보안 점검 비용, 범위부터 정하면 견적이 보입니다

보안 점검 견적이 업체마다 다른 이유는?

같은 ‘보안 점검’이라는 이름 아래 전혀 다른 작업 세 가지가 섞여 있기 때문입니다. 미국 국립표준기술연구소(NIST)의 보안 시험 가이드(SP 800-115)는 취약점 스캔을 ‘호스트·열린 포트·알려진 취약점을 자동으로 찾는 일’로, 모의해킹을 ‘실제 공격을 흉내 내 보안 기능을 우회하는 방법을 찾는 시험’으로 구분합니다. 모의해킹은 인력이 많이 들고 전문성이 필요하며, 스캔은 여러 약점이 겹친 위험을 놓칠 수 있다고 적고 있습니다.

그래서 “자동 진단 리포트 한 부”와 “모의해킹 보고서”를 같은 기준으로 비교하면 안 됩니다. 견적을 받을 때 방식·대상·조치 포함 여부를 같은 줄에 놓고 보세요.

우리 사이트는 어디까지 점검해야 하나요?

개인정보와 돈이 지나가는 곳까지가 최소 범위입니다. 소개용 홈페이지와, 회원·주문이 있는 쇼핑몰·앱은 점검 범위가 다릅니다.

국제 기준으로는 OWASP Top 10:2025가 웹 위험 순위를 정리합니다. 1위가 ‘접근 통제 실패(Broken Access Control)’, 2위가 ‘보안 설정 오류’, 3위가 ‘소프트웨어 공급망 실패’입니다. 소규모 서비스에서 실제로 문제가 되는 것도 대부분 이 상위 항목, 즉 남의 데이터가 보이는 권한 실수와 기본 설정 그대로 둔 서버입니다.

법적으로 꼭 확인해야 하는 항목은?

회원 정보를 다룬다면 개인정보보호위원회 고시 「개인정보의 안전성 확보조치 기준」(제2026-9호, 2026. 7. 1. 시행)이 점검 체크리스트의 뼈대입니다. 점검 리포트가 이 조항들을 짚는지 보세요.

특히 7조의 비밀번호 일방향 암호화는 오래된 PHP 사이트에서 자주 걸리는 항목입니다. 예전 방식(MD5 등)으로 저장된 사이트는 PHP 버전 업그레이드와 함께 손보는 경우가 많습니다. 개인정보 암호화 전반은 개인정보 암호화 가이드를 참고하세요.

무료로 받을 수 있는 점검은 없나요? — KISA 중소기업 지원

중소기업기본법상 중소기업이라면 KISA(한국인터넷진흥원) 지원을 먼저 확인하세요. 2026년 11월 보호나라 안내 기준으로 다음 서비스가 운영 중입니다. 비용 부담 여부는 서비스마다 안내가 달라 신청 화면에서 확인해야 합니다.

신청 전에 중소기업기본법상 중소기업에 해당하는지, 사업자등록증과 점검 대상 주소, 담당자 연락처를 준비해 두면 절차가 빨라집니다. 중소기업 보안 취약점 점검은 신청 → 적격성 검토 → 지원 방안 협의 → 취약점 조치·결과 회신 순서로 진행되며, 대상 수가 정해져 있어 신청순으로 마감될 수 있습니다.

지원 점검은 진단 결과를 알려 주는 데까지인 경우가 많습니다. 결과를 받고 나서 실제로 고칠 사람이 없으면 리포트만 남습니다. 그래서 “지원 점검으로 진단 → 조치는 맡기기”로 나누면 비용이 가장 적게 듭니다.

견적서를 받으면 무엇을 비교하나요?

세 곳에서 견적을 받았다면 아래 여섯 줄을 같은 표에 채워 보세요. 가격보다 ‘조치와 재점검 포함 여부’가 실제 결과를 가릅니다.

견적 금액만 보면 자동 진단이 가장 싸 보이지만, 리포트의 항목 수십 개 중 무엇이 실제로 위험한지 가려 줄 사람이 없으면 결국 다시 비용이 듭니다. 반대로 소개용 홈페이지에 모의해킹까지 맡기는 것은 과합니다. 지키는 데이터의 크기에 맞춰 방식을 고르는 것이 비용을 아끼는 좋은 방법입니다.

또 하나, 모의해킹을 맡길 때는 운영 중인 서비스가 멈출 수 있다는 점을 계약서에 다뤄야 합니다. NIST 가이드도 모의해킹이 대상 시스템에 손상을 줄 위험이 있다고 적고 있습니다. 시험 시간대, 백업, 중단 시 책임을 미리 정하세요.

점검을 맡기기 전에 무엇을 준비하나요?

점검 대상 목록과 권한, 그리고 ‘멈추면 안 되는 시간’ 세 가지를 준비하면 견적이 정확해지고 기간도 줄어듭니다.

결과를 받은 뒤에는 긴급 항목부터 일주일 안에 처리하고, 처리한 항목은 재점검으로 닫으세요. 리포트를 받아 두기만 하면 다음 점검에서 같은 항목이 그대로 다시 나옵니다. 조치 내역은 날짜와 함께 남겨 두면, 나중에 개인정보 사고가 생겼을 때 ‘보호조치를 했다’는 근거가 됩니다.

점검을 해 보면 무엇이 가장 많이 나오나요?

앱몬스터가 Firebase 앱과 PHP 관리 플랫폼을 점검·유지보수하면서 반복해서 본 것은 대단한 해킹 기법이 아니라 기본 설정이었습니다. 테스트 때 열어 둔 Firestore 규칙, 앱 안에 그대로 들어간 API 키, 몇 년째 업데이트하지 않은 CMS와 플러그인, 업체 직원 계정이 남아 있는 관리자 페이지 같은 것들입니다. 2026년 10월 PHP2Shell·Node2Shell 같은 대형 취약점이 연달아 나왔을 때도 대응은 지금 어떤 버전을 쓰고 있는지 확인하는 것에서 시작했습니다. 실제 사례는 파이어베이스 보안 규칙 실수 사례와 PHP2Shell 대응에 정리했습니다.

직접 하기 어렵다면 — 맡기면 얼마·얼마나 걸리나

앱몬스터 보안 점검은 법정 인증(ISMS) 컨설팅이 아니라 운영 중인 웹·앱의 실무 점검과 조치입니다(부가세 별도).

1회 점검에는 위험도별 리포트와 긴급 조치가 함께 들어가고, 구조를 바꿔야 하는 항목(예: 비밀번호 저장 방식 변경, 관리자 페이지 분리)은 범위와 기간을 따로 견적 드립니다.

점검 항목을 직접 먼저 보고 싶다면 오래된 앱 보안 점검 5가지부터 확인해 보세요.

Q&A — 보안 점검 비용 자주 묻는 질문

출처

• KISA 보호나라 — 중소기업 홈페이지 보안강화(내서버돌보미·웹취약점 훈련)
• KISA 보호나라 — 중소기업 보안 취약점 점검
• 국가법령정보센터 — 개인정보의 안전성 확보조치 기준(개인정보보호위원회고시 제2026-9호)
• OWASP Top 10:2025
• NIST SP 800-115 — Technical Guide to Information Security Testing and Assessment

함께 보기: 오래된 앱 보안 점검 5가지 · 개인정보 암호화 · 파이어스토어 규칙 흔한 실수 · 워드프레스 해킹 복구