공개 전날 발견한 다른 회사의 견적서
가상 이야기 · 핵심노트 기반
핵심노트 개념: Secure SDLC — 보안 검증을 개발 전 과정에 넣는다
이 글에서 배우는 교훈
보안 요구와 검증을 개발 전 과정에 배치해야 구조적인 문제를 공개 직전에 처음 발견하는 일을 줄일 수 있습니다.
핵심노트를 바탕으로 만든 가상 이야기입니다. 실제 사건이나 검증된 성과가 아닙니다.
근거: Secure SDLC — 보안 검증을 개발 전 과정에 넣는다 · 핵심노트 20
구체적으로는 회사는 견적서 소유 회사 확인을 요구·공통 설계·거부 시험·운영 변경 검토에 연결했습니다.
관련 교재 내용
정보보안 이해와 활용 · V. 애플리케이션 보안 · Secure SDLC
Secure SDLC는 요구사항을 정할 때부터 설계·코딩·시험·운영까지 보안을 함께 다루는 개발 과정입니다. 공개 직전에 검사하는 데 그치지 않고 약점이 만들어지는 단계부터 줄이려는 것입니다.
이 사례에 적용한 내용: 회사는 견적서 소유 회사 확인을 요구·공통 설계·거부 시험·운영 변경 검토에 연결했습니다.
교재 원리의 실무 적용 · 교재 원문 인용이 아닌 자체 설명입니다.
본문
여러 회사가 쓰는 견적 서비스의 공개 전날, 보안 시험자가 파일 번호를 바꾸자 다른 회사의 견적서가 내려받아졌습니다. 로그인은 확인했지만 파일마다 어느 회사 소유인지 검사하지 않은 것입니다. 다운로드 경로가 여러 군데라 뒤늦게 모두 고치고 다시 시험해야 했습니다.
팀은 다음 개발에서 요구사항에 회사별 자료 분리를 적고 설계 단계에 공통 권한 검사 위치를 정했습니다. 구현 중 다른 회사의 파일 조회·다운로드를 거부하는 시험을 넣고, 운영에서 일괄 내려받기를 추가할 때도 같은 검사를 확인했습니다.
결론
공개 전 검사도 필요하지만 그때 처음 찾으면 구조 수정과 재시험이 몰립니다. Secure SDLC는 보안을 마지막 합격 검사 하나가 아니라 요구·설계·구현·시험·변경에 이어지는 작업으로 다루는 것입니다.