우리 홈페이지도 받아야 할까? 웹 취약점 점검 판단 기준 정리

우리 홈페이지도 받아야 할까?
웹 취약점 점검 판단 기준 정리

"저희 같은 회사도 웹 취약점 점검을 받아야 하나요?"

리뉴얼 상담을 하다 보면 이 질문을 자주 받습니다. 대개 세 가지 상황에서 나옵니다. 거래처나 발주처에서 보안 점검 결과를 요구했거나, 동종업계 해킹 사고 소식을 들었거나, 홈페이지를 만들어둔 지 몇 년째 손을 못 대고 있거나.

그런데 막상 검색해보면 답이 안 나옵니다. 나오는 자료마다 주요정보통신기반시설, 모의해킹, ISMS 인증 같은 단어가 먼저 등장하니까요. 직원 20명 규모 회사에서 회사 소개 홈페이지 하나 운영 중인 담당자에게는 남의 이야기처럼 들립니다.

그래서 "우린 해당 없겠지"로 덮거나, 반대로 "다 받아야 하나" 하고 불안해집니다.

검색해도 판단이 안 되는 이유

지금 구글에 올라와 있는 웹 취약점 점검 자료는 대부분 보안 전문기업이 자사 서비스를 설명하는 글입니다. 어떤 업체는 과기부 기반시설 점검 항목 기준으로 진단한다고 안내하고, 어떤 업체는 OWASP Top 10 기준 진단과 모의해킹을 함께 제공한다고 설명합니다.

전부 맞는 이야기지만, 이 기준은 금융·공공·대규모 서비스를 전제로 만들어졌습니다. 판단에 필요한 건 "점검이 뭔지"가 아니라 "우리 사이트가 그 대상에 들어가는지"입니다. 그 부분을 짚어주는 자료가 거의 없다 보니, 견적부터 받아보고 금액에 놀라 그대로 덮어두는 경우를 여러 번 봤습니다.

1️⃣웹 취약점 점검은 정확히 무엇을 보는 걸까?

간단히 말하면 완성된 홈페이지를 공격자 시점에서 한 번 훑는 작업입니다.
자동 스캔 도구로 전체를 돌린 뒤, 도구가 못 잡는 로직 문제를 점검자가 수동으로 확인하는 방식이 일반적입니다. 결과는 보통 보고서 형태로 받게 되고, 점검 결과 요약과 취약점 세부 내용, 수정 권고 사항으로 구성됩니다.

여기서 많이 헷갈려 하시는 게 제작사의 보안 조치와 뭐가 다르냐는 부분입니다.
성격이 다릅니다.

즉 대체 관계가 아니라 순서 관계입니다. 제작사가 기본을 지켜놓은 사이트라면 점검에서 나오는 항목이 적고, 관리 없이 오래 방치된 사이트라면 보고서가 두꺼워집니다. 그래서 점검 전에 홈페이지 보안의 기본 관리 상태부터 확인하는 편이 비용 면에서 유리합니다.

2️⃣우리 홈페이지도 받아야 할까? 판단 기준 4가지

아래 네 가지 중 하나라도 해당되면 점검을 검토할 시점입니다.

첫째, 개인정보를 받고 있는가

회원가입, 상담 신청, 이력서 접수, 결제. 이런 기능이 하나라도 있으면 사이트에 개인정보가 저장되고 있다는 뜻입니다. 유출된 개인정보는 2차·3차 피해로 번지기 때문에 이 조건이 가장 우선순위가 높습니다. 반대로 회사 소개와 오시는 길만 있는 정적 사이트라면 위험도가 확연히 낮습니다.

둘째, 거래처나 발주처가 요구하는가

공공기관 납품, 대기업 협력사 등록, 각종 인증 심사 과정에서 웹 취약점 점검 결과를 요구받는 경우가 있습니다. 이건 판단할 필요 없이 그냥 받아야 하는 케이스입니다.

셋째, 오래된 솔루션 위에 올라가 있는가

그누보드, 워드프레스 같은 오픈소스 기반이면서 3년 이상 업데이트가 없었다면 위험 구간입니다. 공개된 취약점은 공격 코드도 같이 공개되기 때문에, 특정 회사를 노린 공격이 아니라 자동화된 스캐너에 무작위로 걸립니다. 규모가 작아서 표적이 안 될 거라는 판단이 잘 안 통하는 이유입니다.

넷째, 리뉴얼이나 기능 추가 직후인가

새 기능을 붙이는 시점에 구멍이 생기는 경우가 많습니다. 오픈 직전 점검을 한 번 넣으면 사후 대응보다 비용이 훨씬 적게 듭니다.

제작사나 관리 업체에 이렇게 물어보세요.

"우리 사이트에서 개인정보가 저장되는 지점이 정확히 어디인가요?"

이 질문에 바로 답이 안 나온다면,
점검 여부와 무관하게 현황 정리부터 필요한 상태입니다.

3️⃣받기로 했다면 비용과 준비는 어떻게 될까?

비용은 정찰제가 아닙니다. 페이지 수, 로그인·결제 같은 기능의 복잡도, 자동 스캔만 할지 수동 진단까지 붙일지에 따라 달라집니다. 전문업체들도 규모나 점검원 등급에 따라 금액이 변동된다고 안내합니다. 그래서 견적을 받을 때는 총액보다 점검 범위와 조치 지원 포함 여부를 먼저 확인하는 편이 낫습니다.

무료로 받는 방법도 있습니다. 한국인터넷진흥원(KISA)에서 중소기업 대상 원격 웹 취약점 점검 서비스를 운영해왔습니다. 신청서를 접수하고 점검 대상 도메인을 전달하면 원격으로 점검한 결과를 받는 방식입니다. 예산이 부담되는 규모라면 여기부터 알아보는 걸 권합니다.

준비할 때 놓치기 쉬운 건 조치 주체입니다. 점검은 문제를 찾아줄 뿐, 고치는 건 별개 작업입니다. 보고서에 30개 항목이 나왔는데 손댈 사람이 없으면 그 문서는 서랍에 들어갑니다. 점검을 의뢰하기 전에 조치를 누가, 어느 예산으로 할지를 먼저 정해두세요.

2개 이상 해당되면 점검을 검토할 시점,
3개 이상이면 점검보다 먼저 기본 관리 체계를 잡아야 하는 상태입니다.

4️⃣자주 묻는 질문

Q. 웹 취약점 점검 비용은 얼마인가요?

사이트 규모와 기능 복잡도, 수동 진단 포함 여부에 따라 달라져 정액 견적이 어렵습니다. 견적 비교 시에는 금액보다 점검 범위와 조치 지원 포함 여부를 먼저 확인하세요.

Q. 홈페이지 제작사가 해주는 보안 관리와 다른 건가요?

다릅니다. 제작사는 만드는 단계에서 취약점이 생기지 않게 설계하고 운영 중 솔루션을 업데이트합니다. 웹 취약점 점검은 완성된 사이트를 외부 공격자 시점에서 검증하는 별도 작업입니다.

Q. 얼마나 자주 받아야 하나요?

개인정보를 다루는 사이트라면 연 1회, 그리고 리뉴얼이나 주요 기능 추가 직후에 한 번 더 받는 흐름이 일반적입니다. 정적인 소개 사이트는 주기적 점검보다 솔루션 업데이트와 백업 관리가 우선입니다.

Q. 점검에서 문제가 나오면 홈페이지를 새로 만들어야 하나요?

대부분은 아닙니다. 설정 변경이나 부분 수정으로 해결되는 항목이 많습니다. 다만 지원이 끊긴 오래된 솔루션 위에 있다면, 개별 조치보다 리뉴얼이 총비용 면에서 유리한 경우가 있습니다.

판단이 안 서면 현황부터 확인하세요

웹 취약점 점검이 지금 필요한지 아닌지는, 사실 사이트를 한 번 들여다보면 대체로 답이 나옵니다. 어떤 기능이 붙어 있는지, 어떤 솔루션 위에 올라가 있는지, 마지막 업데이트가 언제였는지만 확인해도 판단 근거가 생깁니다.

디자인펀치는 15년 넘게 인하대학교, 경희대학교, 국민건강보험 등 개인정보를 다루는 기관 홈페이지를 제작·운영해왔습니다.

현재 홈페이지의 보안 상태 무료 점검 신청하기
— SSL 적용 여부, 관리자 접근 설정, 솔루션 버전, 백업 상태 4가지를 확인해 어떤 조치가 먼저 필요한지 정리해 드립니다.

점검 결과 리뉴얼이나 유지보수 체계가 필요하다고 판단되면, 홈페이지 리뉴얼·유지보수 견적 상담으로 이어서 진행하실 수 있습니다.