보안 외주 선정 가이드 — 좋은 회사 vs 나쁜 회사 7가지
같은 모의해킹 견적이 500만~3,000만으로 6배 갭이 나는 이유는 단가가 아니라 산출물과 검증 깊이가 다르기 때문이다.
이 글은 임원·CISO가 외주 선정 시 봐야 할 7가지 기준을 정리한다.
SENTRIX가 RFP 검토와 외주 평가를 지원하면서 반복적으로 본 패턴 기반이다.
한눈에 보는 7가지 기준
- Q. 보안 외주 평가에서 가장 중요한 1가지는?
- A. 산출물의 구체성입니다. PoC(증명 코드·재현 절차) 없이 "취약 발견" 문구만 적힌 보고서는 검증이 어렵고 재발 방지가 안 됩니다.
- Q. 가격이 싸면 무조건 나쁜 건가요?
- A. 아닙니다. 다만 자동 스캔과 수동 모의해킹의 단가 차이를 인지해야 합니다. 자동 스캔 단가로 모의해킹을 광고하는 회사는 의심해야 합니다.
- Q. 대형사 vs 전문 부티크, 어느 쪽이 좋나요?
- A. 산업·인증 종류·예산에 따라 다릅니다. 부티크는 깊이·반응속도, 대형사는 범위·인증서 신뢰가 강점입니다.
좋은 회사 vs 나쁜 회사 — 7가지
| # | 기준 | 좋은 회사 | 나쁜 회사 |
|---|---|---|---|
| 1 | 산출물 | PoC + 우선순위 + 재발 방지 | "고/중/저" 라벨만 |
| 2 | 방법론 | 자동·수동·동적 결합, OWASP·NIST 준거 | "자체 노하우"라고만 |
| 3 | 인력 | 실명 이력·CVE/CTF·자격증 공개 | 인력 익명 |
| 4 | 점검 시간 | 명시적 인력일수(M/D) 표기 | 모호한 "정밀 진단" |
| 5 | 후속 지원 | 패치 검증·재점검 옵션 | 보고서 발송 후 종료 |
| 6 | 보고서 샘플 | 익명화 샘플 사전 공유 | 견적만 보냄 |
| 7 | 계약·증적 | NDA·로그 인계·증적 보존 명문화 | 구두 합의 |
RFP에 반드시 명시할 6가지
- 점검 범위와 제외 범위 (도메인·IP·API·관리자 페이지)
- 방법론 (OWASP Top 10, NIST 800-115, ASVS 등 명시)
- 산출물 — PoC, 재현 절차, 우선순위, 재발 방지 권고
- 인력일수(M/D)와 시니어 비율
- 재점검·패치 검증 1회 포함
- NDA·로그 인계·증적 보존 기간
견적 비교 시 함정 4가지
- "전 방위 진단"이라는 모호한 문구 — 범위 정의 부재
- 인력일수 미표기 — 비교 불가
- 자동 스캔만으로 모의해킹 광고 — 결과의 깊이 차이 큼
- 재점검 별도 견적 — 후속 비용이 더 큼
견적이 50% 싼 데에는 50% 싼 이유가 있다. 산출물·방법론·인력 중 어디가 빠졌는지 확인한다.
CISO 5분 평가표
각 회사에 5점 만점으로 채점:
- ☐ 산출물 구체성 (1~5)
- ☐ 방법론 표준 준거 (1~5)
- ☐ 인력 공개도 (1~5)
- ☐ 점검 시간 명시성 (1~5)
- ☐ 후속 지원 명문화 (1~5)
- ☐ 보고서 샘플 제공 (1~5)
- ☐ 계약·증적 조항 (1~5)
합계 28 이상 = 추천, 20 미만 = 재검토.
SENTRIX의 평가 방식
- 외주 평가 컨설팅 — 받은 견적·보고서를 위 7가지 기준으로 객관 평가
- 자체 진단 — 위 7가지를 기본으로 운영. 보고서 샘플·방법론·인력 이력 사전 공유
가격·범위는 기업 보안 진단 페이지 참고.
다음에 해야 할 한 가지
외주 선정은 임원의 의사결정이지만, 평가는 표준화할 수 있다.
- 👉 보안담당자: CodeScan 30초 무료 스캔 — 자동 스캔 수준 직접 체험 후 외주 자동/수동 차이 판단
- 👉 임원·CISO: 30분 1:1 외주 평가 자문 신청 — 받은 견적 객관 검토
관련 글
- 모의해킹·자동 스캔·컴플라이언스 점검: 무엇을 언제 [2026]
- ISMS-P 인증 6개월 로드맵: D-180 주차별 일정표 [2026]