®01
Platform Engineering과 내부 개발자 플랫폼
신규 서비스를 위한 참조 템플릿을 포함한 플랫폼 아키텍처
자세히 보기산업 분야 / IT 및 소프트웨어 산업
디지털 서비스. 신뢰할 수 있는 인프라.
소프트웨어를 안전하게 개발하고 플랫폼을 안정적으로 제공 및 운영합니다.
컨설팅. 통합. 운영.
귀사 산업에 종사하는 분들을 위해.
- 소프트웨어 기업
- SaaS 및 플랫폼 제공업체
- IT 서비스 제공업체 및 매니지드 서비스 제공업체
- 인력이 부족한 엔지니어링 팀
귀사의 중점 분야
과제를 이해합니다. 솔루션을 설계합니다.
Kubernetes와 퍼블릭 클라우드 기반의 내부 개발자 플랫폼을 구축하고, 개발 주기의 모든 단계에 보안을 반영하며, 숙련된 전문 인력으로 팀을 보강합니다.
전략부터 시스템까지
여섯 가지 서비스 구성 요소
여섯 가지 실행 영역. 더 자세히 살펴보고 싶은 영역을 선택하십시오.
01Platform Engineering과 내부 개발자 플랫폼Kubernetes · Backstage · Terraform
저희의 접근 방식
내부 개발자 플랫폼은 인프라, 파이프라인, 모니터링, 보안 규정을 셀프서비스 형태로 제공하여, 제품팀이 티켓 없이도 배포할 수 있도록 합니다. 저희는 이를 Kubernetes 위에 구축하며, 개발자 포털로 Backstage를, 인프라 구성에는 Terraform을, GitOps 방식 배포에는 Argo CD를 사용합니다. Policy as Code 형태의 가드레일은 각 리소스가 운영에 투입되기 전에 검사합니다. 플랫폼은 백로그, 사용자 피드백, 측정된 처리 시간을 갖춘 하나의 제품처럼 운영됩니다.
서비스 범위 상세
- 처리 시간과 변경 실패율 측정을 포함한 툴체인, 클러스터, 개발자 경로 현황 조사
- 소프트웨어 카탈로그, 신규 서비스 템플릿, 코드형 문서화를 갖춘 Backstage 기반 개발자 포털
- Terraform 기반 인프라와 Argo CD를 통한 GitOps 배포를 갖춘 Kubernetes 플랫폼
- 리소스, 이미지, 네트워크 규칙을 위한 Kyverno 또는 Open Policy Agent 기반 Policy as Code 가드레일
- 모든 템플릿에 고정 포함되는 OpenTelemetry, Prometheus, Grafana 기반 관측성
여러 제품팀을 둔 한 SaaS 제공업체가 개발자 포털의 템플릿으로 새 서비스를 생성합니다. 네임스페이스, 파이프라인, 모니터링은 플랫폼팀에 티켓을 보내지 않고도 만들어집니다.
02안전한 소프트웨어 개발과 공급망SonarQube · Dependency-Track · CycloneDX
저희의 접근 방식
고객, 감사인, Cyber Resilience Act는 귀사 소프트웨어에 어떤 구성 요소가 포함되어 있는지, 빌드가 변조되지 않았는지 알고 싶어합니다. 저희는 위협 모델링, 정적 코드 분석, 비밀정보 스캔, 의존성 스캔을 파이프라인의 필수 단계로 고정합니다. 모든 릴리스는 CycloneDX나 SPDX 형식의 SBOM, 서명된 산출물, SLSA 기준 출처 증빙을 갖춥니다. 의존성의 새로운 취약점은 영향받은 버전에 자동으로 매핑되며, 심각도별 기한 내에 해결됩니다.
서비스 범위 상세
- 완료 기준(Definition of Done)에 명시된 신규 기능 및 아키텍처 변경에 대한 STRIDE 기반 위협 모델링
- GitHub Actions 또는 GitLab CI에서 필수 검사로 실행되는 정적 코드 분석, 비밀정보 스캔, 의존성 스캔
- Dependency-Track에서 분석되는 릴리스별 CycloneDX 또는 SPDX 형식 SBOM
- 배포 전 검증되는 Sigstore Cosign 기반 서명된 컨테이너 이미지와 SLSA 기준 출처 증빙
- CVSS와 EPSS 기준 평가, 심각도별 기한, 고객을 위한 VEX 성명서를 포함한 취약점 관리
한 업종별 소프트웨어 기업이 모든 릴리스마다 SBOM과 서명된 이미지를 함께 제공합니다. 새로운 취약점에 대한 고객 문의는 수작업 조사 대신 VEX 성명서로 답변합니다.
03HSM 내 코드 서명과 릴리스 키Thales Luna Network HSM · Entrust nShield 5c · Utimaco u.trust GP HSM Se-Series
저희의 접근 방식
코드 서명 키를 탈취한 사람은 귀사의 이름으로 악성 소프트웨어를 배포할 수 있으므로, 이 키는 빌드 서버나 개발자 컴퓨터에 두어서는 안 됩니다. 공개적으로 신뢰되는 코드 서명 인증서의 경우, CA/Browser Forum의 Baseline Requirements는 이미 개인 키를 하드웨어에서 생성하고 보관하도록 요구하고 있습니다. 저희는 특정 제조사에 치우치지 않고 Thales, Entrust, Utimaco 중에서 네트워크 HSM을 선정하고, PKCS#11을 통해 빌드 파이프라인을 연동하며, 승인 절차를 갖춘 서명 서비스를 구축합니다. Windows 실행 파일, 컨테이너 이미지, 패키지, 펌웨어에 대한 모든 서명은 기록되고 특정 릴리스에 연결됩니다.
서비스 범위 상세
- Windows 실행 파일, 컨테이너, 패키지, 모바일 앱, 펌웨어를 위한 모든 서명 키와 인증서 인벤토리
- 여러 거점에 걸친 이중화, 기록이 남는 키 세리머니를 통한 키 생성을 포함한 HSM 선정과 구축
- PKCS#11을 통한 빌드 파이프라인 연동과 릴리스 서명을 위한 이중 승인 원칙을 갖춘 서명 서비스
- EverTrust PKI 또는 공개 CA를 이용한 인증서 수명 주기, CA/Browser Forum의 Baseline Requirements에 따른 갱신
- RFC 3161 기준 타임스탬프, 모든 서명의 로깅, 침해된 인증서 폐기를 위한 비상 계획
한 데스크톱 소프트웨어 기업이 코드 서명 키를 빌드 서버에서 네트워크 HSM으로 옮깁니다. 릴리스 서명에는 2차 승인이 필요하며 각 빌드와 연결됩니다.
04NIS2를 준수하는 매니지드 클라우드와 SaaS 운영Kubernetes · Microsoft Azure · AWS
저희의 접근 방식
규모에 따라 NIS2는 클라우드 서비스, 데이터센터, 매니지드 서비스 제공업체를 중요 기관 또는 필수 기관로 분류하며, 독일에서는 NIS2 시행법이 그 의무를 규정합니다. 제21조에 따른 위험 관리 조치, 단계별 중대 사고 신고, 공급망 보안, 이를 책임지는 경영진이 요구됩니다. 저희는 모니터링, 대기 지원, 사고 대응, 검증된 복구를 갖추고 귀사의 Kubernetes 플랫폼과 클라우드 계정을 운영합니다. 신고 경로, 공급업체 등록부, 운영 증빙은 운영의 일부이며 귀사 고객의 보안 설문에도 답이 됩니다.
서비스 범위 상세
- NIS2와 독일 시행법 기준 적용 대상 여부 검토, BSI 등록, 역할별 의무 배정
- Landing Zone과 CIS Benchmarks 기준 보안 강화를 갖춘 Kubernetes 클러스터 및 클라우드 계정 운영
- 서비스 수준 목표(SLO) 기반 모니터링, 대기 지원, 조기 경보·신고·최종 보고 템플릿을 갖춘 사고 대응
- Veeam 기반 백업, 복구 테스트, 서비스 및 테넌트별 비상 계획
- 보안 요구 사항과 고객 감사를 위한 증빙을 포함한 클라우드 및 소프트웨어 공급업체 등록부
한 인사관리 소프트웨어 제공업체가 Kubernetes 플랫폼 운영을 위탁합니다. 사고는 문서화된 신고 절차를 따르며, 팀은 운영 증빙을 바탕으로 보안 설문에 답합니다.
05엔지니어링 팀을 위한 인력 지원Java · TypeScript · Go
저희의 접근 방식
로드맵과 규제가 동시에 역량을 묶어 둘 때, OTOKO®의 전문 인력이 합의된 기간 동안 귀사의 팀에 합류합니다. 백엔드 및 프런트엔드 개발자, 플랫폼 엔지니어, 테스트 자동화 전문가, 보안 엔지니어가 귀사의 완료 기준에 따라 스프린트, 저장소, 코드 리뷰에서 업무를 맡습니다. 접근 권한은 최소 권한 원칙에 따라 부여되며, 결정 사항은 아키텍처 결정 기록과 런북에 문서화되어, 투입이 끝난 뒤에도 지식이 귀사 팀에 남습니다.
서비스 범위 상세
- 요구 사항, 기술 스택, 팀 구조와 적합한 인력 프로필 매칭 및 공동 선발
- 귀사의 스프린트 내 백엔드, 프런트엔드, 플랫폼, 테스트 자동화, 보안 엔지니어링 참여
- 최소 권한 원칙 기반 접근 권한 체계, 비밀유지계약, 귀사 정책 안내를 포함한 온보딩
- 귀사의 완료 기준에 따른 저장소, 티켓, 코드 리뷰 작업
- 아키텍처 결정 기록, 런북, 귀사 팀과의 페어 프로그래밍을 통한 지식 이전
한 소프트웨어 기업이 고객 롤아웃을 앞두고 DevOps 및 테스트 엔지니어로 플랫폼팀을 보강합니다. 롤아웃 후에는 자체 팀이 문서화된 파이프라인을 이어받습니다.
06Cyber Resilience Act 대응과 제품 PQC 로드맵ML-KEM (FIPS 203) · ML-DSA (FIPS 204) · SLH-DSA (FIPS 205)
저희의 접근 방식
Cyber Resilience Act는 소프트웨어를 포함해 디지털 요소가 있는 제품의 제조사에게 설계 단계부터의 보안, SBOM, 전체 지원 기간에 걸친 취약점 대응을 의무화합니다. 2026년 9월 11일부터는 적극적으로 악용되는 취약점과 중대 사고에 대한 신고 의무가 적용되며, 2027년 12월 11일부터는 나머지 모든 의무가 적용됩니다. 저희는 귀사의 제품을 분류하고, 부속서 I에 대한 격차를 해소하며, 신고 절차를 구축합니다. 제품과 그 업데이트 서명은 종종 RSA와 타원 곡선이 양자컴퓨터에 안전한 기간보다 더 오래 사용되므로, 저희는 동시에 암호 인벤토리와 ML-KEM 및 ML-DSA로의 전환 로드맵을 작성합니다.
서비스 범위 상세
- Cyber Resilience Act에 따른 일반 제품, 중요 제품, 핵심 제품 분류와 그에 맞는 적합성 평가 절차
- 부속서 I의 기본 요구 사항에 대한 격차 분석과 기술 문서 구축
- ENISA 신고 플랫폼을 통한 취약점 처리 및 신고 절차, 조기 경보·신고·최종 보고 기한
- 알고리즘, 키 길이, 라이브러리, 업데이트 서명을 포함한 제품별 암호 BOM(CBOM) 형식 암호 인벤토리
- ML-KEM, ML-DSA, BSI TR-02102 기준 하이브리드 방식을 포함한 PQC 로드맵, 장수명 기기를 위한 LMS 기반 업데이트 서명
한 VPN 소프트웨어 기업이 제품을 중요 제품으로 분류하고, 적극적으로 악용되는 취약점을 위한 신고 절차를 구축하며, 업데이트 서명을 단계적으로 하이브리드 방식으로 전환합니다.
전형적인 프로젝트 상황
변화가 구체화되는 지점.
프로젝트는 흔히 구체적인 과제에서 시작됩니다. 다음 예시는 전형적인 초기 상황과 가능한 접근 방식, 목표로 하는 결과를 함께 보여줍니다.
예시로 든 초기 상황이며, 고객 사례가 아닙니다.
01 / IT 및 소프트웨어 산업
한 소프트웨어 기업의 서명된 릴리스
빌드 서버에 파일로 저장된 코드 서명 키, 비밀번호를 아는 여러 사람, 새로운 하드웨어 규정에 따른 인증서 갱신이 임박한 상황.
해결 방안
기록되는 키 생성을 갖춘 네트워크 HSM, 승인 절차를 갖춘 서명 서비스, PKCS#11을 통한 파이프라인 연동.
인증된 HSM에 보관된 키, 각 빌드와 연결된 서명, Baseline Requirements에 따라 갱신된 인증서.
02 / IT 및 소프트웨어 산업
한 SaaS 제공업체의 개발자 플랫폼
모든 제품팀이 각자 클러스터와 파이프라인을 운영하고, 새로운 서비스는 티켓 처리를 기다리며, 보안 검사는 제각각인 상황.
해결 방안
Backstage 기반 내부 개발자 플랫폼, Argo CD를 통한 GitOps, Policy as Code 형태의 가드레일, 모든 템플릿에 포함된 관측성.
템플릿을 통한 새로운 서비스 생성, 모든 파이프라인에서 일관된 검사, 티켓 대신 제품 개발에 집중하는 플랫폼팀.
03 / IT 및 소프트웨어 산업
한 매니지드 서비스 제공업체의 NIS2와 고객 감사
NIS2 적용 대상인 제공업체, 대형 고객의 SOC 2 보고서 요구, 문서화된 신고 절차 부재.
해결 방안
적용 대상 분석, SOC 2와 연계된 ISO 27001 기준 ISMS, 템플릿을 갖춘 신고 절차, 복구 테스트.
BSI 등록, 정규 운영으로 자리 잡은 신고 경로, 인증 심사와 SOC 2 심사를 위한 증빙.
협업
명확한 과정. 귀사의 팀과 함께.
최초 개요 파악부터 지속적인 운영까지, 저희는 우선순위와 책임, 각 단계의 결과물을 함께 조율합니다.
저희가 일하는 방식
- 01
평가
플랫폼, 파이프라인, 키, 규제 격차
우선순위가 매겨진 조치 목록, 키 인벤토리, NIS2·CRA·ISO 27001 격차 분석 - 02
개념 설계
목표 플랫폼, 보안 통제, 운영 및 팀 모델
플랫폼 아키텍처, Secure SDLC 정책, 코드 서명을 위한 HSM 설계, 운영 모델 - 03
구현
단계적으로 진행하는 플랫폼, 파이프라인, 서명 서비스 구축
운영 중인 플랫폼, SBOM을 갖춘 서명된 릴리스, 단계별 문서화와 검수 - 04
운영
모니터링, 감사, 지식 전달
모니터링, 키 교체, 감사 및 신고 지원, 단계적 인계
- 01
무엇을 변화시키고자 하십니까?
현재의 과제와 귀사가 원하는 결과.
- 02
어떤 시스템이 관련되어 있습니까?
사업장, 애플리케이션, 인터페이스에 대한 개요.
- 03
어떤 제약 조건이 있습니까?
프로젝트 일정, 유지보수 기간, 알려진 종속성.
- 04
누가 논의에 참여해야 합니까?
IT, 보안, 운영 부문의 적합한 담당자.
배경 및 의사 결정 자료
IT 및 소프트웨어 기업을 위한 IT 솔루션이란 무엇입니까?
내부 개발자 플랫폼부터 제품을 위한 PQC 로드맵까지 여섯 가지 실행 영역을 OTOKO®가 구현하고 운영합니다. 서명 키는 HSM에 보관되며, 모든 릴리스는 SBOM과 서명을 함께 제공하고, NIS2, Cyber Resilience Act, ISO 27001, SOC 2를 위한 증빙은 일상적인 운영 속에서 만들어집니다.
IT 및 소프트웨어 기업을 위한 IT 솔루션은 빠른 배포와, 고객·감사인·입법기관이 증빙을 통해 확인하고자 하는 보안을 결합합니다. OTOKO®는 이를 위해 여섯 가지 실행 영역을 다룹니다. Platform Engineering과 내부 개발자 플랫폼, 안전한 소프트웨어 개발과 공급망, HSM을 이용한 코드 서명과 릴리스 키, NIS2를 준수하는 매니지드 클라우드와 SaaS 운영, 엔지니어링 팀을 위한 인력 지원, 그리고 PQC 로드맵을 포함한 Cyber Resilience Act 대응입니다.
차이는 보안 증빙이 감사 직전이 아니라 파이프라인 안에서 만들어진다는 데 있습니다. SBOM, 서명, 취약점 현황, 운영 기록은 모든 릴리스마다 생성되며, 별도 프로젝트 없이도 고객 설문에 답할 수 있습니다. 암호 기술과 하드웨어 보안 모듈은 저희의 핵심 역량입니다. 그래서 소프트웨어, 컨테이너, 펌웨어를 위한 서명 키는 빌드 서버가 아니라 인증된 하드웨어에 보관됩니다.
IT 및 소프트웨어 기업에 OTOKO®를 선택해야 하는 이유
- 암호 기술 및 HSM
암호 기술과 하드웨어 보안 모듈은 저희의 핵심 역량입니다. 그래서 코드 서명 키, 릴리스 키, 귀사 제품 뒤의 PKI는 빌드 서버가 아니라 인증된 하드웨어에 보관됩니다.
- 독일 데이터센터
전체 솔루션은 개발자 플랫폼부터 서명 서비스까지 독일 데이터센터에서 운영됩니다. 이는 계약상 독일 내 데이터 보관을 요구하는 고객에게 도움이 됩니다.
- 핵심 기반시설과 규제 산업
저희는 핵심 기반시설 운영기관 및 규제 산업과 함께 일합니다. 그래서 금융, 에너지, 행정 분야의 귀사 고객이 입찰에서 어떤 증빙을 요구하는지 잘 알고 있습니다.
- 운영까지 함께하는 한 팀
한 팀이 컨설팅부터 운영까지 함께합니다. 플랫폼 엔지니어, 보안 아키텍트, 암호 전문가가 제3자에게 넘기는 일 없이 계속 함께합니다.
제공 조건 및 세부 정보
IT 및 소프트웨어 기업 프로젝트 착수 전의 전형적인 초기 상황
대부분의 소프트웨어 기업은 기술 역량이 부족한 것이 아니라, 이제 고객·감사인·입법기관이 요구하는 증빙이 부족합니다.
01
무질서하게 늘어난 플랫폼
모든 제품팀이 각자 클러스터, 파이프라인, 모니터링을 운영하고, 보안 검사는 팀마다 제각각이며, 플랫폼팀은 대부분의 시간을 티켓 처리에 씁니다.
02
증빙 없는 공급망
의존성은 목록화되어 있지 않고, 빌드 산출물에는 서명이 없으며, 새로운 취약점이 발견되면 팀이 영향받은 버전을 찾는 데 며칠씩 걸립니다.
03
파일로 존재하는 서명 키
코드 서명 키가 CI 변수나 개발자 컴퓨터에 저장되어 있고, 여러 사람이 비밀번호를 알고 있으며, 어떤 서명이 언제 생성되었는지 아무도 증명할 수 없습니다.
04
규제와 로드맵의 충돌
NIS2, Cyber Resilience Act, 고객 감사가 동시에 몰려드는데, 올해 엔지니어링 역량은 이미 신규 기능 개발에 모두 배정되어 있습니다.
세 가지 운영 모델
| 온프레미스 | 독일 클라우드 | 하이퍼스케일러 | |
|---|---|---|---|
| 데이터 보관 | 귀사의 데이터센터, 자체 빌드 서버와 HSM | ISO 27001 기준으로 운영되는 독일 내 데이터센터 | Azure, AWS 또는 Google Cloud, 지역 선택 가능 |
| 운영 | 귀사 팀 또는 매니지드 서비스로서의 OTOKO® | OTOKO®, 귀사의 고객 감사를 위한 감사권 포함 | 공동 운영, 제공업체의 플랫폼 서비스 |
| 도구 | Kubernetes, GitLab, 코드 서명을 위한 네트워크 HSM | 호스팅형 Kubernetes 플랫폼, HSM as a Service, Veeam 기반 백업 | 관리형 Kubernetes 서비스, 클라우드 HSM, 제공업체의 파이프라인 서비스 |
| 적합한 대상 | 고객의 엄격한 요구 사항을 충족해야 하는 서명 키와 빌드 환경 | 데이터 주권 요구 사항을 가진 규제 산업 고객을 위한 SaaS | 국제 고객, 부하 급증, 테스트 환경을 위한 SaaS |
| 컴플라이언스 | 완전한 통제, 귀사의 ISMS에서 나오는 증빙 | GDPR에 따른 위탁처리, 독일 소재, 고객 감사를 위한 증빙 | 위탁처리, 표준계약조항, 서비스별 책임 분담 |
협업 방식
프로젝트
HSM 기반 서명 서비스나 개발자 플랫폼처럼 명확히 정의된 결과, 마일스톤, 검수 절차를 갖춘 프로젝트입니다.
- 평가, 개념 설계, 구현, 인계
- 고정가 또는 마일스톤별 공수 정산
- 코드 서명, 플랫폼 구축, CRA 대응에 적합합니다
인력 지원
플랫폼 엔지니어, 보안 엔지니어, 개발자가 귀사의 팀에서 귀사의 도구와 완료 기준에 따라 협업합니다.
- 귀사의 저장소, 프로세스, 정책에 대한 교육
- 프로젝트 진행에 따라 규모 조정 가능
- 릴리스나 감사를 앞두고 인력이 부족한 팀에 적합합니다
매니지드 서비스
OTOKO®는 합의된 서비스 수준, 보고, NIS2가 요구하는 신고 경로와 함께 플랫폼, 클라우드 계정, 서명 서비스를 운영합니다.
- 모니터링, 업데이트, 키 순환, 지원
- 계약서에 명시된 신고 절차, 복구 테스트, 감사권
- 플랫폼이나 HSM을 위한 자체 운영팀이 없는 제공업체에 적합합니다
표준 및 증빙
IT 및 소프트웨어 기업에 대한 각 규정이 요구하는 것과 OTOKO®가 이를 위해 제공하는 것입니다.
| 기준 | 요구 내용 | OTOKO®의 제공 내용 |
|---|---|---|
| ISO 27001 | 위험 평가, 적용선언서, 부속서 A의 통제 항목, 연례 사후 심사를 포함한 ISMS | ISMS 구축, 적용선언서, 플랫폼과 파이프라인 내 기술적 조치, 인증 심사 준비 |
| SOC 2 | AICPA의 Trust Services Criteria에 따른 통제 검증, 특정 시점 기준 Type I 또는 일정 기간에 걸친 Type II | ISO 27001과 연계된 통제 체계, 클라우드와 파이프라인에서 자동 생성되는 증빙, 공인회계사 심사 준비 |
| NIS2 | 제21조에 따른 위험 관리 조치, 단계별 중대 사고 신고, 공급망 보안, 경영진의 책임 | 적용 대상 분석, 조치 계획, 템플릿을 갖춘 신고 절차, 공급업체 등록부, 경영진을 위한 교육 자료 |
| Cyber Resilience Act | 설계 단계부터의 보안, SBOM, 지원 기간에 걸친 취약점 처리, 적극적으로 악용되는 취약점 신고, CE 마크 | 제품 분류, 격차 분석, SBOM 절차, 신고 절차, 적합성 평가를 위한 기술 문서 |
| GDPR | 설계 단계부터의 개인정보 보호, 위탁처리, 처리활동 기록, 제3국 이전 시 보호 장치 | SaaS 제품을 위한 개인정보 보호 체계, 위탁처리 계약, HSM 내 키를 이용한 암호화, 독일 내 운영 |
자주 묻는 질문
좋은 질문. 명확한 답변.
귀사의 산업 분야, 프로젝트, 이후 운영에 대한 15가지 답변입니다.
산업 분야 및 실행 영역6 질문
OTOKO®는 IT 및 소프트웨어 기업을 위해 어떤 IT 솔루션을 제공합니까?
제공 범위는 Kubernetes 기반 내부 개발자 플랫폼, SBOM과 서명된 빌드를 갖춘 안전한 소프트웨어 개발, HSM 내 키를 이용한 코드 서명, NIS2를 준수하는 클라우드와 SaaS 플랫폼 운영입니다. 여기에 귀사의 엔지니어링 팀을 보강하는 전문 인력과 PQC 로드맵을 포함한 Cyber Resilience Act 대응이 더해집니다. 각 영역은 개별적으로 또는 패키지로 의뢰할 수 있습니다.
코드 서명 키는 왜 HSM에 보관해야 합니까?
서명 키를 탈취당하면 공격자가 악성 소프트웨어를 귀사의 공식 업데이트로 위장해 배포할 수 있습니다. 키는 HSM 안에서 생성되며 평문 상태로 장비 밖으로 나가지 않고, 모든 서명에는 권한이 필요하며 기록이 남습니다. 공개적으로 신뢰되는 코드 서명 인증서의 경우, CA/Browser Forum의 Baseline Requirements는 이미 하드웨어 내 키 보관을 요구하고 있습니다.
저희 소프트웨어 기업도 NIS2 적용 대상입니까?
이는 업무 형태와 규모에 따라 달라집니다. 클라우드 서비스, 데이터센터, 매니지드 서비스 제공업체는 중견 규모 이상부터 NIS2에 직접 적용되지만, 순수 소프트웨어 기업은 대체로 그렇지 않습니다. 다만 많은 기업이 공급망 보안을 증빙해야 하는 고객을 통해 간접적으로 이러한 요구 사항을 받습니다. 저희는 핵심 기반시설 운영기관 및 규제 산업과 함께 일하므로, 이러한 고객이 계약서에 어떤 조항을 넣는지 잘 알고 있습니다.
Cyber Resilience Act는 소프트웨어 기업에 무엇을 요구합니까?
EU 시장에 소프트웨어나 소프트웨어가 포함된 기기를 출시하는 기업은 설계 단계부터의 보안을 증빙하고, SBOM을 작성하며, 지원 기간 동안 취약점을 해결하고, 보안 업데이트를 제공해야 합니다. 적극적으로 악용되는 취약점은 2026년 9월부터 신고해야 하며, CE 마크를 포함한 전체 의무는 2027년 12월부터 적용됩니다. 순수 SaaS 제공은 대체로 적용 대상이 아니지만, 관련 앱과 클라이언트는 적용 대상입니다.
OTOKO®의 전문 인력은 저희 팀에서 어떻게 협업합니까?
요구 사항과 인력 프로필을 매칭한 후, 저희는 귀사와 함께 선발할 후보를 소개합니다. 이들은 최소 권한 원칙에 따른 접근 권한을 갖고 귀사의 스프린트, 저장소, 코드 리뷰에서 작업합니다. 한 팀이 컨설팅부터 운영까지 함께하므로, 플랫폼, 보안, 인력이 하나의 제공업체에서 나오며 규모는 프로젝트에 따라 늘어나거나 줄어듭니다.
OTOKO®는 ISO 27001과 SOC 2를 지원합니까?
예, 지원합니다. 저희는 ISO 27001 기준 ISMS를 구축하고, 그 통제 항목을 SOC 2의 Trust Services Criteria와 동시에 연계하며, 플랫폼과 파이프라인에 기술적 조치를 구현합니다. 접근 기록, 변경 증빙, 복구 테스트 같은 증빙는 자동으로 생성됩니다. 인증서는 공인된 인증기관이 발급하며, SOC 2 보고서는 독립적인 공인회계사가 작성합니다.
시작과 구현5 질문
하나의 실행 영역만으로 시작할 수 있습니까?
예. 먼저 구체적인 과제 하나를 한정할 수 있습니다. 이때 나머지 인프라와의 인터페이스를 함께 검토하고, 구현에 앞서 어떤 서비스가 계약에 포함되는지 협의합니다.
첫 상담을 위해 무엇을 준비해야 합니까?
과제, 관련 시스템, 원하시는 결과를 간단히 설명해 주시면 시작하기에 충분합니다. 알려진 일정과 적합한 담당자 정보가 있으면 추가로 도움이 됩니다. 자격 증명이나 기밀 시스템 문서는 첫 문의에 포함하지 마십시오.
누가 프로젝트에 참여해야 합니까?
플랫폼 아키텍트: 개발자 플랫폼, Kubernetes, GitOps. 보안 엔지니어: Secure SDLC, SBOM, 취약점 관리. 암호 전문가: HSM, 코드 서명, PQC 로드맵. 사이트 신뢰성 엔지니어(SRE): 운영, 모니터링, 사고 대응. 컴플라이언스 컨설턴트: NIS2, Cyber Resilience Act, ISO 27001, SOC 2. 프로젝트 책임자: 마일스톤, 검수, 보고.
일정과 작업량은 어떻게 산정됩니까?
저희는 시스템, 인터페이스, 문서화 현황, 운영상의 제약 조건을 살펴봅니다. 합의된 범위와 마일스톤이 작업량 산정의 근거가 됩니다. 이러한 정보 없이 제시한 고정 기간은 신뢰하기 어렵습니다.
프로젝트 첫 단계에서는 무엇을 제공합니까?
플랫폼, 파이프라인, 키, 규제 격차 우선순위가 매겨진 조치 목록, 키 인벤토리, NIS2·CRA·ISO 27001 격차 분석
운영과 발전4 질문
어떤 협업 형태가 가능합니까?
프로젝트: HSM 기반 서명 서비스나 개발자 플랫폼처럼 명확히 정의된 결과, 마일스톤, 검수 절차를 갖춘 프로젝트입니다. 인력 지원: 플랫폼 엔지니어, 보안 엔지니어, 개발자가 귀사의 팀에서 귀사의 도구와 완료 기준에 따라 협업합니다. 매니지드 서비스: OTOKO®는 합의된 서비스 수준, 보고, NIS2가 요구하는 신고 경로와 함께 플랫폼, 클라우드 계정, 서명 서비스를 운영합니다.
운영으로의 인계는 어떻게 이루어집니까?
모니터링, 감사, 지식 전달 모니터링, 키 교체, 감사 및 신고 지원, 단계적 인계
나중에 추가 사업장이나 시스템을 더할 수 있습니까?
이는 첫 설계에서부터 고려할 수 있습니다. 문서화된 인터페이스와 재사용 가능한 규칙은 확장의 토대가 됩니다. 다만 추가되는 사업장과 신규 시스템은 각각의 고유한 요구 사항에 따라 별도로 검토됩니다.
솔루션을 장기적으로 운영 가능한 상태로 유지하려면 어떻게 합니까?
책임 소재, 반복적인 업무, 변경 절차는 기술 구현과 함께 정해집니다. 문서화와 지식 전달은 귀사 팀의 일상 업무에 도움이 됩니다. 어떤 활동과 지속적인 지원이 포함되는지는 서비스 범위에서 합의합니다.
IT 및 소프트웨어 산업
다음 단계를 저희와 상담하십시오.
플랫폼을 더 안전하게 만들고 팀에 필요한 가용 인력을 확보하는 방법을 함께 논의하겠습니다.
상담 예약하기
