2026-10-08 수정 출처 없던 시장 가격 구간을 공식 대가 산정 기준으로 바꿨습니다.
같은 '웹 모의해킹'인데 300만 vs 2,000만
발주 담당자가 가장 당황하는 순간입니다. 똑같이 "우리 웹사이트 모의해킹 견적 주세요"라고 요청했는데, A업체는 300만 원, B업체는 900만 원, C업체는 2,000만 원을 부릅니다. 누가 바가지고 누가 양심적인지 알 수가 없습니다.
결론부터 말하면, 업체가 이상한 게 아니라 '범위(스코프)'가 정의되지 않아서입니다. 발주서가 한 줄이면, 업체는 각자 다른 가정을 세울 수밖에 없습니다. 누구는 로그인 페이지 하나만, 누구는 연동 API·관리자 콘솔·서버 인프라까지 잡습니다. 가정이 다르니 금액도 3배씩 벌어집니다.
왜 중요한가: 싸게 계약한 게 가장 비쌀 수 있다
모의해킹 견적은 단순합니다. 범위(스코프) × 투입 공수(맨데이). 범위가 모호하면 견적만 흔들리는 게 아니라 품질과 리스크까지 전부 흔들립니다.
가장 위험한 시나리오는 이겁니다. 가장 싼 견적을 골라 계약했는데, 정작 사고가 터진 핵심 자산(결제 API, 관리자 페이지)이 점검 범위 밖이었던 경우. 돈은 썼는데 뚫릴 곳은 그대로 남습니다. "점검받았는데 털렸다"는 최악의 결말이 여기서 나옵니다.
견적을 가르는 5가지 변수
같은 '모의해킹'이라도 아래가 곱해지며 금액이 결정됩니다.
- 점검 유형: 웹, 모바일 앱, API, 인프라·네트워크, 클라우드 설정, 소셜엔지니어링 — 방법론과 소요일수가 전부 다릅니다.
- 대상 수: 도메인·앱·서버·API 개수가 늘면 맨데이가 비례해 증가합니다.
- 테스트 깊이: 블랙박스(정보 없이) / 그레이박스(일부 계정) / 화이트박스(소스·설계 제공) — 깊이가 깊을수록 공수가 큽니다.
- 재점검 포함 여부: 조치 후 재검증까지 넣으면 1회 계약이 아니라 2회분입니다.
- 보고서 수준: 경영진 요약, 기술 상세, 조치 가이드까지 요구하면 산출물 공수가 붙습니다.
해결책: RFP를 제대로 쓰면 견적이 수렴한다
RFP(제안요청서)는 요구사항·평가기준·일정·예산을 담아 여러 업체에 동일 조건으로 제안을 받는 문서입니다. 가격만 받는 견적요청(RFQ)과 다릅니다.
같은 RFP를 주면 업체 비교가 '사과 대 사과'가 됩니다. 견적 편차가 급감하고, 싼 이유·비싼 이유가 명확히 드러납니다. 반대로 RFP 없이 "얼마예요?"만 물으면 영원히 '사과 대 오렌지'를 비교하게 됩니다.
자가점검: RFP 필수 8항목 체크리스트
발주 전 이 8개만 채우면 견적이 수렴합니다.
- ☐ 점검 대상 목록 — URL·앱·IP·API 개수를 구체적으로
- ☐ 점검 유형과 깊이 — 웹/API/인프라 + 블랙·그레이·화이트박스
- ☐ 테스트 환경 — 운영 서버인지 스테이징인지
- ☐ 수행 기간·가능 시간대 — 업무시간 외 야간 점검 여부 포함
- ☐ 재점검 포함 여부 — 조치 후 재검증 계약에 넣을지
- ☐ 보고서 요구 수준 — 경영진 요약 / 기술 상세 / 조치 가이드
- ☐ 평가 기준 — 가격 우선인지 수행사 이력·인증 우선인지
- ☐ 준수 규제·비밀유지 — ISMS-P, 개인정보, NDA 요건
비용을 가늠하는 잣대
공공 SW사업 예산에 쓰는 KOSA 「SW사업 대가산정 가이드」(정보보안 컨설팅비)와 2026년 SW기술자 평균임금으로 계산하면, 컨설턴트 1명이 하루 투입될 때 약 153만~186만 원(직접경비·부가세 별도)입니다. 받은 견적을 '몇 명이 며칠'로 환산해 보면 범위 차이가 드러납니다. 계산 방법과 크몽 표시 가격은 모의해킹 비용 가이드에 정리했습니다.
보안 전문 기업 SENTRIX는 진단 패키지 시작 가격(300만 원부터, 부가세 별도)을 홈페이지에 공개하고, 레드팀 운영과 보안 실무 10년의 수행 이력으로 범위 산정부터 정식 견적까지 함께 잡아드립니다.
지금 할 일
점검 범위가 애매하면 견적부터 헤맵니다. SENTRIX에 sentrix.co.kr/contact로 점검 대상만 알려주시면, 범위 산정과 정식 견적을 함께 정리해 드립니다. 범위 정의 상담은 무료입니다. 발주서를 쓰기 전에 30분만 투자하세요.