늘어나는 자산과
계정·조직의 경계를 확인하세요
늘어나는 운영·테스트 자산은 ASM으로 관리하고, 사용자·조직 간 데이터 접근 권한은 웹·API 진단으로 확인합니다. 출시 일정과 현재 관리 현황에 맞춰 범위를 정하세요.
SaaS에서 확인할 보안 항목
운영·스테이징·관리 접점
소유와 담당 현황
사용자·조직 간 데이터 접근
계정과 역할의 경계
공개 배포물의 비밀정보
불필요한 내부 정보
필요한 업무에 맞춰 범위를 협의합니다
데이터 접근 정책
사용자·조직·역할별 데이터 접근 권한과 설정 검토
API 키·시크릿 노출
번들 JS, GitHub, .env 파일 외부 노출 점검
서브도메인 자산 점검
스테이징, 백업, dev 서브도메인 노출 여부
인증·업무 로직
승인된 테스트 계정으로 주요 기능의 권한과 상태 변경 검증
OAuth/인증 플로우
콜백 URL 검증, 토큰 노출, 세션 고정 공격
에러 페이지 정보 노출
스택 트레이스, DB 스키마, 내부 경로 노출
어떤 상황에서,
무엇을 확인하는지.
진단 범위를 설명하기 위한 예시입니다. 실제 고객의 성과를 나타내지 않으며, 산출물은 합의한 범위에 따라 정합니다.
스테이징과 이전 서비스의 관리자가 불분명하다면
도메인·자산·IP의 연결과 소유 근거를 검토하고, 확인할 자산에 담당자와 조치 상태를 연결합니다. 관측·지원·재확인 범위는 도입 전에 협의합니다.
다른 조직의 데이터 접근을 검증하려면
합의한 계정·역할과 테스트 데이터로 조직 간 접근 경계를 점검합니다. 확인한 문제의 재현 근거와 조치 방향을 보고서에 정리합니다.
공개되면 안 되는 정보가 포함됐는지 확인하려면
승인된 범위에서 공개 배포물과 응답에 포함된 비밀정보·내부 정보 노출을 검토합니다. 발견 사항의 영향과 조치 우선순위를 확인합니다.
범위 협의부터 조치 확인까지
대상·승인 범위
관리할 자산과 확인할 기능, 접근 권한과 일정을 협의합니다.
관리 현황 확인
기존 자산 목록과 담당 현황, 필요한 점검 조건을 확인합니다.
합의한 범위 점검
선택한 서비스에 따라 자산 관측 또는 웹·API 검증을 진행합니다.
결과·조치 검토
확인한 근거와 우선순위를 정리하고 다음 조치를 검토합니다.
후속 지원 협의
재확인 대상·횟수와 지속 관리에 필요한 지원을 계약 범위에 맞춰 정합니다.