자동화 스캐너가 놓치는 논리 결함까지 확인합니다.
기술적 취약점 진단
서버(Unix·Linux·AIX·Windows), DB, Web/WAS, 사용자 단말의 설정과 패치 상태를 점검 기준에 따라 진단합니다. ATHENAi 자동화 스캐너로 수집하고 전문 인력이 결과를 검증합니다.
침해사고·피싱 모의훈련
피싱 메일 모의훈련으로 임직원의 대응 수준을 측정합니다. 열람·클릭·신고 결과를 부서별로 분석하고 재훈련으로 연결합니다.
왜 지금 필요한가
기술적 취약점 점검은 “하면 좋은 일”이 아니라 인증과 법령이 요구하는 일입니다. 특히 인증 심사에서는 점검을 했는가만이 아니라 발견 사항을 조치했는가까지 증적으로 확인합니다.
정보시스템의 취약점을 정기적으로 점검하고 발견된 취약점을 조치할 것. 심사에서 점검 이력과 조치 결과가 증적으로 확인됩니다.
금융회사·전자금융업자는 전자금융기반시설의 취약점을 분석·평가하고 보완조치를 이행해야 합니다.
2027년 시행 예정인 ISMS-P 의무화로 인증 준비 기업이 늘고 있으며, 인증 준비 과정에는 기술적 취약점 점검이 포함됩니다. 의무화 총정리 보기
수행 절차
착수 전 범위 합의부터 조치 후 재진단까지, 운영에 영향을 주지 않는 절차로 진행합니다.
- 범위 협의
대상 시스템·기간·방식(블랙박스/그레이박스)과 계정 제공 범위를 정하고, 운영 영향을 최소화하는 일정을 계획합니다.
- 진단 준비
테스트 계정·접근 경로·비상 연락 체계를 확정합니다. 파괴적 행위 제외 등 운영 데이터 보호 원칙을 합의합니다.
- 진단 수행
시나리오 기반 모의해킹과 기준 기반 취약점 진단을 수행합니다. 위험도가 높은 발견 사항은 즉시 공유합니다.
- 결과 보고
위험도·재현 절차·조치 방안이 담긴 보고서를 제공하고, 발견 사항을 ATHENAi 에 등록해 조치 담당자와 기한을 관리합니다.
- 조치 확인
조치 완료 항목을 재진단해 취약점이 실제로 제거됐는지 검증합니다. 전 과정의 이력이 인증 심사 증적으로 활용됩니다.
진단으로 끝나지 않습니다
모의해킹에서 반복적으로 지적되는 문제는 진단의 품질보다 그 다음이 없다는 점입니다. 보고서가 전달되고 나면 조치는 담당자 개인의 일이 되고, 몇 건이 조치됐는지 아무도 추적하지 않다가 다음 해 점검에서 같은 취약점이 다시 나옵니다.
시큐리스트의 진단은 ATHENAi 플랫폼과 연결됩니다. 발견된 취약점이 자산별로 등록되고, 조치 상태가 추적되며, 조치 결과는 ISMS·ISMS-P 심사에서 요구하는 증적 형태로 축적됩니다.
발견 사항마다 조치 담당·기한·상태가 관리되어 방치되는 취약점이 없습니다.
진단과 조치 이력이 인증기준 항목에 연결되어 심사 대응 자료가 따로 만들어지지 않아도 됩니다.
회차별 결과가 남아 보안 수준의 추이를 확인하고 재발 취약점을 식별할 수 있습니다.
수행 실적
자주 묻는 질문
모의해킹과 취약점 진단은 무엇이 다릅니까?
취약점 진단은 알려진 점검 기준에 따라 서버·DB·단말 등 대상 전반의 설정과 패치 상태를 빠짐없이 점검하는 방식이고, 모의해킹은 실제 공격자의 관점에서 목표를 정해 침투를 시도하며 인증 우회·권한 상승 같은 논리 결함까지 확인하는 방식입니다. 진단이 “빠짐없이”를 지향한다면 모의해킹은 “실제로 뚫리는가”를 확인합니다. 두 방식은 대체 관계가 아니라 보완 관계이므로 함께 수행할 때 효과가 큽니다.
ISMS·ISMS-P 심사에 모의해킹이 꼭 필요합니까?
ISMS·ISMS-P 인증기준 2.11.2(취약점 점검 및 조치)는 정기적인 취약점 점검과 발견 사항의 조치를 요구하며, 심사에서 점검 이력과 조치 결과를 증적으로 확인합니다. 모의해킹 자체가 법적 의무는 아니지만, 웹 서비스 중심 기업은 기술적 취약점 진단과 모의해킹으로 이 요건을 충족하는 것이 일반적입니다. 시큐리스트의 진단 결과와 조치 이력은 ATHENAi 에서 심사 대응이 가능한 형태로 정리됩니다.
운영 중인 서비스에 영향은 없습니까?
착수 전에 진단 범위와 금지 행위를 합의하고, 서비스 중단을 유발할 수 있는 파괴적 테스트는 수행하지 않습니다. 필요하면 트래픽이 낮은 시간대로 일정을 조정하거나 운영 환경 대신 스테이징 환경을 대상으로 진행할 수 있습니다. 진단 중에는 비상 연락 체계를 유지해 이상 징후가 보이면 즉시 중단하고 협의합니다.